CyberGlossary

取证与应急响应

数字取证

别称: 计算机取证, 网络取证

定义

以法律可采信的方式对计算机、网络与设备中的数字证据进行识别、保全、分析和报告的科学学科。

数字取证将调查技术应用于数字证物,以支撑事件响应、诉讼、内部调查及执法案件。从业者遵循 NIST SP 800-86 与 ISO/IEC 27037 等公认流程模型,使用写保护设备和加密哈希完整地获取数据,维护证据链,并通过时间线与痕迹分析重建事件。其子领域包括磁盘、内存、网络、移动与云取证,各有专用工具(Autopsy、EnCase、FTK、X-Ways、Volatility、Wireshark)。目标是产出可复现的结论,经得起法庭或管理层审查,同时支持遏制与修复决策。

示例

  • 使用 FTK Imager 对受感染笔记本电脑制作磁盘镜像,并在 Autopsy 中分析。
  • 恢复已删除的文件与聊天碎片以支持人力资源调查。

相关术语