三级电子物证实验室建设方案书研究.doc

新疆公安厅库车公安局 电子数据取证鉴定实验室 建设项目方案书 版本：2.0 2014 目录9-6-26 盘石数码 2.0版本上修改了文档风格和格式 技术和工作基础 公司介绍 盘石软件(前身“上海盘石数码信息技术有限公司”)成立于2002年，专业从事网络安全和计算机取证产品的研发和服务。2004年4月，随着专业取证技术的发展，计算机取证产品的研发和服务即成为公司的主要发展方向。盘石公司的取证技术人员曾多次参与针对公安技术人员的全国性的培训讲解，和公安信息网络安全保卫部门建立了良好的沟通关系，提供专业的取证产品和技术服务，在一些新的技术领域和案件上提出自己的见解并参与到实际工作中。 在计算机取证研发和实践过程中，盘石公司对国内外电子证据鉴定实验室的建设也十分关注。参照国外实验室的框架我们为公安部、上海、广州、湖北、安徽、浙江等地的实验室提供了建设方案，并参与公安部十一局、湖北省公安厅、安徽省公安厅、上海市公安局等各地电子证据鉴定实验室的建设和装备提供。 盘石软件的企业文化： 企业愿景：成为具有世界水平的电子取证技术专业公司 企业目标：高度专注于电子取证领域的软件开发与技术服务 核心价值观：为社会、客户、员工创造共同价值 企业口号：发展安全、专注取证、坚如磐石 质量方针：持续创新、技术领先、品质卓越、专业服务 盘石公司产品介绍 盘石现场计算机取证系统（SafeImager） 盘石计算机现场取证系统（SafeImager）由可以启动的光盘/U盘、外接的数据存储设备构成。使用SafeImager光盘/U盘启动对象计算机或者在对象计算机上直接运行SafeImager应用程序，可以快速有效地获取对象计算机上的数据，保存到外接的数据存储设备中。 SafeImager获取的数据可以在各类数据分析软件（例如SafeAnalyzer、MedAnalyzer、Encase、FTK、Smart等）中使用，并可以在获取数据的过程中计算数据的摘要，作为数据完整性和有效性的证明。 SafeImager由两个功能模块组成：离线取证（Offline）和在线取证（Online）。 离线取证 使用SafeImager光盘/U盘启动对象计算机，获取对象计算机数据。在不改变对象计算机数据的前提下，SafeImager提供简洁易用的的操作界面，确保硬盘复制位对位的准确率，保证对象计算机的硬盘数据没有任何的改变，提供现场快速获取和介质分析的功能。SafeImager支持Unix/Linux/*BSD/Windows等多种操作系统，具有轻便、适合现场应用的特性。 离线取证的主要功能如下： 实现对象计算机的硬盘数据镜像，生成复制盘，同时生成数字摘要。复制盘和原始盘具有完全一致的数据。对复制盘的数据分析，具有和对原始盘数据分析同样的效果。通过启动复制盘，模拟对象计算机本地环境。 实现对象计算机的硬盘和分区数据镜像，生成DD格式、AFF格式的镜像文件，同时生成数字摘要。。DD格式的镜像文件具有和硬盘一样的结构，是对硬盘数据的按位复制，保证数据一致性，是目前法律上认可的数据镜像格式。AFF是高级取证格式，用来保存磁盘镜像信息和相关取证信息的可扩展的开放格式。使用DD格式、AFF格式的镜像文件，可以在各种取证系统中(SafeAnalyzer、 Encase、 FTK等)直接加载和分析。 实现对象计算机中的硬盘和分区进行数字摘要计算，文件的数字摘要类似于人的指纹，只有内容完全相同的文件具有相同的数字摘要，便于验证。 实现对象计算机中的特定目录或者文件进行复制。可以选择需要复制的。SafeImager在复制的同时可以生成每一个文件的数字摘要。 对取证硬盘进行擦除操作。 在线取证 在目标系统运行的情况下，对目标系统内部的易失数据如内存信息，临时文件等进行取证。同时由于现场的复杂性，有可能无法对目标系统进行离线取证，可以通过在线取证系统进行取证。由于在线取证软件需要运行在目标系统的操作环境，所以可能会对证据有效性有所影响，须要配合拍照、摄像等手段保持证据力。在线取证目前支持Windows 2000/XP/2003平台。 在线取证的主要功能如下： 导出系统信息： 导出运行系统内存中的47类易失信息，分为3个大类：操作系统信息、密码信息和上网记录。 内存信息复制： 对对象计算机物理内存进行数据镜像，生成DD格式或者AFF格式的数据镜像文件 在线硬盘复制 不关机情况下对对象计算机的硬盘进行数据镜像，可以硬盘克隆、生成DD镜像文件和AFF镜像文件。在复制的同时可以生成数字摘要。 在线分区复制 不关机情况下对对象计算机的分区进行数据镜像，可以生成DD镜像文件和AFF镜像文件。支持各种虚拟分区软件（如PrivateDisk）创建的虚拟分区的获取。在复制的同时