CyberGlossary

取证与应急响应

移动取证

别称: 手机取证, 智能手机取证

定义

对智能手机、平板和可穿戴设备进行取证采集与分析,提取通讯、应用数据、定位等痕迹。

移动取证面对强加密、锁定的引导加载程序与持续的云同步。采集层级从手动/拍照、逻辑(备份)、文件系统(特权提取)到物理(芯片摘取、JTAG、ISP)不等。Cellebrite UFED、Magnet AXIOM、MSAB XRY、GrayKey、Oxygen Forensic Detective 等商用套件支持 iOS/Android,可解析 SQLite 中的消息、通话、联系人、定位以及 WhatsApp、Signal、Telegram 等应用痕迹。调查人员需考虑密钥库保护数据、Secure Enclave/Knox 边界以及合法访问限制。流程与文档遵循 NIST SP 800-101 与 ISO/IEC 27037。

示例

  • 使用 Cellebrite 对 iPhone 进行 Full File System 提取以恢复已删除消息。
  • 解析 Android 设备的 WhatsApp 数据库,重建聊天历史。

相关术语