12、计算机取证相关知识与常见问题分析

计算机取证相关知识与常见问题分析

在计算机取证领域，有许多关键的知识和常见问题需要我们去深入了解和解决。下面将从信息获取、日志分析、非组织数据处理以及常见问题应对等方面进行详细阐述。

1. 信息获取途径

计算机取证专家有多种获取信息的方式。以 Office 文档元数据为例，有以下两种查看方法：
- 右键查看属性 ：在文档上右键点击，然后选择“属性”选项卡，即可查看元数据。
- 借助工具查看 ：可以在 FTK 工具中查看，也可以在 Windows 系统中右键点击文件，选择“详细信息”选项卡来查看。

2. 日志文件分析

在计算机取证检查中，分析不同应用程序的使用情况是常见操作，比如分析聊天应用的消息往来或者比特币钱包的交易记录。下面以聊天日志分析为例，介绍具体的分析流程。

2.1 分析流程

分析聊天日志通常遵循以下步骤：
1. 定位日志 ：使用喜欢的取证工具，通过常见的搜索词（如 message、msg、received、sent 等）来定位聊天日志。
2. 理解日志 ：仔细检查日志，若有必要，进行实验以了解日志的工作原理。
3. 准备展示 ：将日志转换为更便于调查人员阅读的格式，最好采用自动化方式。

2.2 示例：Jitsi 聊天日志分析

以 Jitsi 聊天客户端生成的日志为例，其部分日志内容如下：