知识
随笔
案例
声音
其他
编者按
2009年8月，燕京市检察院立案查处某监督所渎职案件，小编受命配合完成电子数据现场取证工作，提前制定了详细的现场取证方案。时间过去很久了，时至今日，很多情况、技术、标准都发生了很大的变化，不知道还没有借鉴价值。供有需要的童鞋们参考吧。
一、详细了解基本情况
经了解，该单位使用的办公软件由燕京二十一世纪软件开发公司开发的一窗式办公系统，数据统一存储在市局，属于分级权限的C/S软件架构。两台工作用计算机现已扣押存放于该单位纪检部门。
二、现场取证要求及案件委托要求
与专案组同事事前分析和讨论，提前确定了初步的取证要求。
委托要求具体如下：
1、现场登陆系统，通过相应的用户名/密码，查看系统数据。查找与“XXX”有关的信息，包括：审批过程、领导签字、审批信息、时间、在线文档等。
2、封存取回两台工作计算机的硬盘，通过分析检验，查找计算机中与“XXX”有关的所有文档。主要包括：“XXX”公司说明文件的修改情况、原文件情况等等。
三、现场取证方案
（一）硬盘数据取证
1、向案发单位出具调取证据清单（针对要调取的电子证据，在物品特征描述栏填写响应的哈希值即可）。主要内容：调取相关人员工作用计算机硬盘数据，以及通过联入办公网络查看相关信息。
2、搭建录像拍摄环境。列入录像拍摄的范围包括：计算机型号、相关序号、拆机取出硬盘的过程、硬盘序列号、连接复制机、启动复制、复制完成、填写复制工作记录、打印复制日志，见证人在工作记录、复制日志上签字、使用封存袋封顿硬盘、相关人在封存袋上签字、封装过程。
3、检查被封存电脑的型号、拆装情况，重点拍摄。
4、拆机箱取出硬盘，检查硬盘序列号，重点拍摄。
5、将硬盘连接复制机，启动复制，持续拍摄。
6、另一个封存计算机做同样处理。
7、硬盘复制过程，持续时间约3小时。
8、复制完成，保存复制日志记录。
9、取出硬盘封存袋，将原件硬盘装入袋中，封装。并要求相关人在封装袋表面用记号笔签字。重点拍摄。
10、填写复制工作记录，需要相关人签字：录像人、复制操作人、其他参与人等。
11、从复制机中取出存储卡，打印复制日志。要求相关人在日志首页签字。
12、录像完毕。
（二）网络办公系统取证
1、向案发单位出具调取证据清单。主要内容：调取相关人员工作用计算机硬盘数据，以及通过联入办公网络查看相关信息。（该步骤同前）
2、要求对方提供登陆办公系统的用户名/密码。
3、启动录像机，镜头内容已屏幕内容为重点。
4、使用正确的用户名/密码登入办公系统，使用系统提供的信息检索查询功能，查找与“XXX”有关的信息条目。
5、在检索结果中，对每一条目，点击查看具体详情，重点记录如下信息：审批人、审批意见、审批时间、提请时间、提请人等。记录方式：屏幕录像、数据导出（疑办公系统没有该功能）、屏幕拍照打印。相关照片通过打印机或冲洗方式输出，要求相关人签字。
6、将照片或者下载保存的数据文件，保存于U盘。填写检察机关现场勘验记录（“电子证据现场取证工作记录”），记录内容包括但不限于：照片、文字记录、录像、数据文件。针对照片、数据文件等，计算并记录其哈希值，附于现场勘验记录后，要求相关人签字。
7、录像结束。
四、设备及相关文书准备
为保证取证过程的规范、严格、合法，需要提前准备下列设备和物品：
（1）硬盘密封袋4个，记号笔1支（封装时填写有关信息和签名）
（2）500GB硬盘2个（目标盘）
（3）8GB优盘1个（日志拷贝打印以及其他可能用到的地方）
（4）SOLO-III硬盘复制机两个，带电源、转接接口、数据线（IDE-IDE，SATA-SATA，IDE-SATA，USB）
（5）笔记本电脑1台（读取复制日志并打印）
（6）电子证据现场取证工作记录（两份）（现在已经转换为：电子数据现场（远程）勘验记录）
（7）录像机1台（对现场取证过程进行全程录像），**院提供
（8）插线板1个（早期的国外设备，需要专用插线板，否则需要把墙插的面板拆掉）
五、需要向工作人员了解的问题
1、信息系统工作方式，系统架构，前后台，数据库
2、信息系统数据存储情况，数据导入导出情况
3、信息系统数据录入情况、审批过程情况
4、系统登录方式：用户名、密码，方便取回后分析
六、实验室分析
（具体检验过程，略）
本站仅提供存储服务，所有内容均由用户发布，如发现有害或侵权内容，请
点击举报。
