計(jì)算機(jī)現(xiàn)場(chǎng)取證系統(tǒng)
發(fā)布時(shí)間：2022-06-17 17:23計(jì)算機(jī)現(xiàn)場(chǎng)取證系統(tǒng)（簡稱：SafeImager）是國內(nèi)第一款自主研發(fā)的針對(duì)計(jì)算機(jī)現(xiàn)場(chǎng)取證的工具類軟件?，F(xiàn)場(chǎng)取證系統(tǒng)以光盤、U盤或硬盤為載體，支持直接在取證對(duì)象計(jì)算機(jī)（macOS和Windows系統(tǒng)計(jì)算機(jī)）上運(yùn)行取證程序或者離線啟動(dòng)取證對(duì)象計(jì)算機(jī)進(jìn)行數(shù)據(jù)獲取。操作簡單，便于調(diào)查者現(xiàn)場(chǎng)快速的獲取對(duì)象計(jì)算機(jī)中的電子數(shù)據(jù)，完成計(jì)算機(jī)的現(xiàn)場(chǎng)取證。 計(jì)算機(jī)現(xiàn)場(chǎng)取證系統(tǒng)獲取的電子數(shù)據(jù)支持在多種（SafeAnalyzer、Encase、FTK）分析軟件中做深度分析，且支持計(jì)算獲取的電子數(shù)據(jù)的校驗(yàn)值，輔助取證的截屏、錄像取證功能，可完整的記錄取證過程，確保獲取數(shù)據(jù)的原始性和勘驗(yàn)過程的可追溯性。
用戶價(jià)值丨CUSTOMER VALUES
跨平臺(tái)的取證產(chǎn)品
現(xiàn)場(chǎng)取證系統(tǒng)支持在Windows、macOS、Linux三大系統(tǒng)平臺(tái)上運(yùn)行和取證。
macOS在線取證
現(xiàn)場(chǎng)取證系統(tǒng)（SafeImager）的macOS在線取證能是國內(nèi)首先推出的針對(duì)蘋果計(jì)算機(jī)的在線取證功能。此功能，是非常實(shí)用的，不僅解決了蘋果計(jì)算機(jī)需要拆機(jī)取證的問題，還解決了取證數(shù)據(jù)分析難的問題。
多種文件過濾方式并用
現(xiàn)場(chǎng)取證系統(tǒng)默認(rèn)了數(shù)據(jù)庫、圖片、多媒體、文檔和應(yīng)用程序數(shù)據(jù)庫五類文件的默認(rèn)過濾，支持對(duì)五類文件的過濾內(nèi)容進(jìn)行編輯，內(nèi)置多重邏輯過濾器，支持基于文件屬性的多重邏輯過濾。
靈活的數(shù)據(jù)提取策略
現(xiàn)場(chǎng)取證系統(tǒng)采用基于案件類型的數(shù)據(jù)提取策略。電子數(shù)據(jù)調(diào)查人員在取證前會(huì)填寫案件信息，當(dāng)選擇一個(gè)案件類型后，取證軟件會(huì)根據(jù)選擇的案件類型確定默認(rèn)的數(shù)據(jù)提取項(xiàng)，且支持現(xiàn)場(chǎng)修改提取項(xiàng)。 數(shù)據(jù)提取策略是根據(jù)公安行業(yè)一線取證技術(shù)人員十多年的從業(yè)經(jīng)驗(yàn)制定的策略，不僅可以快速確定提取項(xiàng)，而且此策略還可以指導(dǎo)一線取證技術(shù)人員了解不同案件類型應(yīng)該主要獲取哪些數(shù)據(jù)。 數(shù)據(jù)提取策略支持編輯默認(rèn)策略內(nèi)容和新增策略?？梢詽M足不同用戶對(duì)象的需求。
適用場(chǎng)景多
現(xiàn)場(chǎng)取證系統(tǒng)具備完整的現(xiàn)場(chǎng)取證功能需求，電子數(shù)據(jù)調(diào)查人員可以此軟件對(duì)現(xiàn)場(chǎng)計(jì)算機(jī)設(shè)備進(jìn)行現(xiàn)場(chǎng)勘驗(yàn)取證，并生成和打印報(bào)告，現(xiàn)場(chǎng)取證人員、被調(diào)查人員和見證人員簽名存檔。 我們知道，現(xiàn)今的高度集成的一體化計(jì)算機(jī)（主要是筆記本）設(shè)備在用戶群體中占有很大比例，電子數(shù)據(jù)調(diào)查案件面對(duì)此類設(shè)備的情況也越來越多。此類設(shè)備集成高、難拆卸的共同特點(diǎn)給取證帶來一些阻礙。現(xiàn)場(chǎng)取證系統(tǒng)的多種取證模式可以有效的解決此類問題。
產(chǎn)品功能丨PRODUCT FUNCTIONS
離線取證（Offline）
現(xiàn)場(chǎng)取證系統(tǒng)的離線取證（Offline）是通過離線的方式啟動(dòng)取證對(duì)象計(jì)算機(jī)，支持Windows、macOS和Linux三大系統(tǒng)計(jì)算機(jī)的數(shù)據(jù)取證。
在線取證（Online）
Windows在線取證場(chǎng)景不僅支持離線取證（Offline）的所有功能，還支持內(nèi)存數(shù)據(jù)取證和系統(tǒng)正在運(yùn)行的易失數(shù)據(jù)（賬戶密碼、用戶記錄和動(dòng)態(tài)網(wǎng)絡(luò)數(shù)據(jù)等）取證。
基于案件類型的數(shù)據(jù)提取策略
現(xiàn)場(chǎng)取證系統(tǒng)根據(jù)不同案件類型對(duì)應(yīng)不同的數(shù)據(jù)提取策略。電子數(shù)據(jù)調(diào)查人員新建案件時(shí)選擇的案件類型，將會(huì)成為取證程序選擇數(shù)據(jù)提取策略的依據(jù)。數(shù)據(jù)提取策略包含活動(dòng)記錄和文件提取兩塊內(nèi)容。默認(rèn)策略可在維護(hù)工具中編輯和配置。
截屏與錄屏取證
現(xiàn)場(chǎng)取證系統(tǒng)支持截圖與錄屏取證。便于電子數(shù)據(jù)調(diào)查人員記錄取證的所有過程，做到取證過程可追溯。
勘驗(yàn)報(bào)告
現(xiàn)場(chǎng)取證系統(tǒng)的報(bào)告頁面支持動(dòng)態(tài)生成包含完整取證數(shù)據(jù)的勘驗(yàn)報(bào)，電子數(shù)據(jù)調(diào)查人員可以對(duì)報(bào)告內(nèi)容進(jìn)行預(yù)覽，最終可以根據(jù)選擇內(nèi)容導(dǎo)出最終版的現(xiàn)場(chǎng)勘驗(yàn)報(bào)告。
產(chǎn)品維護(hù)工具
現(xiàn)場(chǎng)取證系統(tǒng)分為取證軟件和維護(hù)軟件兩個(gè)模塊，維護(hù)軟件支持對(duì)取證軟件的案件管理、默認(rèn)配置、維護(hù)升級(jí)和證據(jù)盤擦除功能。
產(chǎn)品優(yōu)勢(shì)丨PRODUCT ADVANTAGE
離線文件系統(tǒng)解析技術(shù)
現(xiàn)場(chǎng)取證系統(tǒng)采用離線文件系統(tǒng)解析和調(diào)用系統(tǒng)API兩種方式讀取硬盤中的文件，根據(jù)不同場(chǎng)景使用不同的文件讀取方式。最主要的還是離線文件系統(tǒng)解析，因?yàn)樗泄δ芑径际腔陔x線文件系統(tǒng)解析技術(shù)實(shí)現(xiàn)的。
離線文件系統(tǒng)解析技術(shù)支持現(xiàn)今主流的文件系統(tǒng)格式的解析，包含F(xiàn)AT32、NTFS，HFS、HFS+、APFS等等。
斷點(diǎn)續(xù)傳技術(shù)
計(jì)算機(jī)固定基本都是采用創(chuàng)建鏡像或者磁盤克隆的方式固定證據(jù)。如今的計(jì)算機(jī)硬盤存儲(chǔ)空間都非常大，由于I/O的讀寫速度，數(shù)據(jù)傳輸接口的傳輸速度等技術(shù)原因，任何取證工具在獲取全盤數(shù)據(jù)的時(shí)候，都需要很多時(shí)間。在漫長的固定證據(jù)過中，很容易出現(xiàn)中斷等問題，現(xiàn)場(chǎng)取證系統(tǒng)通過監(jiān)控和記錄固定證據(jù)的全過程，如果出現(xiàn)中斷的問題，支持從中斷位置開始，繼續(xù)未完成的證據(jù)固定。這避免了出現(xiàn)中斷又要重新開始的問題。
壞道處理技術(shù)
磁盤壞道是最長常見的磁盤故障?，F(xiàn)場(chǎng)取證系統(tǒng)采用了壞道修復(fù)、不能修復(fù)跳過等壞道處理技術(shù)。這項(xiàng)技術(shù)的采用避免因磁盤壞道而造成磁盤數(shù)據(jù)無法固定的現(xiàn)實(shí)問題。