GA_T 1474-2018法庭科学计算机系统用户操作行为检验技术规范.pdf

ICS_13.310A 92GA中华人民共和国公共安全行业标准GA/T 1474—2018法庭科学计算机系统用户操作行为检验技术规范Technical specifications for examination of computer system useroperation behaviors in forensics2018-04-17发布2018-04-17实施中华人民共和国公安部发布 GA/T 1474—2018前言本标准按照GB/T1.1—2009给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国刑事技术标准化技术委员会电子物证检验分技术委员会（SAC/TC179/SC7)提出并归口。本标准起草单位：司法部司法鉴定科学技术研究所、公安部物证鉴定中心，本标准主要起草人：施少培、杨旭、李岩、卢启萌、曾锦华、楚川红。- GA/T 1474—2018法庭科学计算机系统用户操作行为检验技术规范1范围本标难观定了计算机系统用户操作行为检验的技术方法和步案。本标准适用于法庭科学领域中的计算机系统用户操作行为检验。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件，凡是不注日期的引用文件，其必威体育精装版版本（包所有的修改单）适用手本文件。GB/T 29360电子物证数据恢复检验规程GB/T 29362电子物证数据搜案检验规程GA/T 756数字化设备证据数据发现提取固方法GA/T 976电子数据法庭科学鉴定通用方法GA/T 1172电子邮件检验技术方法GA/T 1173即时通讯记录检验技术方法GA/T 1176网页测览器历史数据检验技术方法3术语和定义GA/T976界定的以及下列术语和定义适用于本文件。3.1用户操作行为user operation behavior用户使用计算机系统的特定行为，如开/关机、登录/登出、接人外部设备、文件操作、打印、软件使用、测览网页、即时通讯、收发电子邮件等，分为正在进行的行为和已经发生的行为，3.2操作痕迹operation trace反映用户操作行为过程的数据，存在于日志、注册表、临时文件、配置文件、数据库等区域。4检验步票4.1准备4,1,1了解检材的使用情况，包括用户信息、系绕状态、可能的操作行为类别等。4.1.2如检材有登录口令或加密密钥保护，宜获取口令或密钥信息。4.2固定保全4.2.1对检材进行唯一性编号。- GA/T 1474—20184.2.2对检材进行拍照或录像，记录其特征。4.2.3根据检材情况和检验需要，照GA/T756的相关要求进行完整性备份。无法进行完整性备份的，对检验过程进行全程录像。4.3有哪些信誉好的足球投注网站和恢复极据检验需要，按照GB/T29360和GB/T29362有哪些信誉好的足球投注网站、恢复保存在检材中的相关文件和数据。4,4行为检验4,4,1根据检材具体情况和计算机操作系统类型，视检验需要对包括但不限于4.4.2~4.4.9的内容进行检验和分析。4.4.2开/关机及登录/登出检验至少应包括以下内容：a)检验系航日志、应用程序日志及系统安全日志等日志文件中与开/关机及登录/登出相关的记录；b)检验系统配置信息，如Windows系统注册表中的相关数据；c)在系统中其他位置查找与开/关机及登录/登出相关的信息，如系统中文件的修改时间、防病毒软件及其他软件的启动/关闭记录等。4,4.3接人外部设备检验至少应包括以下内容：a)检验系统驱动安装日志中与外部设备相关的数据；b)检验系统配置信总，如Windows系统注需表中的相关数岩c)检验快捷方式中与外部设备相关的数据，如最近访间记录等；d)检验缓存文件中与外部设备相关的数据，如图标缓存等；e)检验系统中的文件与外部设备中的文件的相似性及复制关系；0对于存在自动备份机制的外部设备，检验其备份在计算机系统中的数据，4.4.4文件操作检验至少应包括以下内容：a)检验文件的属性信息；b)检验文件的元数据信息；c)检验文件操作形成的临时文件、备份文件、快捷方式等；d)检验文件在相关软件及系统中的最近打开记录；e)对于被删除的文件，检验其状态、位置及内容，4.4.5打印检验至少应包括以下内容：a)检验系统中安装的打印机驱动程序；b)检验打印临时文件，如Windows系统的SHD、SPL及TMP文件；c)查找打印源文件，检验其中的打印时间。4.4.6软件使用检验至少应包括以下内容：a)检验系统中需检软件文件的属性信息；b)检验软件运行时生成的配置文件、临时文件及其属性信息；c)检验软件的日志信息；d)检验软件在系统中其他位置留下的信息，如Windows系统注册表、系统还原点、系统镜像、最近打开文档等；e)对于含有数据库的软件，对数据库中的数据进行检验。4,4.7