6、数字取证：证据收集全流程解析

数字取证：证据收集全流程解析

1. 数字证据概述

在任何法医检查中，收集证据都是首要步骤。数字证据指的是从任何类型的数字存储中收集的、用于计算机法医检查的数据。所有携带数字信息的载体都可能成为调查对象，并且应被视为证据，因为在检查过程中，我们通常无法预知哪些数据会用于解答问题。

证据收集过程大致可分为两类：一是法医检查人员直接拿到待检查的设备；二是参与实际的收集工作。从法医角度来看，设备在检查开始时是开机还是关机，对数据收集有重要影响。

2. 设备关机时的证据收集

当设备关机时，可获取的数据仅限于静态内存（如硬盘）中的存储内容。在分析存储单元中的实际数据之前，需要进行一些处理。

为避免修改原始证据，在执法等法医检查中，不能直接启动计算机并进行操作，因为这会改变原始数据，污染证据，使其在法庭上失去效力。因此，需要制作证据的副本，并在副本上进行检查。

制作磁盘映像的步骤如下：
1. 连接设备 ：将待检查的数据源连接到特殊设备或普通计算机。
2. 使用磁盘成像软件 ：创建原始数据的逐位副本，即磁盘映像或法医磁盘映像。
3. 使用写保护设备 ：在连接数字证据和计算机时，使用写保护设备，防止计算机向设备写入数据。
4. 哈希比较 ：创建原始数据和副本的哈希值，比较两者是否匹配，以确保副本与原始数据相同。

步骤	操作内容