信息安全法律法规14-2016年

信息安全法律和法规(第14讲）,北京信息科技大学 刘凯 liukaibistu.edu.cn,课程安排,总课时：32课时 第一章 信息安全法概述 4学时 第二章 纯正的计算机犯罪 4学时 第三章 不纯正的计算机犯罪 4学时 第四章电子证据及计算机取证 4学时 第五章 与信息安全相关的热点问题 12学时 第六章 计算机安全与道德规范 2学时 第七章 计算机犯罪对策 2学时 biti_statuteyahoo.com.cn 口令：12345678,教材及参考书,教材： 信息安全法教程第二版 麦永浩 袁翔珠 著 武汉大学出版社 2010.6 参考书： 信息法研究 娄耀雄 著 人民法院出版社 2004.8 信息安全法研究 马民虎 主编 陕西人民出版社 2004.11 网络法学 张楚 主编 高等教育出版 2003.5 法律基础 教育部社科司 组编 高等教育出版社 2003.7,犯罪分子越来越多地使用技术手段来方便他们的犯罪活动并逃避拘捕，给律师、法官、执法部门、法学检查人员和企业安全专业人员提出了更高的挑战。可以肯定的是，犯罪分子使用数字技术越多，可用于起诉和逮捕犯罪分子的数字证据就越多。数字证据能广泛用于各种犯罪调查。同样，民事案件也可利用数字证据。计算机记录可以帮助判断事件发生的时间、受害者和嫌疑犯的所在地点，以及和谁进行了通讯，甚至可以反映出他们的动机。调查计算机犯罪涉及到大量的数字证据。调查员必需查阅大量的日志文件以获取有关的线索。,本节课主要内容,数字证据与计算机取证的相关概念 利用数据证据进行调查推理 计算机中的法学应用 Windows系统的法学检验,6.1 数字证据与计算机取证的相关概念 6.1.1 数字证据的定义 6.2.2 数字证据的特征 6.2.3 调查工具的发展 6.2.4 计算机调查的原则 6.2 利用数据证据进行调查推理 6.2.1 调查推理 6.2.2 受害者的研究和风险评估 6.2.3 证据的动态性 6.2.4 报告 6.3 计算机中的法学应用 6.3.1 授权与准备 6.3.2 鉴定 6.3.3 文档编制 6.3.4 收集和保存 6.3.5 检验与分析,课时安排,6.3.6 推理 6.3.7 报告 6.4 Windows系统的法学检验 6.4.1 Windows证据获取启动盘 6.4.2 文件系统 6.4.3 数据证据处理工具概述 6.4.4 数据恢复 6.4.5 日志文件 6.4.6 文件系统跟踪 6.4.7 注册表 6.4.8 Internet跟踪 6.4.9 程序分析,6.1数字证据与计算机取证的相关概念,6.1.1,数字证据,任何使用计算机存储或传输的数据，用于支持或反驳犯罪发生方式的推测，或者用于表述诸如动机、犯罪现场等的犯罪关键要素。,开放计算机系统 通信系统 嵌入式计算机系统,计算机网络犯罪随着Internet的不断普及而不断增多。因此需要借助各种资源和手段快速查询、定位和保护各种类型的电子证据。,开放计算机系统由于持续增长的存储空间，这些系统可以提供大量的数字证据。一个简单的文件中就可以包含罪证信息以及可用于调查的相关特征。比如文件创建时间、创建人等。,6.1数字证据与计算机犯罪调查的相关概念,6.1.1,数字证据,任何使用计算机存储或传输的数据，用于支持或反驳犯罪发生方式的推测，或者用于表述诸如动机、犯罪现场等的犯罪关键要素。,开放计算机系统 通信系统 嵌入式计算机系统,计算机网络犯罪随着Internet的不断普及而不断增多。因此需要借助各种资源和手段快速查询、定位和保护各种类型的电子证据。,传统的电话系统、有线通信系统、Internet以及普通网络都可以作为数据证据的来源。如电子邮件信息。信息发送时间、发送人以及包含的内容在调查中都非常重要。,6.1数字证据与计算机犯罪调查的相关概念,6.1.1,数字证据,任何使用计算机存储或传输的数据，用于支持或反驳犯罪发生方式的推测，或者用于表述诸如动机、犯罪现场等的犯罪关键要素。,开放计算机系统 通信系统 嵌入式计算机系统,计算机网络犯罪随着Internet的不断普及而不断增多。因此需要借助各种资源和手段快速查询、定位和保护各种类型的电子证据。,移动电话、智能卡和许多其它内嵌计算机系统可以包含数字证据。例如导航系统可以用于确定车辆到过的地方，许多车辆所装备的传感和诊断模块中保存的数据可以用于了解意外事故。,What to look for?,MP3 Players,USB Storage Thumb Drives,iButtons,Removable Storage,Flash Memory,6.1数字证据与计算机犯罪调查的相关概念,6.1.2,数字证据的特征,数字证据往往以不同的形式存在于不同的存储介质中。其表现形式大体分为以下几类: (1) 指令形式。 (2) 数据信息形式。 (3) 文件形式。伴随着信息技术的发展,各种应用软件层出不穷,因此出现的数字证据的格式也不计其数。例如:文本文件、图形、文件、图像文件、动画文件、音频文件、视频文件等等。其中碎片是比较特殊的一种文件,它产生于系统、文件或者程序 处理运行过程中,格式相对单一,内容相对固定,产生时间、位置规律性较强。一般情况下,碎片文件所记录的信息均会与其他数字证据相结合使用。与传统的证据相比,多样的表现形式和存储方式,无疑加大了调查取证的困难。,6.1数字证据与计算机犯罪调查的相关概念,6.1.2,数字证据的特征,数字证据一般存在于计算机以及与计算机相关的数字设备的物理存储介质中,删除、修改、病毒感染、错误操作、物理故障以及环境因素等等均可使其价值消失或者起相反作用,无法反映真实的情况,并且修改、破坏证据本身操作简单。被修改或破坏的数字证据,如果没有相应的拷贝、副本、映像文件等等,确认其真实性将十分困难。同样的,相当多的情况下,伪造一个内容一样、属性相同的数字证据也非常容易,这种“证据”将严重阻碍执法人员办案。另一方面,修改、破坏、伪造数字证据的实施者即可能是案件的当事人,也可能是与案件有关的证明人,还可能是其他与案件毫无关系的信息技术的爱好者或者黑客等等,无论是何种人实施此类行为,均可造成影响案件侦破进程的后果。,6.1数字证据与计算机犯罪调查的相关概念,6.1.2,数字证据的特征,一般情况下,互联网络上的违法犯罪行为的实施往往需要借助互联网络中的多台服务器、计算机及其他相关设备来实现,比较简单的也需要一台连接互联网络的计算机和一台代理服务器,这些设备很可能分布在不同的国家和地区,那么在违法犯罪行为实施以后,相应的证明违法犯罪事实的数字证据的位置自然也就是分散的。即使是在很小范围内的局域网中,也必须从被利用实施违法犯罪行为的计算机与被侵害的计算机两个方面来收集相关证据。这一性质致使在互联网络上的数字证据采集的范围、难度大大增加。,6.1数字证据与计算机犯罪调查的相关概念,6.1.2,数字证据的特征,数字证据的连续性也是与互联网络息息相关的,由于互联网络上违法犯罪行为和互联网络上数据传输的连续性,所以分散于互联网络上的各台计算机或者其他设备中的数字证据往往具有时间空间上的连续性,并且能够相互印证,从而形成证明违法犯罪事实的证据。一旦其中一部 分数字证据或者其相关属性被修改或破坏,将很可能造成所有其他证据失去效用,无法证明违法犯罪分子的违法犯罪行为。,6.1数字证据与计算机犯罪调查的相关概念,6.1.2,数字证据的特征,数字证据伴随着信息技术的产生而产生,伴随着信息技术的发展而发展。因此,某一与数字化相关联的违法犯罪行为证据的产生、储存、传输,均离不开科技含量较高的计算机、网络、存储以及其他相关技术。,众所周知, 将计算机中任何一个文件复制成多份是轻而易举的事情,只要你的存储空间足够大,复制多少份都可以。其实不仅是文件,数据信息、指令均可以复制,那么不言而喻,数字证据的复制也是可行的。复制数字证据需要注意以下几个方面的问题:首先,在复制某些数字证据的同时,其相关属性可能会发生改变,以至数字证据失去相应的效力。,6.1数字证据与计算机犯罪调查的相关概念,6.1.3,数字证据的法律地位,数字证据与书证 数字证据与视听资料 数字证据与物证等其它几种传统证据,现行的诉讼证据: 书证、物证、视听资料、当事人陈述、证人证言、签定结论以及戡验笔录等七种。,6.1数字证据与计算机犯罪调查的相关概念,6.1.4,数字证据的可采标准,是证据的自然属性,是证据与案件事实之间客观存在的联系。,采取法定形式、具有法定来源、由法定主体以合法手段取得的证据材料。,从最初的收集获取到作为诉讼证据使用，其内容没有任何变化。,6.1数字证据与计算机犯罪调查的相关概念,6.1.5,调查工具的发展,数字调查员通常使用可作为证据的计算机去获得证据。这种方法的一个风险就是操作证据计算机可能会不经意就修改数据。,SafeBack和DIBS之类的工具才开发出来，使数字调查员可以收集所有在计算机磁盘上的数据，而不会更改重要的细节。接着又有Encace和FTK的集成工具。,The Sleuthkit和SMART这样的工具，提供了一个友好的界面。还有更先进的工具，可以从硬盘上恢复被覆盖的数据。,6.1数字证据与计算机犯罪调查的相关概念,6.1.6,计算机取证的原则,调查应当首先启动法律程序，要在法律规定的范围内展开工作，否则会陷入被动。,由原告委派的专家所进行整个的检查、取证过程，必须受到由其他方委派的专家的监督。,在取证过程中，要尊重任何关于客户代理人的隐私。一旦获取了一些关于公司或个人的隐私，决不能泄露。,如果取证要求必须运行某些业务程序，应当使运行时间尽量短。必须保证取证不给系统带来副作用，如引进病毒等。,必须保证提取出来的证据不受电磁或机械的损害。 必须保证收集的证据不被取证程序破坏。,6.2 利用数据证据进行调查推理,6.2.1,调查推理,犯罪不会总是以直白或易于辩查的方式实施。调查员也不会总能够靠遗留的证据来证明所怀疑的是真实发生的。,指通过拼接在调查过程收集来的零碎证据和信息以便更好地判断受害者与罪犯间所发生的事实真相的系统过程。,当任何两个物体相互接触时，就会产生交叉转移。当犯罪分子实施犯罪时，他们会在案发现场留下犯罪痕迹。,包括模糊法学分析、受害者研究以及犯罪现场特征。调查推理除了可帮助 发现和确定另外的证据外，还有许多其它的用途。比如进一步理解案件事实及它们的相关性、查找隐藏的证据、发现具有犯罪动机、手段和机会的嫌疑犯。,6.2 利用数据证据进行调查推理,任何事物都可以通过两种或两种以上的方式进行进行诠释，而且每一种诠释都可以接受质疑。在模糊法分析中实物证据和数字证据仍然可以接受诠释。模糊分析法是一种能客观地评价获得的证据、不受其它诠释的约束，来确定其真实意义的过程。其目的是识别可能已经存在的任何错误。,涉及计算机的模糊法学分析的基本目标应该解决一些基本问题，比如计算机来自何处，过去谁使用过它、如何使用的、主要包含什么数据，以及是否需要密码等等。,我们可以利用证据来排好事件的顺序，确定位置和路径，确定方向和行为的时间或持续时间。被用来确定物体之间或犯罪之间关系的证据，称为相关性证据；被用来确定事物运行或应用方式的证据，称为功能性证据；被用来确定某一时间段事态的证据，称为时间性证据。,6.2 利用数据证据进行调查推理,创建事件的时间表，能帮助调查员洞悉发生了什么以及涉嫌犯罪的人员。这样一个时间表能够帮助调查员识别事件的形态和异常情况，搞清楚犯罪的经过并引导出其它的证据来源。,当推理犯罪时，考虑犯罪所必须的条件是非常有用的。可以对原始硬盘进行一些功能性的测试以确定系统是否能执行某些基本操作，比如软盘是否能读写证据磁盘。在具体断案中搞清计算机系统是否具备完成犯罪行为的能力是十分关键的。,