計算機犯罪及取征技術(shù)的研究
要:計算機技術(shù)的迅速發(fā)展改變了人們的生活方式、生產(chǎn)方式與管理方式。同時,也為違法犯罪分子提供了新的犯罪空間和手段。以計算機信息系統(tǒng)為犯罪對象和工具的各類新型犯罪活動越來越多,造成的危害也越來越大。如何獲取與計算機犯罪相關(guān)的電子證據(jù),將犯罪分子繩之以法。已成為司法和計算機科學(xué)領(lǐng)域中亟待解決的新課題。作為計算機領(lǐng)域和法學(xué)領(lǐng)域的一門交叉科學(xué)——計算機取證學(xué)成為人們研究與關(guān)注的焦點。
本文引用地址:http://m.butianyuan.cn/article/202262.htm關(guān)鍵詞:計算機犯罪計算機取證電子證據(jù)
Abstract:Therapiddevelopmentofcomputertechnologyhaschangedthewayofliving,productionandmanagement.Italsopresentsnewguiltywaysforthecriminals.Thenewtypesofcrimesbytakingthecomputerinformationsystemastheobjectandtoolsareincreasing.It’sgettingmoreharmful.Howtogettheevidenceofcomputercriminalsisanewtaskforthelawandcomputersciencearea.Proofbycomputer,asascienceofcomputerandlawarea.becomesafocusofattention.
KeyWords:CrimeonComputer,ComputerEvidence,ElectronicEvidence
計算機犯罪是伴隨計算機的發(fā)明和廣泛應(yīng)用而產(chǎn)生的新的犯罪類型。隨著計算機技術(shù)的飛速發(fā)展。計算機在社會中的應(yīng)用領(lǐng)域急劇擴大。計算機犯罪的類型和領(lǐng)域不斷增加和擴展。使“計算機犯罪”這一術(shù)語隨著時間的推移不斷獲得新的涵義。
1 什么是計算機犯罪
在學(xué)術(shù)研究上.關(guān)于計算機犯罪迄今為止尚無統(tǒng)一的定義(大致說來,計算機犯罪概念可歸為五種:相關(guān)說、濫用說、工具說、工具對象說和信息對象說)。根據(jù)刑法條文的有關(guān)規(guī)定和我國計算機犯罪的實際情況,計算機犯罪是指行為人違反國家規(guī)定.故意侵入國家事務(wù)、國防建設(shè)、尖端科學(xué)技術(shù)等計算機信息系統(tǒng),或者利用各種技術(shù)手段對計算機信息系統(tǒng)的功能及有關(guān)數(shù)據(jù)、應(yīng)用程序等進行破壞。制作、傳播計算機病毒。影響計算機系統(tǒng)正常運行且造成嚴重后果的行為。
利用計算機進行犯罪活動,無外乎以下兩種方式:一是利用計算機存儲有關(guān)犯罪活動的信息;二是直接利用計算機作為犯罪工具進行犯罪活動。計算機犯罪具有犯罪主體的專業(yè)化、犯罪行為的智能化、犯罪客體的復(fù)雜化、犯罪對象的多樣化、危害后果的隱蔽性等特點。使計算機犯罪明顯有別于傳統(tǒng)一般刑事犯罪。近年來,計算機犯罪案例呈逐年上升趨勢。給國家?guī)聿豢晒懒康膰乐睾蠊途薮蟮慕?jīng)濟損失,甚至威脅到國家的安全,破壞了良好的社會秩序。所以,打擊利用計算機進行的犯罪,確保信息安全對于國家的經(jīng)濟發(fā)展和社會穩(wěn)定具有重大現(xiàn)實意義。為有效地打擊計算機犯罪,計算機取證是一個重要步驟。存在于計算機及相關(guān)外圍設(shè)備(包括網(wǎng)絡(luò)介質(zhì))中的電子證據(jù)已經(jīng)成為新的訴訟證據(jù)之一。
2 什么是計算機取證
計算機取證又稱為數(shù)字取證或電子取證,是指對計算機入侵、破壞、欺詐、攻擊等犯罪行為利用計算機軟硬件技術(shù),按照符合法律規(guī)范的方式進行證據(jù)獲取、保存、分析和出示的過程。從技術(shù)上,計算機取證是一個對受侵計算機系統(tǒng)進行掃描和破解,以對入侵事件進行重建的過程。
計算機取證包括物理證據(jù)獲取和信息發(fā)現(xiàn)兩個階段。物理證據(jù)獲取是指調(diào)查人員到計算機犯罪或入侵的現(xiàn)場,尋找并扣留相關(guān)的計算機硬件;信息發(fā)現(xiàn)是指從原始數(shù)據(jù)(包括文件,日志等)中尋找可以用來證明或者反駁的證據(jù),即電子證據(jù)。與傳統(tǒng)的證據(jù)一樣,電子證據(jù)必須是真實、可靠、完整和符合法律規(guī)定的。
2.1物理證據(jù)的獲取
物理證據(jù)的獲取是全部取證工作的基礎(chǔ)。獲取物理證據(jù)是最重要的工作,保證原始數(shù)據(jù)不受任何破壞。無論在任何情況下,調(diào)查者都應(yīng)牢記:
(1)不要改變原始記錄;
(2)不要在作為證據(jù)的計算機上執(zhí)行無關(guān)的操作;
(3)不要給犯罪者銷毀證據(jù)的機會;
(4)詳細記錄所有的取證活動;
(5)妥善保存得到的物證。
若現(xiàn)場的計算機處于工作狀態(tài)。取證人員應(yīng)該設(shè)法保存盡可能多的犯罪信息。由于犯罪的證據(jù)可能存在于系統(tǒng)日志、數(shù)據(jù)文件、寄存器、交換區(qū)、隱藏文件、空閑的磁盤空間、打印機緩存、網(wǎng)絡(luò)數(shù)據(jù)區(qū)和計數(shù)器、用戶進程存儲器、文件緩存區(qū)等不同的位置。要收集到所有的資料是非常困難的。關(guān)鍵的時候要有所取舍。如果現(xiàn)場的計算機是黑客正在入侵的目標。為了防止犯罪分子銷毀證據(jù)文件,最佳選擇也許是馬上關(guān)掉電源;而如果計算機是作案的工具或相關(guān)信息的存儲器。應(yīng)盡量保存緩存中的數(shù)據(jù)。
2.2信息發(fā)現(xiàn)
取得了物理證據(jù)后。下一個重要的工作就是信息發(fā)現(xiàn)。不同的案件對信息發(fā)現(xiàn)的要求是不一樣的。有些情況下要找到關(guān)鍵的文件、郵件或圖片,而有些時候則可能要求計算機重現(xiàn)過去的工作細節(jié)(比如入侵取證)。
值得注意的是。入侵者往往在入侵結(jié)束后將自己殘留在受害方系統(tǒng)中的“痕跡”擦除掉。猶如犯罪者銷毀犯罪證據(jù)一樣,盡量刪除或修改日志文件及其它有關(guān)記錄。殊不知一般的刪除文件操作,即使在清空了回收站后,若不將硬盤低級格式化或?qū)⒂脖P空間裝滿,仍可將“刪除”的文件恢復(fù)過來。在Windows操作系統(tǒng)下的windowsswap(page)fde(一般用戶不曾意識到它的存在)大概有20-200M的容量,記錄著字符處理、Email消息、Internet瀏覽行為、數(shù)據(jù)庫事務(wù)處理以及幾乎其它任何有關(guān)windows會話工作的信息。另外。在windows下還存在著fdeslack,記錄著大量Email碎片(Fragments)、字符處理碎片、目錄樹鏡像(snapshot)以及其它潛在的工作會話碎片。以上這些都可以利用計算機取證軟件來收集。事實上。現(xiàn)在的取證軟件已經(jīng)具有了非常好的數(shù)據(jù)恢復(fù)能力,同時,還可以做一些基本的文件屬性獲得和檔案處理工作。
數(shù)據(jù)恢復(fù)以后。取證專家還要進行關(guān)鍵字的查詢、分析文件屬性和數(shù)字摘要、搜尋系統(tǒng)日志、解密文件等工作。由于缺乏對計算機上的所有數(shù)據(jù)進行綜合分析的工具,所以,信息發(fā)現(xiàn)的結(jié)果很大程度上依賴于取證專家的經(jīng)驗。這就要求一個合格的取證專家要對信息系統(tǒng)有深刻的了解。掌握計算機的組成結(jié)構(gòu)、計算機網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫等多方面的相關(guān)知識。
最后取證專家據(jù)此給出完整的報告。將成為打擊犯罪的主要依據(jù),這與偵查普通犯罪時法醫(yī)的角色沒有區(qū)別。
3一些取證工具的介紹
在計算機取證過程中。相應(yīng)的取證工具必不可少,常見的有tcpdump,Argus,NFR,EnCase,tcpwrapper,sniffers,honeypot,Tripwires,Networkmonitor,鏡像工具等。在國外計算機取證過程中比較流行的是鏡像工具和專業(yè)的取證軟件。下面以EnCase作為一個計算機取證技術(shù)的案例來分析。EnCase是目前使用最為廣泛的計算機取證工具,至少超過2000家的去律執(zhí)行部門在使用它。EnCase是用C 編寫的容量大約為1M的程序,它能調(diào)查Windows,Macintosh,Anux,Unix或DOS機器的硬盤,把硬盤中的文件鏡像或只讀的證據(jù)文件。這樣可以防止調(diào)查人員修改數(shù)居而使其成為無效的證據(jù)。為了確定鏡像數(shù)據(jù)與原的數(shù)據(jù)相同。EnCase會與計算機CRC校驗碼和MD5臺希值進行比較。EnCase對硬盤驅(qū)動鏡像后重新組織文件結(jié)構(gòu),采用WindowsGUI顯示文件的內(nèi)容。允許調(diào)查員使用多個工具完成多個任務(wù)。:本文來自中國電子網(wǎng)歡迎轉(zhuǎn)載。
在檢查一個硬盤驅(qū)動時,EnCase深入操作系統(tǒng)底層查看所有的數(shù)據(jù)——包括fileslack.未分配的空司和Windows交換分區(qū)(存有被刪除的文件和其它潛生的證據(jù))的數(shù)據(jù)。在顯示文件方面,EnCase可以由多種標準,如時間戳或文件擴展名來排序。此外.EnCase可以比較已知擴展名的文件簽名。使得調(diào)查人員能確定用戶是否通過改變文件擴展名來隱藏證據(jù)。對調(diào)查結(jié)果可以采用html或文本方式顯示。并可打印出來。
在計算機取證的過程中還有一種常用的方法是在被入侵的系統(tǒng)上巧妙地設(shè)立HoneyPot,模擬先前被入侵的狀態(tài)來捕獲入侵者的信息,即采用誘敵深入的計策達到取證的目的。
HoneyPot和Honeynet都是專門設(shè)計來讓人“攻陷”的網(wǎng)絡(luò)。一旦被入侵者攻破,入侵者的一切信息、工具都將被用來分析學(xué)習(xí)。
通常情況下,HoneyPot會模擬常見的漏洞。而Honeynet是一個網(wǎng)絡(luò)系統(tǒng),而非某臺單一主機。這一網(wǎng)絡(luò)系統(tǒng)隱藏在防火墻后面,所有進出的數(shù)據(jù)都受到關(guān)注、捕獲及控制。這些捕獲的數(shù)據(jù)可被用來研究分析入侵者使用的工具、方法及動機。
更多計算機與外設(shè)信息請關(guān)注:21ic計算機與外設(shè)頻道
評論