【正文】 網(wǎng)絡(luò)取證的大部分證據(jù)都不在一個(gè)主機(jī)或一個(gè)存儲(chǔ)設(shè)備中，需要搜索大量的硬盤(pán)驅(qū)動(dòng)器和大量的計(jì)算機(jī)。確保封裝后的證據(jù)不會(huì)被過(guò)冷，過(guò)熱或過(guò)濕的環(huán)境所影響。 ? 處理證據(jù) – 證據(jù)提取和證據(jù)保管，證據(jù)保管包括包裝，存儲(chǔ)和運(yùn)輸。 – 主要功能 ： 收集數(shù)據(jù)與分析數(shù)據(jù) – 提供服務(wù) ：事故應(yīng)急響應(yīng)預(yù)案、應(yīng)急響應(yīng)、入侵?jǐn)?shù)據(jù)的技術(shù)性分析、攻擊工具的逆向追蹤。 ? 基亍硬件的取證工具 – 固定的 – 便攜或輕量級(jí)的 ： 筆記本電腦 – 寫(xiě)阻斷器 ： 可以使偵查員在不關(guān)閉系統(tǒng)的情況下對(duì)硬件驅(qū)動(dòng)器進(jìn)行移除和重連接操作 2022/2/5 網(wǎng)絡(luò)取證工具 ? Tcpdump – 可以在大量信息中過(guò)濾個(gè)別符合條件的數(shù)據(jù)包 ? Strings – 可以根據(jù)網(wǎng)絡(luò)數(shù)據(jù)傳遞相應(yīng)的信息 ? 商用取證工具 – 在網(wǎng)絡(luò)中通過(guò)監(jiān)控網(wǎng)絡(luò)中每個(gè)端口的流量來(lái)監(jiān)控內(nèi)部、外部的網(wǎng)絡(luò)數(shù)據(jù)，通過(guò)這些數(shù)據(jù)，就可以知道網(wǎng)絡(luò)上的用戶行為與行為對(duì)象。 – 在傳輸過(guò)程中，要使用一些強(qiáng)大的數(shù)據(jù)隱藏技術(shù)，例如數(shù)據(jù)加密，信息隱藏，密碼保護(hù)等對(duì)證據(jù)進(jìn)行保護(hù)。2022/2/5 第 13章 計(jì)算機(jī)與網(wǎng)絡(luò)取證技術(shù) ? 基本概念 ? 計(jì)算機(jī)取證技術(shù) ? 網(wǎng)絡(luò)取證 ? 取證工具 ? 習(xí)題 基本概念 ? 計(jì)算機(jī)取證 – 計(jì)算機(jī)取證技術(shù)就是在計(jì)算機(jī)的存儲(chǔ)介質(zhì)，如硬盤(pán)或其它磁盤(pán)中，進(jìn)行信息檢索和調(diào)查。 ? 證據(jù)傳輸 – 由于在傳輸過(guò)程中，可信的內(nèi)部人員能夠接觸到證據(jù)，因此為保持監(jiān)管，應(yīng)該檢查沿途所有處理過(guò)證據(jù)的人員的數(shù)字簽名。