7、数字取证中的数据采集与存储设备解析

数字取证中的数据采集与存储设备解析

1. 数据采集与保管链概述

在数字取证领域，数据采集和在法庭上呈现证据是至关重要的两个环节。整个过程的第一步也是最重要的一步，是确定最有可能的证据来源。之后，我们的首要任务是收集证据，也就是数据采集。

数据采集之后，可能需要进行数据复制。数据复制和数据采集的区别很细微，数据复制是在已经确定了某些数据为证据后，为防止证据意外损坏，将其复制并存储在安全的地方。最后进行的是法医分析。

当确定了需要收集和检查的证据后，我们就可以开始使用取证工具。这里以FTK Imager为例，学习如何进行静态数据采集。假设所有证据都存储在嫌疑人的U盘里，我们可以将其作为证据源继续调查。

2. 使用FTK Imager进行静态数据采集的步骤

• 步骤1 ：对于已关机或怀疑有故障的存储设备，可使用FTK Imager进行死数据采集。
• 步骤2 ：对于静态证据收集，选择“disk image”选项；对于实时数据采集（从RAM收集数据），选择“capture memory”选项。点击“create disk image”后，会出现物理驱动器、逻辑驱动器、图像文件、文件夹内容以及CD/DVD等多个设备选项。
• 步骤3 ：若证据存储在16GB的U盘里，该U盘就是实际的证据驱动器。在现实中，证据驱动器可以是U盘或真正的硬盘。
• 步骤4 ：选择物理驱动器后，会弹出一个窗口让我们选择证据驱动器。比如证据存储在1TB的硬盘上，而另一