4、计算机取证准备与硬件安全指南

计算机取证准备与硬件安全指南

1. 组织需求评估

不同组织对计算机取证的需求各异。执法人员可能面临案件量过大、设备陈旧或特定软件问题。企业则需评估风险、威胁和暴露情况，制定安全政策以保障网络环境安全。由于各组织政策和要求不同，没有适用于所有安全基础的通用规则。培训和教育是良好开端，但必须不断更新硬件、软件和威胁方面的知识，持续评估自身漏洞。

计算机取证技术员需兼具私家侦探和计算机科学家的能力。安全专家可监控大量数据，如跟踪互联网访问、读取员工邮件、记录电话和监控网络访问。监控程度取决于信息存储需求，监控计划应明确目标和政策，否则会产生大量无用信息。实施监控政策时，可考虑以下几点：
- 识别环境中可能面临风险的资源，如敏感文件、财务应用和人事档案。
- 确定资源后制定政策，若需审计大量数据，确保硬件有足够存储、处理能力和内存。
- 定期审查日志，否则日志无法发挥作用。

2. 准备工作要点

计算机取证调查员需了解硬件、操作系统、文件系统和网络解决方案，熟悉法律限制和当地法律。提前做好基础工作，能在需要时更高效完成任务。以下是准备工作的主要流程：
- 识别不同类型的硬件
- 检查是否存在未经授权的硬件
- 跟进硬件趋势
- 了解各种操作系统
- 熟悉不同类型的文件系统
- 识别维护工具
- 明确法律权利和限制
- 组建应急响应团队

3. 了解硬件设备

信息可从多种硬件设备中获取，如内外置硬盘、CD - ROM、USB闪存驱动器、Compact Flash设备、存储卡或棒以及智能手机。这些设备存储的信息是非易失性