电子数据取证与鉴定

第三十七期电子数据鉴定的注意事项

Mon, 19 Aug 2019 23:46:00 +0800

原创蝈蝈 2019-08-19 23:46

作为新《刑事诉讼法》、《民事诉讼法》和《行政诉讼法》新增的法定证据种类，电子数据在各类诉讼中发挥着越来越重要的作用，成为挖掘案件真相的关键。本文将结合认证认可的要求分析一下电子数据鉴定过程中的注意事项。

编

者

按

《刑事诉讼法》第一百四十四条规定“为了查明案情，需要解决案件中某些专门性问题的时候，应当指派、聘请有专门知识的人进行鉴定”。鉴定，是指在诉讼活动中鉴定人运用科学技术或者专门知识对诉讼涉及的专门性问题进行鉴别和判断并提供鉴定意见的活动。鉴定意见作为证据的一种，是法庭审理案件、查明案件真相的有力助手，对于案件的定罪量刑发挥着至关重要的作用。

作为新《刑事诉讼法》、《民事诉讼法》和《行政诉讼法》新增的法定证据种类，电子数据在各类诉讼中发挥着越来越重要的作用，成为挖掘案件真相的关键。我国由于历史的原因和相关法律法规尚不完善，行业部门对于电子数据鉴定的认识和理解存在差异，因此有必要充分理解法律法规对于鉴定的相关要求，才能更准确地为法律和人民服务。

根据《全国人民代表大会常务委员会关于司法鉴定管理问题的决定》（以下简称人大“2.28”决定），鉴定机构“有在业务范围内进行鉴定必须的依法通过计量认证或者实验室认可的检测实验室”。根据此款规定，包括电子数据鉴定在内的鉴定机构需要进行认证或者认可成为强制性要求。2017年10月16日，中国国家认证管理监督委员会发布了RB/T 214-2017《检验检测机构资质认定能力评价检验检测机构通用要求》和RB/T 219-2017《检验检测机构资质认定能力评价司法鉴定机构要求》。2018年3月1日，中国合格评定国家认可委员会（CNAS）于发布了CNAS-CL08：2018《司法鉴定/法庭科学机构能力认可准则》和CNAS-CL08-A001：2018《司法鉴定/法庭科学机构能力认可准则在电子数据鉴定领域的应用说明》。本文将结合认证认可的要求分析一下电子数据鉴定过程中的注意事项。

实施鉴定的主体

在人大“2.28”决定和各部门法规共同作用下，我国建立了符合中国实际发展的鉴定体系。目前我国实施鉴定的主体机构必须是按法律、法规规定，取得鉴定资质的机构。鉴定人必须是获得鉴定人执业许可证的鉴定人。对于没有法定司法鉴定机构，或者法律、司法解释规定可以进行检验的，可以指派、聘请有专门知识的人进行检验。此外，必须注意鉴定人员不能是案件的侦查人员。目前，我国能够从事电子数据鉴定的机构主要包括：服务性的社会司法鉴定机构、公安机关内设鉴定机构和检察院内设机构等。

鉴定时限

《司法鉴定程序通则》规定“司法鉴定机构应当自司法鉴定委托书生效之日起30个工作日内完成鉴定。鉴定事项涉及复杂、疑难、特殊技术问题或者鉴定过程需要较长时间的，经本机构负责人批准，完成鉴定的时限可以延长，延长时限一般不得超过30个工作日。鉴定时限延长的，应当及时告知委托人。司法鉴定机构与委托人对鉴定时限另有约定的，从其约定。在鉴定过程中补充或者重新提取鉴定材料所需的时间，不计入鉴定时限“。

《公安机关鉴定规则》规定“机构应当在十五个工作日内做出鉴定意见，出具鉴定文书，法律法规、技术规程另有规定，或者侦查破案、诉讼活动有特别需要，或者鉴定内容复杂、疑难及检材数量较大的，鉴定机构可以与委托鉴定单位另行约定鉴定时限。需要补充检材、样本的，鉴定时限从从检材、样本补充齐全之日起算”。

鉴定范围

目前，没有法律规定对于电子数据鉴定/检验的范围进行规定，公安部发布的《公安机关电子数据鉴定规则》虽然使用了电子数据鉴定的概念，但没有明确电子数据鉴定的内涵和外延。根据司法部2019年的《声像资料司法鉴定执业分类规定》（征求意见稿），电子数据鉴定应用范围包括：电子数据提取、固定与恢复、电子数据信息分析、电子数据真实性鉴定、电子数据功能性鉴定、电子数据相似性鉴定、电子数据的解密等。

而根据认可要求，司法鉴定/法庭科学认可领域包括：2401 电子数据的提取、固定与恢复；2402 电子数据真实性(完整性)鉴定；2403 电子数据同一性、相似性鉴定。

送检材料的处理与风险控制

鉴定的一切活动都是围绕送检材料而展开的。电子数据鉴定不同于传统鉴定，其鉴定对象为电子数据，一般保存在存储介质或者网络中，存储形式为虚拟形式，需要专用设备才能读取和分析。同时电子数据具有动态性，例如内存中的数据，往往处于变化中。电子数据还具有易失性，提取的时机和方法不当，就会造成证据损毁或灭失。因此送检材料的真实性和完整性是鉴定客观真实的基础。送检材料必须保证来源和接收符合相关法律和规定。

在委托受理阶段，鉴定机构应对于检材的封存、录像、完整性校验以及对移动终端类检材是否采取信号屏蔽、信号阻断或者切断电源等措施进行检查，确保了整个证据链的完整性。在标示方面，鉴定机构应考虑到各类检材的不同特性选择适宜的标识方式，如区分不同检材的唯一性标识或区别同一检材/样本在不同流转阶段的状态标识等。在风险控制方面，由于实际鉴定中存在可能对检材造成损坏或改变的的情况，如在手机提取时可能会需要进行密码破解、提权、降级或者拆芯片的操作、硬盘进行数据恢复时可能需要进行开盘操作，类似这种情况就需要向委托方进行风险告知，由委托方书面确认后再进行相应的工作。

鉴定方法的选择

人大“2.28”决定从国家基本法律层面对电子数据鉴定遵守技术标准的义务做了明确规定，即“鉴定人和鉴定机构从事司法鉴定业务，应当遵守法律、法规，遵守职业道德和职业纪律，尊重科学，遵守技术操作规范。”目前，国内的电子数据取证鉴定标准体系主要分为：国家标准、行业标准（包括由公安部信息系统安全标准化技术委员会归口和全国刑事技术标准化技术委员会电子物证检验分技术委员会归口的公共安全行业标准）、司法鉴定技术规范、以及各地司法鉴定协会制定的团体标准和各相关实验室自制的方法。

一、国家标准

1、GB/T 29360-2012 电子物证数据恢复检验规程

2、GB/T 29361-2012 电子物证文件一致性检验规程

3、GB/T 29362-2012 电子物证数据搜索检验规程

4、GB/T 31500-2015 信息安全技术存储介质数据恢复服务要求

二、公共安全行业标准

1、GA/T 754-2008 电子数据存储介质复制工具要求及检测方法

2、GA/T 755-2008 电子数据存储介质写保护设备检测方法

3、GA/T 756-2008 数字化设备证据数据发现提取固定方法

4、GA/T 757-2008 程序功能检验方法

5、GA/T 825-2009 电子物证数据搜索检验技术规范(已作废)

6、GA/T 826-2009 电子物证数据恢复检验技术规范(已作废)

7、GA/T 827-2009 电子物证文件一致性检验技术规范(已作废)

8、GA/T 828-2009 电子物证软件功能检验技术规范

9、GA/T 829-2009 电子物证软件一致性检验技术规范

10、GA/T 976-2012 电子数据法庭科学鉴定通用方法

11、GA/T 977-2012 取证与鉴定文书电子签名

12、GA/T 978-2012 网络游戏私服检验技术方法

13、GA/T 1069-2013 法庭科学电子物证手机检验技术规范

14、GA/T 1070-2013 法庭科学计算机开关机时间检验技术规范

15、GA/T 1071-2013 法庭科学电子物证Windows操作系统日志检验技术规范

16、GA/T 1170-2014 移动终端取证检验方法

17、GA/T 1171-2014 芯片相似性比对检验方法

18、GA/T 1172-2014 电子邮件检验技术方法

19、GA/T 1173-2014 即时通讯记录检验技术方法

20、GA/T 1174-2014 电子证据数据现场获取通用方法

21、GA/T 1175-2014 软件相似性检验技术方法

22、GA/T 1176-2014 网页浏览器历史数据检验技术方法

23、GA/T 1474-2018 法庭科学计算机系统用户操作行为检验技术规范

24、GA/T 1475-2018 法庭科学电子物证监控录像机检验技术规范

25、GA/T 1476-2018 法庭科学远程主机数据获取技术规范

26、GA/T 1477-2018 法庭科学计算机系统接入外部设备使用痕迹检验技术规范

27、GA/T 1478-2018 法庭科学网站数据获取技术规范

28、GA/T 1479-2018 法庭科学电子物证伪基站电子数据检验技术规范

29、GA/T 1480-2018 法庭科学计算机操作系统仿真检验技术规范

30、GA/T 1554-2019 法庭科学电子物证检验材料保存技术规范

31、GA/T 1564-2019 法庭科学现场勘查电子物证提取技术规范

32、GA/T 1568-2019 法庭科学电子物证检验术语

33、GA/T 1569-2019 法庭科学电子物证检验实验室建设规范

34、GA/T 1570-2019 法庭科学数据库数据真实性检验技术规范

35、GA/T 1571-2019 法庭科学Android系统应用程序功能检验方法

36、GA/T 1572-2019 法庭科学移动终端地理位置信息检验技术方法

三、司法鉴定技术规范

1、SF/Z JD0400001-2014 电子数据司法鉴定通用实施规范

2、SF/Z JD0401001-2014 电子数据复制设备鉴定实施规范

3、SF/Z JD0403001-2014 软件相似性检验实施规范

4、SF/Z JD04020001-2014 电子邮件鉴定实施规范

5、SF/Z JD0400002-2015 电子数据证据现场获取通用规范

6、SF/Z JD0402003-2015 即时通讯记录检验操作规范

7、SF/Z JD0403003-2015 计算机系统用户操作行为检验规范

8、SF/Z JD0403002-2015 破坏性程序检验操作规范

9、SF/Z JD0401002-2015 手机电子数据提取操作规范

10、SF/Z JD0402002-2015 数据库数据真实性鉴定规范

11、SF/Z JD0402004-2018 电子文档真实性鉴定技术规范

12、SF/Z JD0403004-2018 软件功能鉴定技术规范

13、SF/Z JD0404001-2018 伪基站检验操作规范

由于电子数据鉴定属于技术发展迅速的新兴行业，鉴定标准的更新也相对频繁。鉴定机构应注意对于鉴定标准要定期查新，以保证其现行有效性，防止误用作废标准。

技术记录

记录是是对整个鉴定活动追溯的关键证据。技术记录作为鉴定结果和鉴定文书的原始证据，也是再现鉴定活动中技术内容的依据。鉴定机构应将原始的导出数据/结果的记录、鉴定结果和鉴定文书审核等工作记录、以及发出的每份鉴定文书的副本进行保存。每项鉴定工作的记录应包括足够的信息，如鉴定软件的版本、设置参数等，确保鉴定活动的可追溯性。

鉴于如今的电子数据鉴定工具正向着高速化、自动化、专业化与智能化发展，相当一部分的鉴定工具在进行鉴定时，自身会实时生成运行日志，这些日志也属于鉴定记录的一部分。例如，在制作存储介质的镜像时，如果存储介质存在坏道，大多数的鉴定工具都会在日志中记录坏道的信息。因此，这些日志记录是鉴定工作中非常重要的技术记录。电子数据鉴定机构应注意，对于以电子形式存储的技术记录要通过技术手段进行保护，防止未经授权的侵入或修改。

实践中，电子数据鉴定的提取结果往往通过光盘等存储介质形式呈现给法院；归档时，经常存在通过网络传输等方式进行归档。鉴定机构应注意，由于网络传输的不稳定性和存储介质的某些不可控因素，会造成数据转移过程中发生偏差。因此，一旦发生鉴定结果数据转移，鉴定机构必须对转移的鉴定结果的完整性进行核查。

鉴定文书

2016年11月21日，司法部颁布了《司法鉴定意见书》等7种文书格式。2017年2月16日，公安部颁布了新版的《公安机关鉴定规则》，其中附了《鉴定书》和《检验报告》的通用样式（《鉴定书》中应当写明必要的论证和鉴定意见，《检验报告》中应当写明检验结果）。应注意，无论何种形式的电子数据鉴定文书，均应标注鉴定所使用的方法。

小编语录

很久没有更新公众号了，值参加ISC 2019的会议之际，就电子数据鉴定过程中的注意事项发表一点自己的感悟。

阅读原文

跳转微信打开

第三十六期国内电子数据取证标准的最新进展

Fri, 09 Nov 2018 17:28:00 +0800

原创蝈蝈 2018-11-09 17:28

近年来，随着国家对于相关标准工作的重视，电子数据取证的标准化工作发展迅速。2018年，电子数据取证又发布了一系列的标准和规范。

编

者

按

《中共中央关于全面推进依法治国若干重大问题的决定》明确提出，要“推进以审判为中心的诉讼制度改革，确保侦查、起诉的案件事实证据经得起法律的检验。全面贯彻证据裁判规则，严格依法收集、固定、保存、审查、运用证据，完善证人、鉴定人出庭制度，保证庭审在查明事实、认定证据、保护诉权、公正裁判中发挥决定性作用”。对于电子数据的收集、固定、保存，随着国家对于电子数据取证的重视，相关的标准化工作发展迅速。法律法规也明确规定了电子数据的取证鉴定工作必须依据标准进行，《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第七条规定 “收集、提取电子数据，应当由二名以上侦查人员进行。取证方法应当符合相关技术标准。”《公安机关鉴定规则》第三十五条规定“鉴定人应当按照本专业的技术规范和方法实施鉴定，并全面、客观、准确地记录鉴定的过程、方法和结果”。司法鉴定程序通则第二十二条规定“司法鉴定人进行鉴定，应当依下列顺序遵守和采用该专业领域的技术标准、技术规范和技术方法：（一）国家标准；（二）行业标准和技术规范；（三）该专业领域多数专家认可的技术方法。

2018年，电子数据取证领域又在原有三十多个标准的基础上发布了一大批新标准，让我们看一下，新发布的标准有哪些。

国家标准

1.GB/T 29360-2012 电子物证数据恢复检验规程

2.GB/T 29361-2012 电子物证文件一致性检验规程

3.GB/T 29362-2012 电子物证数据搜索检验规程

4.GB/T 31500-2015 信息安全技术存储介质数据恢复服务要求

公共安全行业标准

1.GA/T 754-2008电子数据存储介质复制工具要求及检测方法

2.GA/T 755-2008电子数据存储介质写保护设备检测方法

3.GA/T 756-2008数字化设备证据数据发现提取固定方法

4.GA/T 757-2008程序功能检验方法

GA/T 825-2009电子物证数据搜索检验技术规范(已作废)

GA/T 826-2009电子物证数据恢复检验技术规范(已作废)

GA/T 827-2009电子物证文件一致性检验技术规范(已作废)

5.GA/T 828-2009电子物证软件功能检验技术规范

6.GA/T 829-2009电子物证软件一致性检验技术规范

7.GA/T 976-2012电子数据法庭科学鉴定通用方法

8.GA/T 977-2012取证与鉴定文书电子签名

9.GA/T 978-2012网络游戏私服检验技术方法

10.GA/T 1069-2013法庭科学电子物证手机检验技术规范

11.GA/T 1070-2013法庭科学计算机开关机时间检验技术规范

12.GA/T 1071-2013法庭科学电子物证Windows操作系统日志检验技术规范

13.GA/T 1170-2014移动终端取证检验方法

14.GA/T 1171-2014芯片相似性比对检验方法

15.GA/T 1172-2014电子邮件检验技术方法

16.GA/T 1173-2014即时通讯记录检验技术方法

17.GA/T 1174-2014电子证据数据现场获取通用方法

18.GA/T 1175-2014软件相似性检验技术方法

19.GA/T 1176-2014网页浏览器历史数据检验技术方法

20.GA/T 1474-2018 法庭科学计算机系统用户操作行为检验技术规范

GA/T 1475-2018 法庭科学电子物证监控录像机检验技术规范

GA/T 1476-2018 法庭科学远程主机数据获取技术规范

GA/T 1477-2018 法庭科学计算机系统接入外部设备使用痕迹检验技术规范

GA/T 1478-2018 法庭科学网站数据获取技术规范

GA/T 1479-2018 法庭科学电子物证伪基站电子数据检验技术规范

GA/T 1480-2018 法庭科学计算机操作系统仿真检验技术规范

司法鉴定技术规范

1.SF/Z JD0400001-2014 电子数据司法鉴定通用实施规范

2.SF/Z JD0401001-2014 电子数据复制设备鉴定实施规范

3.SF/Z JD0403001-2014 软件相似性检验实施规范

4.SF/Z JD04020001-2014 电子邮件鉴定实施规范

5.SF/Z JD0400002-2015 电子数据证据现场获取通用规范

6.SF/Z JD0402003-2015 即时通讯记录检验操作规范

7.SF/Z JD0403003-2015 计算机系统用户操作行为检验规范

8.SF/Z JD0403002-2015 破坏性程序检验操作规范

9.SF/Z JD0401002-2015 手机电子数据提取操作规范

10.SF/Z JD0402002-2015 数据库数据真实性鉴定规范

11.SF/Z JD0402004-2018 电子文档真实性鉴定技术规范

12.SF/Z JD0403004-2018 软件功能鉴定技术规范

13.SF/Z JD0404001-2018 伪基站检验操作规范

认证认可行业标准和规范

1.RB/T 214-2017 检验检测机构资质认定能力评价检验检测机构通用要求

2.RB/T 219-2017 检验检测机构资质认定能力评价司法鉴定机构要求

3.CNAS-CL08:2018 司法鉴定/法庭科学机构能力认可准则

4.CNAS-CL08-A001:2018 司法鉴定/法庭科学机构能力认可准则在电子数据鉴定领域的应用说明

小编语录

一年多没有更新公众号了，应大家要求更新一期。

还有，上次DFRWS物联网取证的答案已经公布了，感兴趣的朋友可以去官网下载答案和工具，小编翻译了一个自己感觉做得比较好的供参考，下载地址链接：https://pan.baidu.com/s/1cYnwXRSWL6RD6JTjkU50WQ 密码:v6de。

阅读原文

跳转微信打开

第三十五期物联网取证（附试题）

Mon, 18 Sep 2017 08:41:00 +0800

原创蝈蝈 2017-09-18 08:41

全球顶级取证会议DFRWS 在2017-2018的取证挑战中焦距在物联网取证这个新兴领域，希望通过全球共同的研究来推动物联网取证领域的最新技术。

编

者

按

物联网作为互联网的延伸，被称为世界信息产业的第三次浪潮。随着微型传感器等技术的发展，接入物联网的设备越来越多，物联网正向万物互联网方向发展。

全球物联网应用仍处于发展初期，Verizon在2015年的物联网报告中预测2011年到2020年之间的企业对企业的物联网连接每年将以28％的速度增长。埃森哲在其2015年的工业物联网市场定位报告中预测，到2030年，单纯美国的工业物联网将价值7.1万亿美元，将支持效率、安全、生产力和service provisioning的增强。M2M（机器与机器通信）、车联网、智能电网是近两年全球发展较快的重点应用领域。可穿戴设备、智能家庭产品、照明设备和其他的智能设备正在成为主流。

目前，我国物联网发展已经初步具备了一定的技术、产业和应用基础，呈现出良好的发展态势。据工信部数据显示，我国物联网产业规模从 2009 年的 1700 亿元跃升至 2015 年超过 7500 亿元，年复合增长率超过 25％，充分体现了其强劲的发展势头。到2020年，我国物联网的整体规模有望突破18000亿元。

而随着物联网产业市场的扩大，物联网安全问题越发凸显，成为制约物联网大规模应用的重要因素。在全球顶级的安全领域会议之一RSA2017安全大会上，物联网安全登上了话题榜首，物联网设备安全该如何防护成为了安全行业关注的重要领域。全球顶级取证会议DFRWS 也将2017-2018的取证挑战焦距在物联网取证这个新兴领域，希望通过全球共同的研究来推动物联网取证领域的最新技术。

本期公众号，小编将和大家讨论一下物联网取证与传统电子数据取证的区别，并附上DFRWS的挑战试题，希望大家如果感兴趣的话可以一起研究探讨。

物联网与传统电子数据取证区别

传统的电子数据取证模型有很多，但是都不外乎是：识别、收集、提取、分析、呈现这样一个过程。取证的对象包括计算机终端（包括PC，笔记本，服务器等终端）、移动终端设备（手机取证，可穿戴设备、平板等）等。

而当前的物联网是结合大数据与人工智能的新一代网络，物联网取证代表不同的基于物联网基础设施的取证，这些基础设施可以使用不同的方法进行取证，一般分为：云取证，网络取证和设备级取证。物联网取证的数据提取方式一般为固件提取，主要在于存储介质不容易拆卸读取，没有常见数据传输接口等特点导致。

一、云取证

大多数基于物联网的设备通过在虚拟化环境中共享资源，通过应用程序在网络上进行交互。需要注意的是，基于物联网的云环境中的大多数攻击都针对云环境中生成的数据。这是因为安全威胁不断扩大，大部分数据正在向云端转移。

二、网络取证

网络取证代表基于不同类型网络的物联网环境。在这些环境下，可以提取可用于进行电子数据调查过程的攻击记录。这可以是家庭网络，工业网络，局域网，城域网和广域网。从这些环境中提取的任何潜在证据可能被用于基于物联网调查之后在法庭中使用的证据。

三、设备级取证

这涉及从物联网设备收集潜在的电子证据。

证据种类的区别

操作系统平台的区别

网络的区别

应用的区别

硬件平台的区别

2017-2018 DFRWS挑战

任务介绍：

一名女性(Betty)被谋杀了。这场谋杀是由Betty的丈夫(Simon )报警的，他声称自己当时在家。更多的案例细节可以在1案情介绍里找到。你的工作就是对获取的文件（2 数据采集）进行分析，以查明案情。（时区: UTC+9）

案情介绍

2012-07-17 15:31

Chuncheon应急服务中心接到了当地公寓经理的电话。一个住在公寓大楼的人声称他的妻子在他们的公寓被袭击了。警察响应。

2017-07-17 15:40

警察到达现场，在公寓外找到了丈夫(Simon Hallym)和公寓经理(KIM Kil)。

公寓被保护了，一名女性躺在客厅地板上。她已经停止呼吸，没有脉搏。从最初的评估来看，她似乎被多次刺伤。医生到达后确认她已经死亡。

2017-07-17 15:50

调查人员询问建筑经理(KIM)和丈夫(HALLYM)。在公寓经理声称，HALLYM先生跑下楼梯，尖叫着寻求报警。第3部分为对Hallym先生的审讯的完整记录。

2017-07-17 15:50

对公寓的搜索显示了以下电子设备:

1 .大门上的门传感器

2.架子上的运动传感器

3.受害者(Betty Hallym)尸体被发现的地板上的腕带

4.受害者(Betty Hallym)尸体被发现的地板上的手机

5.亚马逊Echo

6.连接到SmartThings Hub和IPTime交换机的谷歌OnHub wifi路由器

7.三星Smart things hub

8.IPTime Switch OnHub (6)和Modem(ISP)

9.通过HDMI连接电视的Raspberry Pi

10.蓝牙耳机

11.卧室门上的门传感器

12.丈夫(西蒙·哈利姆)手机

数据采集

1、Betty Hallym的三星Note II(黑色)

-/002-BettyNote2Black/SHV-E250L_Physical_ 20170717/

2、Simon Hallym的三星Note II(白色)与三星SmartThings应用

3、Simon Hallym的三星Note II(White)的镜像

-/003-SimonNote2White/SHV-E250S_Physical _20170718/

4、Raspberry Pi (SmartTV) 镜像

-/003-SimonNote2White/SHV-E250S_Physical _20170718/

5、从谷歌OnHub获得的诊断报告

- 004 - onhub诊断报告

6、从Amazon Echo / Alexa Cloud UI获得的数据

-005-Amazon-Ech-Alexa-Web-Scrape

7、从Acme公司获取的SmartHome网络流量日志

-006-SmartHome-Cloud-Provider-AcmeInc-NetworkDump.tcpdump

上述文件的下载地址（官方）:

https://nas.cybercrimetech.com/owncloud/s/DjrbKKbWb9PT4pU

由于官方的地址由于某些原因可能无法下载，您也可以进入小编的网盘进行下载。

链接:http://pan.baidu.com/s/1qYt4yYC

密码:bj32

Simon Hallym的讯问笔录

1.你的全名是什么?

——Simon Hallym

2.你从事什么工作?

——我是电脑程序员。

3.你住在这个家里吗?

——是的，我和Betty住在一起。她是我的妻子,Betty Hallym。

4.你能描述一下发生了什么事吗?

——我在看电影。看完电影后，我走进客厅，发现了她躺在地上。

5.你知道谁会想伤害你的妻子吗?

——没有。没有人。

6.她在这个地区有朋友或熟人吗?

——我不这么认为。我们刚刚搬到这里。

7.你在哪儿看视频?

——我在我们的卧室里。

8.你还记得什么时候吗?

——大概3点?我记不太清楚。可能3点左右。我想那是我们回家的时候。

9.当你在看视频的时候，你没听到什么吗?

——她听音乐，所以我用耳机。我什么都没听到。

10.你还记得你在看什么吗?

——Youtube上的一个剧。

11.我们在你家里发现了SmartThings传感器。你能访问这些数据吗?

——是的，我的手机上能看。

12.我们可以访问您的电话吗?

——是的,没问题。

小编语录

本期公众号，小编介绍了物联网取证与传统取证的区别，并分享了DFRWS 2017-2018的取证挑战试题。大家如果对本次的试题有研究心得，欢迎与小编进行交流！

后面几期，小编将继续为大家介绍关于物联网中设备的取证，包括Nest、Winhub、SmartCam、Smart TV、Canary等。如果大家有这方面的研究心得，也欢迎与小编进行交流！

大家如果有好的技术文章，也欢迎给我投稿，共同促进取证事业的进步。更多精彩内容尽请关注“电子数据取证与鉴定”。

阅读原文

跳转微信打开

第三十四期未来取证篇-无人机取证

Tue, 15 Aug 2017 07:42:00 +0800

原创孙奕 2017-08-15 07:42

目前我国无人机发展迅猛，虽然已经有不少机构针对无人机取证进行研究，但是至今为止，尚未有相关取证软件发布。

编

者

按

当前，任何领域的机器人都将是新一轮科技浪潮的推动者，上两期，本公众号介绍了智能汽车以及智能家居的取证，本期公众号，小编将给大家带来“空中机器人”——无人机的取证。

无人机是无人驾驶飞机的简称(Unmanned Aerial Vehicle)，是利用无线电遥控设备和自备的程序控制装置的不载人飞机。从某种角度来看，无人机可以在无人驾驶的条件下完成复杂空中飞行任务和各种负载任务，可以被看做是“空中机器人”。

目前我国无人机发展迅猛，已成为备受关注的新兴行业。据统计，2015年，我国无人机销量约9万架，消费级无人机产品销售规模达到23.3亿元。据预测，到2018年，我国民用无人机市场规模将达到110.9亿元，到2020年，年销量预计达到65万架，呈现井喷式增长。7月20日，国务院印发《新一代人工智能发展规划》（以下简称“规划”），规划中无人机赫然在列。

虽然无人机已经在全球范围内展现出发展的极高潜力，但是它也在全世界造成了许多上至国家安全，下至个人隐私的事故——无人机侵入军事地域、干扰军用飞行器正常飞行、航拍“偷窥”国防设施、泄露国防机密等事件不断增多……

随着无人机技术、市场、监管和空域管理的不断发展，各国对于无人机的管控正在不断趋向成熟。对于恶意使用无人机侵犯他人权利的行为，各国也制定了相应法律法规进行追责。

在事后取证技术上，瑞典MSAB公司率先将无人机取证结合到了其手机取证软件XRY中。而在国内，虽然已经有不少机构针对无人机取证进行研究，但是至今为止，尚未发布相关取证软件发布。本期公众号，小编有幸得到来自厦门美亚柏科的孙奕先生的授权，独家首发其关于无人机取证研究的课件。

一

无人机带来的潜在安全威胁

二

各国针对无人机的法律法规

三

无人机的管控与取证

小编语录

本期公众号，小编给大家分享的是来自厦门美亚柏科公司的孙奕先生的未来取证系列的《无人机取证》的主题分享，感谢澳门的陈思晶在撰写过程中提供的宝贵资料。

近几年，小编也是一直非常关注无人取证领域，并有幸参与了相应技术标准的申报工作。经标准申报项目负责人刘浩阳先生授权，将申报标准的部分内容提供大家参考，参见下图。

由于上述信息尚为标准的申报稿，研究还不够深入，存在很多不足的地方，一切以最终发布稿为准。希望大家不吝赐教，给予宝贵意见，共同推动无人机取证标准的完善。如果大家有这方面的研究心得，也欢迎与小编进行交流！

大家如果有好的技术文章，也欢迎给我投稿，共同促进取证事业的进步。更多精彩内容尽请关注“电子数据取证与鉴定”。

阅读原文

跳转微信打开

第三十三期未来取证篇-智能家居系列

Tue, 08 Aug 2017 08:07:00 +0800

原创陈思晶 2017-08-08 08:07

智能家居是目前国内物联网重要应用途径之一，而近几年，针对智能家居产品入侵的案件屡屡发生。

编

者

按

2005年11月17日，信息社会世界峰会（WSIS）上，国际电信联盟（ITU）发布了《ITU互联网报告2005：物联网》，正式提出了“物联网”的概念。2009年8月，温总理“感知中国”的讲话把我国物联网领域的研究和应用开发推向了高潮,之后物联网被正式列为国家五大新兴战略性产业之一，写入“政府工作报告”。现阶段，物联网已经被视为继计算机和互联网之后的第三次信息技术革命。随着“物联网‘十二五’发展规划”、“中国制造2025”等政策的提出，物联网发展已经成为国家层面技术及产业创新的重点方向。

智能家居是目前国内物联网重要应用途径之一，利用网络或者其他连接形式，把传感器、控制器、机器和人以一种新的方式连接在一起，形成人与物、物与物的互联，实现信息的传送和远程操控。根据相关研究机构Statista的统计数据显示，2016年全球智能家电市场的规模已经可以达到168亿美元。并且，伴随着人工智能、大数据以云计算等技术的成熟，智能家电的大爆发可以说是指日可待。由于语音已经成为了目前公认最好的人机交互方式，因此智能家居发展正是朝着这样的方向，于是近几年各大科技巨头公司都推出了“智能管家”（智能音箱）。

在国外，目前最成功的生态模式是亚马逊的Echo模式，Echo 也成了许多智能音箱厂商效仿以及追赶的对象。Echo 通过Alexa开放开发平台实现上万项智能家居功能，仅用3年便笼络上千万家庭消费者，占有声控扬声器市场份额的70％。Google紧随其后，推出智能音箱Google Home，凭借其海量软件用户与先进AI功能，目前占有声控扬声器市场份额的23.8％。苹果在布局HomeKit平台三年之后，近期在WWDC大会上公布了智能音箱HomePod，虎视眈眈地盘算着未来高端智能家居生态圈。微软也牵手三星电子在今年秋天推出一款可以用来打电话的智能音箱Invoke。似乎一下子，所有智能家居的概念都开始向智能音箱上转移。

物联网在给人们的生活带来便利的同时，也会给人们带来种种安全隐忧。近几年，针对智能家居产品入侵的案件屡屡发生。之前亚马逊 Echo 已经出现了录音悄悄上传，后被作为凶杀案的新闻。近日，英国安全研究人员发现，亚马逊智能音响Echo面临被黑客攻击的风险，黑客可以在Echo上安装恶意软件，并将设备上的语音指令发送到服务器上，造成用户隐私泄露。人们在享受物联网带来的方便快捷的同时，也面临着物联网带来的安全问题。

而在国内，针对智能家居进行取证这一话题在国内虽然屡有提及，但真正进⾏深⼊研究的机构屈指可数。本期公众号，小编有幸得到来自澳门司法警察局的陈思晶先生的授权，独家首发其关于智能音箱Echo 取证研究的课件。

"很久以前，电视、路由器、游戏机都想成为智能家居的中心，于是他们来到上帝身边，请他老人家指条明路。上帝伸出右手，指了指自己的脑袋，然后迅速消失在落日的余晖中。三位信徒眼中透出一丝狂热，似乎领悟了上帝的指示。于是几年后，就有了智能电视、智能路由器、智能游戏主机。再然后，他们没闹出什么动静，倒是一个叫做 Amazon Echo 的音箱莫名其妙地火了。原来上帝当时指的是自己的耳朵。"转自【PConline 杂谈】

小编语录

本期公众号，小编继续给大家带来的是来自澳门司法警察局的陈思晶先生的未来取证系列的《智能家居取证之Amazon Echo》的主题分享。由于最近几个月了解到不少物联网的信息安全事件，小编一直沉浸在物联网取证领域的相关研究文献中。后面几期，小编将继续为大家介绍关于未来取证的新方向。如果大家有这方面的研究心得，也欢迎与小编进行交流！

大家如果有好的技术文章，也欢迎给我投稿，共同促进取证事业的进步。更多精彩内容尽请关注“电子数据取证与鉴定”。

阅读原文

跳转微信打开

第三十二期未来取证篇-车辆取证

Fri, 04 Aug 2017 06:58:00 +0800

原创陈思晶 2017-08-04 06:58

在美国，汽车已经继传统的取证介质——计算机、手机后，成为第三大取证介质。

编

者

按

随着科技的不断发展，汽车工业正进入汽车与互联网融合的新阶段。汽车正在通过智能互联和自动驾驶技术进入新的发展阶段。车联网、人工智能和自动驾驶是公认的智能互联汽车的三大技术，自动驾驶是三者融合的方向。在未来三到五年内，汽车能够借助物联网中的种种重要讯息，进而预测并避免掉许多危险。这些新技术连同云端及边缘嵌入分析，在三到五年后将使汽车更为智慧化，既能降低驾驶人技术的要求，又能增加安全性。Frost & Sullivan研究机构报告预估，到2028年时，约有620万辆汽车配备自动驾驶功能。在美国，汽车已经继传统的取证介质——计算机、手机后，成为第三大取证介质。因此，针对车辆取证进行研究即具有前瞻性，又符合实际的需求。

车辆取证这一话题在国内虽然屡有提及，但真正进⾏深⼊研究的公司寥寥无几。在国外，从事车辆取证研究工作多年的Berla公司在前不久的Techno Security & Digital Forensics Conference 2017会议上，向与会者介绍了其在车辆取证领域的最新研究成果“车辆取证工具-iVe。

本期公众号，小编有幸得到来自澳门司法警察局的陈思晶先生的授权，独家首发其关于车辆取证研究的课件。

小编语录

最近，好多朋友询问为啥好久没有更新公众号内容了。首先，小编在此表达一下歉意，实在是抱歉，答应好要写的出庭质证，虽然找了很多资料，也给各地讲了很多次课，但是讲课内容落实到书面上，有些内容实在感觉无从落笔，拖拖拉拉到现在只写了一半不到。所以，这个内容只能暂缓了。

本期公众号，小编给大家分享的是来自澳门司法警察局的陈思晶先生的未来取证系列的《车辆取证》的主题分享。

近几年，小编也是一直非常关注汽车取证领域。年初的时候，小编翻阅了大量资料，结合SWDGE的规范，也写了一版汽车取证的作业指导书，参见下图。

由于研究还不够深入，存在很多不足的地方，尽请谅解。如果大家有这方面的研究心得，也欢迎与小编进行交流！

大家如果有好的技术文章，也欢迎给我投稿，共同促进取证事业的进步。更多精彩内容尽请关注“电子数据取证与鉴定”。

阅读原文

跳转微信打开

第三十一期取证实战篇-Windows日志分析

Tue, 06 Jun 2017 12:29:00 +0800

原创 Henry Tsui 蝈蝈 2017-06-06 12:29

Windows事件日志为涉及计算机犯罪案件的破获提供重要证据或线索，因此，在电子数据取证调查过程中扮演越来越重要的作用。

编

者

按

Windows事件日志记录着Windows系统中发生的各类事件。通过事件日志，可以监控用户对系统的使用情况，掌握计算机在特定时间发生了什么事件，此外也可以了解用户的各种操作行为。因此，它可以为调查提供很多关键信息。

打击计算机网络犯罪的关键，是如何在计算机系统中提取和分析计算机犯罪分子留在计算机中的“痕迹”，使之成为能够追踪并抓获犯罪嫌疑人的重要手段和方法。遇到入侵的相关安全事件时，往往会需要分析Windows事件日志，提取出计算机犯罪案件的重要证据或线索。因此，高效分析Windows事件日志在电子数据取证调查过程中扮演越来越重要的作用。

2017年5月，由公安第三研究所主办的CCFC峰会上，来自厦门兴百邦翰林学院的徐志强先生在研习会上带来了Windows事件日志取证的主题分享。本期公众号，小编有幸获得了授权，就Windows事件日志进行探讨。

一

Windows事件日志简介

Windows事件日志文件本质上是数据库，其中包括有关系统、安全、应用程序的记录。记录的事件包含9个元素：日期/时间、事件类型、用户、计算机、事件ID、来源、类别、描述、数据等信息。

Windows事件日志共有五种事件类型，所有的事件必须只能拥有其中的一种事件类型。

1．信息（Information）

信息事件指应用程序、驱动程序或服务的成功操作的事件。
2．警告（Warning）

警告事件指不是直接的、主要的，但是会导致将来问题发生的问题。例如，当磁盘空间不足或未找到打印机时，都会记录一个“警告”事件。

3．错误（Error）

错误事件指用户应该知道的重要的问题。错误事件通常指功能和数据的丢失。例如, 如果一个服务不能作为系统引导被加载，那么它会产生一个错误事件。

4．成功审核（Success audit）

成功的审核安全访问尝试，主要是指安全性日志，这里记录着用户登录/注销、对象访问、特权使用、账户管理、策略更改、详细跟踪、目录服务访问、账户登录等事件，例如所有的成功登录系统都会被记录为“成功审核”事件

5．失败审核（Failure audit）

失败的审核安全登录尝试，例如用户试图访问网络驱动器失败，则该尝试会被作为失败审核事件记录下来。

早在1993年的Windows NT3.1，微软就开始使用事件日志来记录各种事件的信息。在NT的进化过程中，事件日志的文件名和文件存放位置一直保持不变，在Windows NT/Win2000/XP/Server 2003中，日志文件的扩展名一直是evt，存储位置为“%systemroot%\System32\config”。从Windows Vista和Server 2008开始，日志文件的文件名、结构和存储位置发生了巨大改变，文件扩展名改为evtx (XML格式) ，存储位置改为“%systemroot%\System32\WinEvt\logs”。

1、系统日志

记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据。

默认位置：

NT/Win2000/XP/Server 2003

C:\WINDOWS\system32\config\SysEvent.Evt

Vista/Win7/Win8//Win10/Server 2008/Server 2012

C:\WINDOWS\system32\winevt\Logs\System.evtx

2.应用程序日志

包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件。

默认位置：

NT/Win2000/XP/Server 2003

C:\WINDOWS\system32\config\AppEvent.Evt

Vista/Win7/Win8//Win10/Server 2008/Server 2012

C:\WINDOWS\system32\winevt\Logs\Application.evtx

3.安全日志

记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。安全日志也是调查取证中最常用到的日志。默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。

默认位置：

NT/Win2000/XP/Server 2003

C:\WINDOWS\system32\config\SecEvent.Evt

Vista/Win7/Win8//Win10/Server 2008/Server 2012

C:\WINDOWS\system32\winevt\Logs\Security.evtx

虽然几乎所有事件记录在调查过程中都或多或少带来帮助，但是大多数的调查取证中，安全日志中找到线索的可能性最大。

系统和应用程序日志存储着故障排除信息，对于系统管理员更为有用。安全日志记录着事件审计信息，包括用户验证（登录、远程访问等）和特定用户在认证后对系统做了什么，对于调查人员而言，更有帮助。

二

事件日志分析

对于Windows事件日志分析，我们可以根据自己的需要，根据EVENT ID迅速取出我们关心的信息。不同的EVENT ID代表了不同的意义，这些我们可以在网上很容易查到，小编在微软的官方网站上找到了“Windows Vista 和 Windows Server 2008 中的安全事件的说明”，这篇文章介绍了在 Windows Vista 和 Windows Server 2008 中的各种与安全和审核有关事件，还提供了有关如何解释这些事件的信息。该文档原文的链接地址为https://support.microsoft.com/en-us/help/947226/description-of-security-events-in-windows-vista-and-in-windows-server-2008，翻译后的地址为https://support.microsoft.com/zh-cn/help/947226/description-of-security-events-in-windows-vista-and-in-windows-server-2008。

三

事件日志分析技巧

除了使用“事件日志查看器”外，我们也可以使用其他日志工具查询事件日志。以下列举了一些我们经常用到的日志获取和分析工具：

四

案例分享

小编语录

本期公众号，小编带来的是来自厦门兴百邦翰林学院的徐志强先生在本次峰会的研习会上带来了《基于Windows事件日志分析的用户行为重构》的主题分享。为了写好，小编也是翻阅了SANS、CHFI、IFCI的相关教程。由于时间比较仓促，还有很多不足的地方，敬请谅解！

下期公众号，小编将向大家分享关于出庭质证的相关技巧。大家如果有好的技术文章，也欢迎给我投稿，共同促进取证事业的进步。更多精彩内容尽请关注“电子数据取证与鉴定”。

阅读原文

跳转微信打开

第三十期取证实战篇-Surface设备取证

Sat, 27 May 2017 21:47:00 +0800

原创徐志强 2017-05-27 21:47

Surface设备的取证难一直困扰大家的问题，本次CCFC峰会上，Surface设备取证的主题分享获得了与会人士的一致关注。

随着互联网及计算机硬件的发展，越来越多的电脑使用者喜欢用便携笔记本、平板电脑用于日常商务办公及生活。新型的笔记本电脑计算性能强、电池续航能力强、便携性高，因此超轻超薄笔记本或高性能平板电脑成为主流。

微软作为操作系统及应用软件的知名厂商，近几年也在硬件上投入研发，Surface设备就是其推出的便携式设备。由于Surface设备携带方便，待机时间长，满足了经常需要外出办公的要求，因此，受到了很多商务人士的欢迎。

但是，对于取证人员而言，Surface设备无法像普通的PC及笔记本那样拆机卸下硬盘进行获取。此外，Surface设备使用全新的UEFI启动方式，内部采用了TPM安全芯片，支持设备加密来保护设备数据的安全。因此，针对Surface设备的取证研究也一直没有停止过。

2017年5月，由公安第三研究所主办的CCFC峰会上，来自厦门兴百邦翰林学院的徐志强先生在本次峰会的研习会上带来了Surface设备取证的主题分享。本期公众号，小编有幸获得了授权，就Surface设备的取证进行技术分享。

一

Surface发展历程

二

Surface取证

小编语录

CCFC

全国计算机取证峰会

作为国内著名的电子数据取证专业会议，今年的第十三届CCFC达到了空前的规模，嘉宾的精彩演讲让参会者们受益匪浅。

小编最近得到了取证届多位大咖的技术分享和发布授权。接下来几期公众号，小编将继续就这些精彩内容进行分享。大家如果有好的技术文章，也欢迎给我投稿，共同促进取证事业的进步。

明天就是端午佳节了，在此，祝愿各位：把忧愁“端”掉，“午”住快乐永在，把哀伤“端”掉，“午”住幸福永存，把烦恼“端”掉，“午”住如意永驻。愿开心陪你每一天，好运伴你每一秒！

阅读原文

跳转微信打开

第二十九期全国计算机/电子数据司法鉴定机构名录

Fri, 10 Feb 2017 18:58:00 +0800

原创蝈蝈 2017-02-10 18:58

本期公众号对全国目前登记在案的计算机/电子数据司法鉴定机构进行了整理和汇总。

一、北京市

北京华夏物证鉴定中心

许可证号：110093003

法定代表人：郑九天

机构住址：北京市海淀区西三环北路27号北科大厦九层

邮政编码：100089

联系电话：010-68428899

业务范围：法医病理鉴定,法医临床鉴定,法医物证鉴定,文书鉴定,痕迹鉴定,微量鉴定,声像资料鉴定

北京通达首诚司法鉴定所

许可证号：110005094

法定代表人：曹志军

机构住址：北京市海淀区永泰中路23号写字楼一层

邮政编码：100192

联系电话：010-62907011

业务范围：法医临床鉴定,法医病理鉴定,法医物证鉴定,法医毒物鉴定,微量鉴定,痕迹鉴定,声像资料鉴定（以上项目限于已通过认证认可及未纳入认证认可的范围）

北京网络行业协会电子数据司法鉴定中心

许可证号：110004089

法定代表人：王奇云

机构住址：北京市海淀区首体南路1号

邮政编码：100048

联系电话：010-88550799

业务范围：声像资料鉴定（含电子数据、图像资料鉴定）

北京信诺司法鉴定所

许可证号：110008119

法定代表人：李玉玺

机构住址：北京市海淀区北四环中路229号海泰大厦1508室

邮政编码：100083

联系电话：010-82884890

业务范围：声像资料鉴定,法医物证鉴定

法大法庭科学技术鉴定研究所

许可证号：110006098

法定代表人：常林

机构住址：北京市海淀区后屯南路26号

邮政编码：100040

联系电话：010-68642570

业务范围：法医病理鉴定,法医临床鉴定,文书鉴定,痕迹鉴定,声像资料鉴定,法医精神病鉴定,法医物证鉴定,法医毒物鉴定,微量鉴定

国家信息中心电子数据司法鉴定中心

许可证号：110006102

法定代表人：杜平

机构住址：北京市西城区三里河路58号

邮政编码：100045

联系电话：010-68557319

业务范围：声像资料鉴定

中国人民大学物证技术鉴定中心

许可证号：110089001

法定代表人：陈雨露

机构住址：北京市海淀区中关村大街59号明德法学楼705室

邮政编码：100872

联系电话：010-82509252

业务范围：文书鉴定（特种文件鉴定和文书制作时间鉴定除外）,痕迹鉴定（限于手印鉴定）,声像资料鉴定（限于电子数据的分析与鉴定）

北京通达法正司法鉴定中心

许可证号：110014142

法定代表人：崔铁英

机构住址：北京市丰台区双林东路8号

邮政编码：100166

联系电话：010-87785751

业务范围：法医病理鉴定,法医临床鉴定（性功能鉴定除外）,声像资料鉴定（限于电子数据鉴定）,文书鉴定（特种文件鉴定、污损文件鉴定、文书制作时间鉴定除外）

北京中海义信信息技术有限公司司法鉴定所

许可证号：110016152

法定代表人：任凯

机构住址：北京市海淀区中关村东路66号世纪科贸大厦2号楼17层

邮政编码：100190

联系电话：010-84871698

业务范围：声像资料鉴定（限于电子数据）

二、上海市

华东政法大学司法鉴定中心

许可证号：310087016

法定代表人：闵银龙

机构住址：上海市万航渡路1575号

联系电话：（021）62103743、62104062

业务范围：法医临床鉴定,法医病理鉴定,法医精神病鉴定,法医物证鉴定,司法会计鉴定,文书司法鉴定,痕迹司法鉴定,计算机司法鉴定,声像资料司法鉴定

盘石软件（上海）有限公司计算机司法鉴定所

许可证号：310007090

法定代表人：方勇

机构住址：上海市普陀区中江路879弄19号楼4楼

联系电话：（021）52658848

业务范围：计算机司法鉴定

司法鉴定科学技术研究所司法鉴定中心

许可证号：310083002

法定代表人：陈忆九

机构住址：上海市光复西路1347号

联系电话：（021）52361148

业务范围：法医临床鉴定,法医病理鉴定,法医精神病鉴定,法医毒物鉴定,法医物证鉴定,文书司法鉴定,微量物证鉴定,痕迹司法鉴定,计算机司法鉴定,声像资料司法鉴定

上海辰星电子数据司法鉴定中心

许可证号：310007086

法定代表人：胡传平

机构住址：上海市浦东新区张江毕昇路339号

联系电话：（021）33932227

业务范围：声像资料司法鉴定,计算机司法鉴定,知识产权司法鉴定

上海东方计算机司法鉴定所

许可证号：310005062

法定代表人：高亚玲

机构住址：上海市常德路812弄3号602室

联系电话：（021）62987039

业务范围：计算机司法鉴定

上海浦东软件平台有限公司计算机司法鉴定所

许可证号：310008105

法定代表人：张素龙

机构住址：上海市浦东新区郭守敬路498号浦东软件园6幢14301-14314座

联系电话：（021）61636300

业务范围：计算机司法鉴定

上海浦东软件园信息技术股份有限公司计算机司法鉴定所

许可证号：310013145

法定代表人：刘利范

机构住址：上海市浦东新区祖冲之路1505弄100号3幢4层B、C、D、E单元

联系电话：（021）50802510

业务范围：计算机司法鉴定

上海市恒平司法鉴定中心

许可证号：310003055

法定代表人：胡坚

机构住址：上海市长安路1001号（长安大厦）1号楼25楼

邮政编码：200070

联系电话：（021）63179698

业务范围：声像资料司法鉴定,微量物证鉴定,计算机司法鉴定,痕迹司法鉴定,文书司法鉴定

上海市计算机行业协会司法鉴定所

许可证号：310009124

法定代表人：宋健海

机构住址：上海市浦东新区郭守敬路515号2楼2201室

联系电话：（021）52137151

业务范围：计算机司法鉴定

上海上信计算机司法鉴定所

许可证号：310005063

法定代表人：石坚

机构住址：上海市巨鹿路915号1602室

联系电话：(021)33931900

业务范围：计算机司法鉴定

上海弘连网络科技有限公司计算机司法鉴定所

许可证号：310014160

法定代表人：陆道宏

机构住址：上海市中春路7001号2幢3楼A3066室

联系电话：（021）31361626

业务范围：计算机司法鉴定

三、天津市

天津市天信电子数据司法鉴定中心

许可证号：120004019

机构负责人：马俊

机构住址：天津经济技术开发区第四大街80号天大科技园C6-102

邮政编码：300457

联系电话：66211255

业务范围：电子物证鉴定[电子数据的提取、固定与恢复(计算机存储介质鉴定、移动终端鉴定、数码设备鉴定、网络数据鉴定)，电子数据的同一性、相似性鉴定(软件鉴定、电子文档鉴定)

天津市津实司法鉴定中心

许可证号：120005026

机构负责人：常柏年

机构住址：天津市河西区解放南路406号

邮政编码：300211

联系电话：28132808、23412208

业务范围：法医临床鉴定(损伤程度鉴定，伤残程度评定，伤病关系鉴定，医疗纠纷鉴定，误工、护理、营养时限评定，医疗护理依赖程度评定，致伤物和致伤方式推断，医疗费合理性评定，后期医疗费评定)、法医病理鉴定(死亡原因鉴定，死亡方式鉴定，死亡时间鉴定，损伤时间鉴定，致伤物推断鉴定)、法医物证鉴定[血液(斑)，唾液(斑)，组织/器官(含毛囊)]、法医毒物鉴定[挥发性毒物类检测(乙醇)，毒品类检测]、法医精神病鉴定、文书鉴定[笔迹鉴定、印章印文鉴定、朱墨时序鉴定、篡改(污损)文件鉴定]、痕迹鉴定(指印鉴定，车体痕迹鉴定，车速鉴定)、微量鉴定(油漆鉴定，塑料鉴定，食品鉴定)、录音资料鉴定[录音真实性(完整性)鉴定]、图像资料鉴定(图像处理及分析)、电子数据鉴定(电子数据的提取、固定与恢复)

天津市天宏物证司法鉴定所

许可证号：120009036

机构负责人：巴怀更

机构住址：天津市南开区西湖道华坪路5号

邮政编码：300381

联系电话：23956901

业务范围：法医临床鉴定(损伤程度鉴定，伤残程度评定，误工、护理、营养时限评定，致伤物和致伤方式推断，医疗纠纷鉴定)、文书鉴定(笔迹鉴定、印章印文鉴定)、痕迹鉴定(指印鉴定)、录音资料鉴定(录音真实性鉴定、录音处理鉴定、语音同一性鉴定)、图像资料鉴定(图像真实性鉴定、图像处理鉴定、图像统一性鉴定)、电子物证鉴定(计算机存储介质鉴定、移动终端鉴定、计算机系统现场数据鉴定、电子邮件鉴定、电子文档鉴定)

四、重庆市

重庆邮电大学司法鉴定中心

许可证号：500005008

法定代表人：黄良友

机构住址：重庆市南岸区黄桷垭堡上园

邮政编码：400065

联系电话：023-62481030

业务范围：计算机司法鉴定、动植物基因司法鉴定、声像资料鉴定、通信司法鉴定、知识产权司法鉴定（限通信、计算机、软件和网络）

重庆市溯源司法鉴定所

许可证号：500007067

法定代表人：贾硕果

机构住址：重庆市高新区石桥铺玉灵洞259号

邮政编码：400039

联系电话：023-63964535

业务范围：文书鉴定、计算机司法鉴定

重庆市网安司法鉴定所

许可证号：5001178

法定代表人：王永书

机构住址：重庆市北部新区光电园芙蓉路3号

邮政编码：4011121

联系电话：023-63759654

业务范围：计算机司法鉴定

重庆市科信电子数据司法鉴定所

许可证号：5001331

法定代表人：吴平

机构住址：重庆市北部新区青枫路30号凤凰C座7楼（左）

邮政编码：401121

联系电话：023-15723092596

业务范围：计算机鉴定、电子数据鉴定

重庆市弘正司法鉴定所

许可证号：500006055

法定代表人：张远丽

机构住址：重庆市渝中区兴隆街13号

邮政编码：400013

联系电话：023-6350206

业务范围：法医病理鉴定、法医临床鉴定、法医物证鉴定、文书鉴定、痕迹鉴定、电子数据鉴定

重庆市智信电子数据司法鉴定所

许可证号：5000015071

法定代表人：郭春雷

机构住址：重庆市渝北区龙山大道403号9楼

邮政编码：401147

联系电话：023-63727706

业务范围：电子数据鉴定

五、河北省

河北公安警察职业学院司法鉴定中心

许可证号：130005209

法定代表人：李泓泽

机构负责人：丁文跃

机构住址：河北省石家庄市桥西区滨河街1号

邮政编码：050091

联系电话：0311-89653241 15832191971

业务范围：文书鉴定；痕迹鉴定；声像资料鉴定；微量鉴定

六、山西省

山西家豪司法鉴定中心

许可证号：140002003

机构住所：山西省太原市新建路39号乡海大厦11层

邮政编码： 030002

机构负责人（法定代表人）：郭耀庭

联系电话：0351-8225658

业务范围：资产评估司法鉴定；工程造价司法鉴定；室内外装饰司法鉴定；房地产评估司法鉴定；司法会计鉴定；测绘司法鉴定；建筑工程司法鉴定；计算机司法鉴定；道路交通事故机动车车损司法鉴定

山西警官高等专科学校司法鉴定中心

许可证号：140004070

机构住址：山西省太原市旧晋祠路二段27号

邮政编码： 030021

机构负责人（法定代表人）：胡耀民

联系电话：0351-6925345

业务范围：法医毒物鉴定；文书司法鉴定；痕迹司法鉴定；微量物证司法鉴定；司法会计鉴定；计算机及声像资料司法鉴定；道路交通事故相关痕迹司法鉴定

山西昶榮司法鉴定中心

许可证号：140006099

机构住址：山西省太原市坞城路109号

邮政编码：030006

法定代表人：葛小晶

机构负责人：郝华芳

联系电话：0351-7015734

业务范围：文书司法鉴定；声像资料司法鉴定；司法会计鉴定；知识产权司法鉴定；计算机司法鉴定

山西省电子产品质量司法鉴定中心

许可证号：140003012

机构住址：山西省太原市并州北路39号

邮政编码：030001

机构负责人（法定代表人）：车清太

联系电话：0351-6191129

业务范围：电子产品鉴定（包括日用电器、广播电视设备、通信设备、电子计算机及其外部设备、电子元件、电子器件、电子测量设备、电子专用设备、磁性材料、计算机应用产品及信息系统集成、计算机软件产品质量司法鉴定）

七、陕西省

陕西西安知识产权司法鉴定中心

许可证号：：610103003

机构住址：西安市北大街宏府大厦B座9层

邮政编码：710068

法定代表人：刘峰擘

联系电话：029-88410120

业务范围：知识产权司法鉴定、计算机司法鉴定

陕西西安科技司法鉴定中心

许可证号：610105006

机构住址：西安市粉巷22号

邮政编码：710002

法定代表人：邢利平

联系电话：029-87282917 87240130

业务范围：建筑工程质量、建筑工程造价、知识产权、生态环境、计算机、机电设备、微量物证司法鉴定

八、山东省

山东计算机司法鉴定所

许可证号：370101004

机构住址：济南市历下区科院路19号

邮政编码：250014

机构负责人：王连海

联系电话：0531-82605573

业务范围：电子数据司法鉴定

九、河南省

河南联合司法鉴定中心

许可证号：4101075

机构住址：郑州市西里路 48 号霍普大厦 707 室

邮政编码：450000

机构负责人：胡俊涛

电话：0371—66205110

业务范围：电子数据司法鉴定

十、辽宁省

大连信安电子物证司法鉴定所

许可证号：210213079

机构住址：大连市中山区鲁迅路35号

邮政编码：116011

法定代表人：王久双

机构负责人：周　婕

联系电话：15541119818

业务范围：声像资料（计算机）鉴定

辽宁大学司法鉴定中心

许可证号：210006018

机构住址：辽宁省沈阳市皇姑区崇山中路66号(辽宁大学崇山校区蕙星楼三楼308、318)

邮政编码：110036

法定代表人：黄泰岩

机构负责人：侯德福

电话：024-62202242

业务范围：法医临床鉴定；法医物证鉴定；法医毒物鉴定；微量物证鉴定；文书鉴定；痕迹鉴定；司法会计鉴定；计算机及声像资料鉴定

辽宁学苑司法鉴定中心

许可证号：210010026

机构住址：大连市沙河口区华北路311号

邮政编码：116021

法定代表人：邹积岩

机构负责人：王丽萍

联系电话：0411-84436879

业务范围：法医临床鉴定；法医病理鉴定；法医毒物（限血液中乙醇含量测定）鉴定；文书鉴定；痕迹鉴定；微量物证（含食品检测）鉴定；声像资料（计算机）鉴定；机动车事故鉴定；海洋环境监测鉴定

辽宁明鉴司法鉴定中心

许可证号：210213081

机构住址：大连市甘井子区营平路260-33-2号

法定代表人：李锦奇

机构负责人：李洪武

联系电话：0411-86729610

邮政编码：116033

业务范围：文书鉴定；痕迹鉴定；微量物证鉴定；声像资料及计算机鉴定

辽宁省天阳证据科学研究所司法鉴定中心

许可证号：210011027
机构住址：辽宁省沈阳市于洪区长江街56号615室
法定代表人：毛阳
机构负责人：毛阳
联系电话：024－86167233　

邮政编码：110034
业务范围：文书鉴定；痕迹鉴定；微量物证鉴定；声像资料鉴定；电子物证鉴定；法医毒物鉴定；法医物证鉴定

大连中山司法鉴定中心

许可证号：210206060

机构住址：辽宁省大连市中山区解放街6号

法定代表人：赵德伟

机构负责人：麻凤海

联系电话：0411-62893577

邮政编码：116001

业务范围：法医临床鉴定；法医毒物（限血液中乙醇含量测定）鉴定；法医病理鉴定；法医物证鉴定；工程质量鉴定；计算机（电子物证）

十一、吉林省

吉林警察学院司法鉴定中心

许可证号：223109074

机构住址：吉林省长春市净月开发区博硕路1399号

邮政编码：130117

法定代表人：张兆端

机构负责人：宫素文　

联系电话：0431-84532567

业务范围：法医临床，法医毒物，文书，痕迹，声像资料鉴定

吉林省吉原司法鉴定所

许可证号：223113091

机构住址：吉林省长春市西安大路165号

邮政编码：130062

法定代表人：杨世采

机构负责人：陈　伟

联系电话：0431-87992719　　　　　　　

业务范围：文书，电子数据鉴定

十二、黑龙江省

黑龙江省电力科学研究院司法鉴定所

机构住址：哈尔滨市香坊区湘江路7号

法定代表人：于东洋

机构负责人：韩　冰

许可证号：230112002

联系电话：0451-53684400

邮政编码：150030

业务范围：电子数据鉴定

黑龙江大学司法鉴定中心

机构住址：黑龙江省哈尔滨市南岗区学府路74号

法定代表人：龚　兵

机构负责人：龚　兵

许可证号：230108003

联系电话：0451-86609099

邮政编码：150080

业务范围：法医临床鉴定、法医物证鉴定、文书鉴定、痕迹鉴定环境监测鉴定、知识产权司法鉴定、计算机司法鉴定

十三、江苏省

南京东南司法鉴定中心

许可证号：320106006
机构住址：江苏省南京市玄武大道699-22号17栋
邮政编码：210042
法定代表人：沈晓林
机构负责人：沈晓林
联系电话： 025-85530119
业务范围：法医病理鉴定，法医临床鉴定（一般活体鉴定，听觉功能鉴定，视觉功能鉴定）,法医物证鉴定（含亲权鉴定，个体识别），法医毒物鉴定〔常见毒（药）物检验，酒精检验，金属毒物的检验〕，文书鉴定（笔迹鉴定，文件技术鉴定），痕迹鉴定，微量鉴定，电子数据鉴定

南京掌控通信科技有限公司司法鉴定所

许可证号：320114018
机构住址：南京市建邺区云龙山路88号烽火科技大厦A幢2楼
邮政编码：210019
法定代表人：黄建
机构负责人：黄建
联系电话： 025-87799886
业务范围：电子数据鉴定

南京康宁司法鉴定中心

许可证号：320114021
机构住址：南京市秦淮区丰富路17号
邮政编码：210004
法定代表人：丁伟建
机构负责人：丁伟建
联系电话：025-84466722
业务范围：法医病理鉴定，法医临床鉴定（一般活体鉴定，听觉功能鉴定，视觉功能鉴定），法医毒物鉴定（常见毒（药）物检验，酒精检验，金属毒物的检验），法医物证鉴定（含亲权鉴定，个体识别），文书鉴定（笔迹鉴定，文件技术鉴定），痕迹鉴定（含道路交通事故技术鉴定），声像资料鉴定，电子数据鉴定

十四、浙江省

浙江千麦司法鉴定中心

许可证号：330114070

机构住址：杭州市余杭区余杭街道华一路2号4号楼

邮政编码：311121

法定代表人：郭尧

机构负责人：朱虹辉

电话：（0571）85852181

业务范围：法医临床鉴定；法医病理鉴定；法医物证鉴定；法医毒物鉴定；痕迹鉴定；声像资料鉴定（电子数据鉴定）；文书鉴定

十五、安徽省

安徽龙图司法鉴定中心

许可证号：340115139

机构住所：合肥市金寨路91号立基大厦B座19、20层

邮政编码：230022

法定代表人：何康

机构负责人：陈洪

联系电话：0551-67171188 0 551-67181188

业务范围：法医临床鉴定（视觉、听觉、性功能、活体年龄鉴定除外）、法医毒物鉴定（仅限乙醇检测）、法医物证鉴定、文书司法鉴定、法医病理鉴定、声像资料鉴定、道路交通事故痕迹司法鉴定、交通事故原因司法鉴定、机动车性能司法鉴定、微量物证鉴定（仅限油漆、纤维、金属分析）

十六、江西省

江西警察学院物证鉴定所

许可证号：360001001

机构负责人：徐远清

机构住址：江西省南昌市新建县兴湾大道1666号

联系电话：0791-86386596 13807033668

业务范围：法医临床鉴定、法医物证鉴定、法医病理鉴定、法医毒物鉴定、文书鉴定、痕迹鉴定、计算机司法鉴定、电子数据鉴定、声像资料鉴定

江西博中司法鉴定中心

许可证号：360412019

机构负责人：朱亚平

机构住址：抚州市临川大道1111号抚州市新体育馆西区

联系电话：0794-8277088　　　　　　　　

业务范围：法医临床、法医病理、法医物证、法医毒物、司法会计、涉税、建筑工程质量、造价、资产评估、土地评估、房地产评估、机动车技术性能及外观痕迹、微量物证、保险公估、旧机动车评估、林业司法鉴定、电子数据鉴定

江西天剑司法鉴定中心

许可证号：360005008

机构负责人：刘雅冰

机构住址：南昌市福州路28号奥林匹克大厦13楼1310室

联系电话：13970058769 0791-86363663

业务范围：法医临床鉴定、法医物证鉴定、文书鉴定、痕迹检验、计算机司法鉴定、声像资料鉴定、建筑工程鉴定、涉税司法鉴定、司法会计鉴定、资产评估鉴定、房地产评估鉴定、土地评估鉴定

十七、福建省

厦门衡泰电子证据司法鉴定所

许可证号：350012002

机构住所：厦门市思明区莲前西路199号

邮政编码：361009

机构负责人（法定代表人）：陈志坚

联系电话：0592-5989509

业务范围：

声像资料类(声像资料,电子数据)

福建伊时代电子数据司法鉴定所

许可证号：350107019

机构住址：福州市马尾区星发路8号

邮政编码：350004

机构负责人（法定代表人）：许元进

联系电话：0591-88023723

业务范围：电子数据鉴定、声像资料鉴定

福建中证司法鉴定中心

许可证号：350205004

机构住址：厦门市软件园二期观日路12号202单元

邮政编码：361005

法定代表人：申强

机构负责人：赵庸

联系电话：0592-3912293

业务范围：声像资料类(电子数据司法鉴定)

福建衡正司法鉴定所

许可证号：350001002

机构住址：福州市鼓楼区琴湖路37号

邮政编码：350001002

法定代表人：艾国清

机构负责人：林学铁

联系电话：0591-83059420

业务范围：物证类(文书,痕迹),声像资料类(电子数据)

十八、湖北省

湖北省科学技术咨询服务中心

许可证号：420010270

机构住址：湖北省武汉市武昌区民主路782号洪广·宝座14层

法定代表人：孙德祥

机构负责人：梁正炎

联系电话：027-87830302传真：

邮政编码：430071

业务范围：计算机、知识产权司法鉴定

湖北软件评测中心

许可证号：420009456

机构住址：湖北省武汉市武汉大学工学部一号楼18楼

法定代表人：吴志健机构负责人：夏启明

联系电话：027-87788601

邮政编码：430073

业务范围：计算机（软件）司法鉴定

湖北诚实计算机司法鉴定所

许可证号：420210218

机构住址：湖北省黄石市下陆区杭州路126-23号

法定代表人：陈实

机构负责人：陈敬民

联系电话：0714-6241599

邮政编码：435003

业务范围：计算机司法鉴定

十九、湖南省

湖南大学司法鉴定中心

许可证号：4301010

机构住所：长沙市岳麓区湖南大学法学院213、214室

邮政编码：410082

法定代表人：黄山

机构负责人：黄山

联系电话：0731﹣88822311 传真：0731﹣88822311

业务范围：司法会计鉴定、机动车技术及交通事故鉴定、建筑工程造价鉴定、知识产权鉴定、公路工程质量鉴定、产品质量鉴定、电子数据鉴定、微量物证鉴定、声像资料鉴定、文书鉴定、机电设备质量鉴定、痕迹鉴定、建筑工程质量鉴定

湖南省天网电子数据司法鉴定中心

许可证号：4301047

机构住所：长沙市芙蓉区朝阳路121号

邮政编码：410000

法定代表人：邓庭波

机构负责人：周璟

联系电话：0731﹣84125185

业务范围：电子数据鉴定、知识产权鉴定、声像资料鉴定

湖南省鉴真司法鉴定中心

许可证号：4301058

机构住所：长沙市芙蓉区远大三路9号

邮政编码：410138

法定代表人：赵幼鸣

机构负责人：赵幼鸣

联系电话：0731﹣82791773

业务范围：法医临床鉴定、法医病理鉴定、法医毒物鉴定、法医物证鉴定、文书鉴定、痕迹鉴定、微量物证鉴定、电子数据鉴定、机动车技术及交通事故鉴定、声像资料鉴定

二十、四川省

四川光明司法鉴定所

许可证号：510006002
机构住址：成都市青华路30号附1号
邮政编码：610072
法定代表人：马万源
机构负责人：杨均
联系电话：028-87321771
业务范围：法医毒物鉴定、文书司法鉴定、痕迹司法鉴定、微量物证鉴定、声像资料司法鉴定、计算机司法鉴定

四川科技事务司法鉴定所

许可证号：510006123
机构住址：成都市人民南路四段11号
法定代表人（机构负责人）：任代祥
联系电话：028-85220260，028-85248837

业务范围：法医临床鉴定、法医病理鉴定、计算机司法鉴定

四川新华司法鉴定所

许可证号：510006124
机构住址：成都市一环路西一段148号
邮政编码：610000
法定代表人（机构负责人）：李平
联系电话：028-87036648
业务范围：法医临床鉴定、计算机司法鉴定

四川旭日司法鉴定所

许可证号：510006131
机构住址：成都市桐梓林北路2号凯莱帝景A座27楼D号
法定代表人（机构负责人）：何清旭
联系电话：028-85179693
业务范围：法医临床鉴定、法医病理鉴定、法医精神病鉴定（限民事行为能力鉴定）、文书司法鉴定、痕迹司法鉴定、计算机司法鉴定

二十一、贵州省

贵州警官职业学院司法鉴定中心

许可证号：520005002

机构负责人：石晓玲

机构住址：贵州省贵阳市龙洞堡见龙路132号

邮政编码：550005

联系电话：0851—85407080、85400618

业务范围：法医临床、法医物证、法医毒物、法医病理、声像资料、微量物证、文书检验、痕迹鉴定、爆炸物品鉴定、电子物证

贵州天剑司法鉴定中心

许可证号：520007008

机构负责人：谢朝化

机构住址：贵州省贵阳市北京路银海元隆广场6栋1单元5层8号

邮政编码：550002

联系电话：0851—86581935

业务范围：文书鉴定、电子物证鉴定、痕迹鉴定、声像资料鉴定、微量物证鉴定、法医物证鉴定

二十二、云南省

云南天禹司法鉴定中心

许可证号：530104032

机构住址：云南省昆明市广福路红星国际广场8栋6楼

邮政编码：650228

法定代表人：李天闻

机构负责人：李天闻

联系电话：0871-68054353,13769170418

业务范围：司法会计鉴定；建筑工程司法鉴定（建筑工程质量鉴定、工程质量事故鉴定、工程造价纠纷鉴定）；资产评估司法鉴定；法医临床鉴定；痕迹司法鉴定；文书司法鉴定；计算机司法鉴定；知识产权司法鉴定；法医病理鉴定；法医物证鉴定；法医毒物鉴定；法医精神病鉴定；税务司法鉴定

云南云通司法鉴定中心

许可证号： 530105042

机构住址：云南省昆明市江东花园北路66号

邮政编码： 650244

法定代表人(机构负责人)：樊少军

联系电话： 0871-65025378 65025379

业务范围：道路交通事故车辆技术鉴定；道路交通事故司法鉴定（肇事车速分析，事故形态分析，驾乘关系认定）；道路鉴定；产品质量司法鉴定（车辆、工程机械）；资产评估司法鉴定（车辆价值评估，事故财产损失评估）；法医病理鉴定；法医临床鉴定；法医物证鉴定；痕迹司法鉴定；微量物证鉴定；法医毒物鉴定；声像资料司法鉴定；电子数据司法鉴定；文书司法鉴定；火灾残留物微量物证鉴定；电气火灾物证鉴定；易燃品放火物证鉴定；火灾后建筑结构安全评估；火灾损失核定评估；道路交通事故后建筑结构安全评估；道路交通事故后建筑结构损失核定评估

云南云审司法鉴定中心

许可证号：5301002

法定代表人(机构负责人)：王念宁

机构住址：云南省昆明市南屏街4号国托大厦A座10楼

邮政编码：650021

联系电话：(0871)3155888

业务范围：司法会计鉴定;工程造价纠纷鉴定;知识产权司法鉴定;司法会计鉴定咨询服务;计算机司法鉴定;资产评估司法鉴定

云南财贸学院司法鉴定中心

许可证号：5301003

法定代表人(机构负责人)：蒋兆岗

机构住址：云南省昆明市龙泉路

邮政编码：650221

联系电话：(0871)5127959、5137525

业务范围：司法会计鉴定;计算机司法鉴定;建筑工程造价纠纷鉴定;知识产权司法鉴定;司法会计鉴定咨询

云南亚太司法鉴定中心

许可证号：5301016

法定代表人(机构负责人)：黄训全

机构住址：云南省昆明市青年路389号

邮政编码：650021

联系电话： (0871)3137632

业务范围：司法会计鉴定;工程造价纠纷鉴定;知识产权司法鉴定;计算机司法鉴定;资产评估司法鉴定

昆明理工大学司法鉴定中心

许可证号：530105040

法定代表人：周荣

机构负责人：熊坚

机构住址：云南省昆明市白龙路昆明理工大学白龙校区交通楼

邮政编码：650224

联系电话：(0871)3801138

业务范围：建筑工程司法鉴定;计算机司法鉴定;知识产权司法鉴定;微量物证鉴定;产品质量司法鉴定

二十三、广东省

广东中科司法鉴定所

许可证号：440117258

法定代表人(机构负责人)：丁丽萍

机构住址：广州市南沙区海滨路1121号A栋

邮政编码：511458

联系电话：020-22912681

业务范围：声像资料司法鉴定（录音资料鉴定除外、含电子数据鉴定）

南方医科大学司法鉴定中心

许可证号：440105125

住所地址：广州大道北1838号南方医科大学生命科学楼西侧1、2、3楼

邮政编码：510515

法定代表人：余艳红

机构负责人：陈敏生

联系电话：020-61648229

业务范围：法医临床司法鉴定、法医病理司法鉴定、法医物证司法鉴定、法医毒物司法鉴定、微量司法鉴定、痕迹司法鉴定（限道路交通事故鉴定）、声像资料司法鉴定（限图像资料、电子数据）

广东鑫证声像资料司法鉴定所

许可证号：440110181

住所地址：广州市南沙区金隆路26号1230、1607房

邮政编码：510630

法定代表人：潘康森

机构负责人：龙庆华

联系电话：020-85262048

业务范围：声像资料司法鉴定（限电子数据）、知识产权司法鉴定

广东华生司法鉴定中心

许可证号：440113194

住所地址：广州市天河区林和西横路209号大荣商业楼501-503单位

邮政编码：510630

法定代表人：梁德华

机构负责人：张宁

联系电话：15919003389

业务范围：法医病理司法鉴定、法医物证司法鉴定、文书鉴定司法鉴定、痕迹鉴定司法鉴定、微量物证鉴定司法鉴定、法医临床司法鉴定（听觉功能、性功能鉴定除外）、法医毒物司法鉴定（金属毒物检验除外）、声像资料司法鉴定（含电子数据）

广东南天司法鉴定所

许可证号：440303056

法定代表人(机构负责人)：徐代化

机构住址：深圳市福田区滨河路5003号爱地大厦西座17楼

邮政编码：518026

联系电话：0755-82996989（6083）

业务范围：法医病理司法鉴定、法医临床司法鉴定（性功能鉴定除外）、法医精神病司法鉴定、文书司法鉴定、痕迹司法鉴定、声像资料司法鉴定（含电子数据鉴定）、司法会计司法鉴定、建筑工程造价司法鉴定、法医物证司法鉴定、法医毒物司法鉴定、微量物证司法鉴定（橡胶分析除外）

广东安证计算机司法鉴定所

许可证号：440305110

住所地址：深圳市前海深港合作区前湾一路1号A栋201室

邮政编码：518000

法定代表人：周涛

机构负责人：步建华

联系电话：0755-25916668

业务范围：计算机司法鉴定、声像资料鉴定、知识产权司法鉴定

二十四、海南省

海南公平司法鉴定中心

许可证号：460107017

机构住址：海南省海口市新大洲大道280号

邮政编码：571100　

法定代表人：郝阜忻

机构负责人：童光政

联系电话：0898-65875110　　　　

业务范围：法医临床鉴定、文书鉴定、痕迹鉴定、声像资料鉴定、计算机司法鉴定、司法会计鉴定

二十五、甘肃省

甘肃中科司法物证技术鉴定中心

许可证号：620105002

机构住址：兰州市七里河区西津东路439号

邮政编码：730050

法定代表人：吕炳潮

联系电话：0931-2653577

业务范围：法医临床、法医病理、法医物证、文书鉴定、声像资料、微量物证、法医毒物、痕迹鉴定

甘肃仁龙司法物证鉴定所

许可证号：620106009

机构住址：兰州市城关区中山路1号佳润酒店14楼

邮政编码：730030

业务范围：法医临床、法医病理、声像资料、文书鉴定、微量物证、痕迹鉴定、法医物证

二十六、青海省

青海省明鉴司法鉴定中心

许可证号：630012001

机构住址：青海省西宁市城西区五四西路38号

邮政编码：810000

法定代表人：李旷林

机构负责人：马杰

联系电话：（0971）8186054

业务范围：文书鉴定电子物证鉴定微量物证鉴定痕迹鉴定

二十七、内蒙古自治区

内蒙古允正电子数据司法鉴定所

许可证号：150210008

机构住址：内蒙古包头市青山区包头市昆区民族东路63号丽都酒店503室

邮政编码：014010

机构负责人：李德波

联系电话：0472-5117799

业务范围：声像资料鉴定

二十八、新疆维吾尔自治区

新疆警察学院司法鉴定中心

许可证号：650111098
邮政编码：830011
住所地址：乌鲁木齐市长沙路1108号
法定代表人：沙尼亚·恰力甫
机构负责人：马健
联系电话：0991-3190533
鉴定业务范围：法医临床鉴定、文书鉴定、法医毒物鉴定、痕迹（手印）鉴定、电子数据鉴定

二十九、广西壮族自治区

广西天宏司法鉴定所

许可证号：450015020

邮政编码：530022

住所地址：南宁市长园路8号大地华城B0405

机构负责人（法定代表人）：王丽静

联系电话：0771－5671001

手　机：13978681997、18978141816

业务范围：计算机司法鉴定、声像资料鉴定、文书鉴定、痕迹鉴定

三十、宁夏回族自治区

宁夏一路平安司法鉴定中心

许可证号：641112710

机构住所：银川市兴庆区绿地21城D区11号402

邮政编码： 750001

法定代表人：付孟斌

机构负责人：王立华

联系电话：0951-5173988

业务范围：车辆、机械设备司法鉴定（道路交通事故车辆检验，车辆和机械设备故障、成因、估损及评估）、旧机动车司法鉴定、法医毒物鉴定（酒精检验、血液酒精含量检验）、法医临床司法鉴定、法医病理司法鉴定、痕迹检验司法鉴定、声像资料司法鉴定和计算机司法鉴定

宁夏博瑞司法鉴定中心

许可证号：641122221

机构住址：银川市兴庆区科技成果转化大厦4楼

邮政编码： 750002

法定代表人：张毅

机构负责人：张卫

联系电话：13519572601

业务范围：旧机动车司法鉴定、车辆、机械设备司法鉴定（道路交通事故车辆检验，车辆和机械设备故障、成因、估损及评估）、痕迹检验司法鉴定、声像资料司法鉴定、计算机司法鉴定

宁夏中天奥立升司法鉴定中心

许可证号：641122225

机构住址：银川市兴庆区绿地21城C区第18#B座7层705号

邮政编码：750001

法定代表人：尤志伟

机构负责人：陈超

联系电话：0951-3931133 3931119

业务范围：旧机动车司法鉴定、车辆和机械设备司法鉴定（道路交通事故车辆检验，车辆和机械设备故障、成因、估损及评估）、痕迹检验司法鉴定、法医临床司法鉴定、法医病理司法鉴定、声像资料司法鉴定、计算机司法鉴定、法医毒物司法鉴定

小编语录

最近，小编被一个朋友的咨询难倒了，他的问题是如何证明手机鉴定属于计算机鉴定的执业范围。因此，小编对全国登记在案的计算机/电子数据司法鉴定机构进行了整理，想要看看有没有相关信息。经过整理，发现目前全国对于电子数据鉴定的执业范围的命名有计算机鉴定、电子数据鉴定、声像资料鉴定、声像资料鉴定（含电子数据）等多种方式。但是，小编依旧没有找到证明手机鉴定属于计算机鉴定的执业范围的证据。如果大家知道的话，也希望能为小编解答疑问。

本期中的相关信息转载自各省、直辖市、自治区的司法行政网、司法鉴定协会网站、以及相关地区的《国家司法鉴定人和司法鉴定机构名册》。

明天就是元宵佳节了，在此，祝愿各位：日圆，月圆，圆圆如意。官源、财源，源源不断。人缘、福缘，缘缘于手。情愿、心愿，愿愿成真！元宵节快乐！

正

月

十

五

阅读原文

跳转微信打开

第二十八期新版司法鉴定文书格式的解读

Sun, 22 Jan 2017 12:33:00 +0800

原创蝈蝈 2017-01-22 12:33

2016年年底，司法部发布了《司法部关于印发司法鉴定文书格式的通知》，其中包含了《司法鉴定委托书》等7种文书格式。本地将就新旧两版的司法鉴定文书的格式规范的区别展开解读。

2016年11月21日，司法部发布了《司法部关于印发司法鉴定文书格式的通知》(司发通[2016]112号文件)，其中包含了司法部为贯彻执行《全国人民代表大会常务委员会关于司法鉴定管理问题的决定》和修订后的《司法鉴定程序通则》（司法部令第132号），而制定的《司法鉴定委托书》、《司法鉴定意见书》、《延长鉴定时限告知书》、《终止鉴定告知书》、《司法鉴定复核意见》、《司法鉴定意见补正书》和《司法鉴定告知书》等7种文书格式。

《通知》的颁布进一步完善了司法鉴定文书规范，强调司法鉴定机构和司法鉴定人应当按照统一的文本格式制作司法鉴定意见书，对司法鉴定委托书的内容进行修改完善，并增加对有瑕疵的司法鉴定意见书进行补正的条件和措施。

根据《通知》的要求，这7种文书格式自2017年3月1日起执行。2007年11月1日印发的《司法部关于印发<司法鉴定文书规范>和<司法鉴定协议书（示范文本）>的通知》（司发通[2007]71号）（该通知中提供了司法鉴定意见书和司法鉴定检验报告书的示范文本、司法鉴定协议书的示范文本）同时废止。

本期公众号，小编将就新旧两版的司法鉴定文书的格式规范的区别展开解读，希望对大家提高司法鉴定文书质量带来帮助。

司法鉴定文书的变化

从这次司法部发布的文书格式可以发现，新版的司法鉴定文书与老版最显著的变化就是：由原来的《司法鉴定意见书》和《司法鉴定检验报告书》统一为《司法鉴定意见书》，这也是与修订后的《司法鉴定程序通则》相适应的。老版《司法鉴定程序通则》第三十四条规定“司法鉴定文书包括司法鉴定意见书和司法鉴定检验报告书。”而新版本《司法鉴定程序通则》第三十六条规定“司法鉴定机构和司法鉴定人应当按照统一规定的文本格式制作司法鉴定意见书”。

此外，此次发布的司法鉴定文书的格式也发生了不小的变化。2007年11月1日印发的《司法部关于印发<司法鉴定文书规范>和<司法鉴定协议书（示范文本）>的通知》第三条规定，“司法鉴定意见书是司法鉴定机构和司法鉴定人对委托人提供的鉴定材料进行检验、鉴别后出具的记录司法鉴定人专业判断意见的文书，一般包括标题、编号、基本情况、检案摘要、检验过程、分析说明、鉴定意见、落款、附件及附注等内容。”。第五条规定，“司法鉴定文书一般由封面、正文和附件组成。”

而根据最新版的《司法部关于印发司法鉴定文书格式的通知》，司法部给出的《司法鉴定意见书》的格式规范，包括标题、编号、基本情况、基本案情、资料摘要、检验过程、分析说明、鉴定意见、附件及落款等内容。

由此，可以看出，新版文书和老版司法鉴定文书在格式上有以下几点不同：

1、老版司法鉴定文书中“附件”独立于正文，而新版《司法鉴定意见书》中正文中包含“附件”。

2、新版《司法鉴定意见书》中不再包含“附注”。（老版中“对司法鉴定文书中需要解释的内容，可以在附注中作出说明。”）

3、新版《司法鉴定意见书》的正文中增加了“资料摘要”，并将“检案摘要”更改为“基本案情”，“检验过程”更改为“鉴定过程”。

一

封面

新版与老版司法鉴定文书的封面格式基本保持不变，封面写明司法鉴定机构的名称和司法鉴定许可证号；封二写明声明、司法鉴定机构的地址和联系电话。

但是，封二声明的内容发生了重大变化，具体如下：

1、新版《司法鉴定意见书》封二的第1条是老版封2中第2条内容和第3条后半条内容和合并后并在文字上进行了修改，此外更强调了司法鉴定机构，而不仅仅是司法鉴定人。

2、新版《司法鉴定意见书》封二的第3条内容基本和老版的第4条内容保持一致。

3、新版《司法鉴定意见书》封二的第2条和第4条内容为新增加，第2条强调了“司法鉴定意见书是否作为定案或者认定事实的根据，取决于办案机关的审查判断，司法鉴定机构和司法鉴定人无权干涉。”第4条强调了“鉴定意见属于鉴定人的专业意见。当事人对鉴定意见有异议，应当通过庭审质证或者申请重新鉴定、补充鉴定等方式解决。”这也是与修订后的《司法鉴定程序通则》保持了一致。

二

正文

标题

老版的司法鉴定文书规范中，《司法鉴定意见书》的“标题”要求写明司法鉴定机构的名称和委托鉴定事项；新版的《司法鉴定意见书》中，“标题”为司法鉴定机构的名称+“司法鉴定意见书”，由此可见，新版《司法鉴定意见书》中“标题”中的委托鉴定事项由“司法鉴定意见书”作为统一替代。

编号

老版的司法鉴定文书规范中，“编号”要求写明司法鉴定机构缩略名、年份、专业缩略语、文书性质缩略语及序号。新版的《司法鉴定意见书》中对此没有做说明。

基本情况

老版的司法鉴定文书规范中，“基本情况”要求写明委托人、委托鉴定事项、受理日期、鉴定材料、鉴定日期、鉴定地点、在场人员、被鉴定人等内容。鉴定材料应当客观写明委托人提供的与委托鉴定事项有关的检材和鉴定资料的简要情况，并注明鉴定材料的出处。

新版的《司法鉴定意见书》中，“基本情况”要求应当简要说明委托人、委托事项、受理日期、鉴定材料等情况。与老版相比，新版的“基本情况”的不再强调鉴定日期、鉴定地点、在场人员、被鉴定人等内容。

基本案情（老版为检案摘要）

老版的司法鉴定文书规范中，“检案摘要”要求写明委托鉴定事项涉及案件的简要情况；新版的《司法鉴定意见书》中，对此没有做说明。但是，按照字面的理解，应该是与老版保持一致。

“资料摘要”

“资料摘要”是新版的司法鉴定文书中新增加的内容，按照说明是应当摘录与鉴定事项有关的鉴定资料，如法医鉴定的病史摘要等。

鉴定过程（老版为检验过程）

老版的司法鉴定文书规范中，“检验过程”要求写明鉴定的实施过程和科学依据，包括检材处理、鉴定程序、所用技术方法、技术标准和技术规范等内容；

新版的《司法鉴定意见书》中，“鉴定过程”要求应当客观、详实、有条理地描述鉴定活动发生的过程，包括人员、时间、地点、内容、方法，鉴定材料的选取、使用，采用的技术标准、技术规范或者技术方法，检查、检验、检测所使用的仪器设备、方法和主要结果等。

由此可见，新版《司法鉴定意见书》的“鉴定过程”除了要求体现以前老版“检验过程”规定的内容外，原本在老版鉴定文书中的“基本情况”中的人员、时间、地点等信息以及主要结果均要求在“鉴定过程”说明。此外，还强调了鉴定材料的选取、使用。

分析说明

老版的司法鉴定文书规范中，“分析说明”要求写明根据鉴定材料和检验结果形成鉴定意见的分析、鉴别和判断的过程。引用的资料应当注明出处；

新版的《司法鉴定意见书》中，“分析说明”要求应当详细阐明鉴定人根据有关科学理论知识，通过对鉴定材料，检查、检验、检测结果，鉴定标准，专家意见等进行鉴别、判断、综合分析、逻辑推理，得出鉴定意见的过程。要求有良好的科学性、逻辑性。这点上两个版本基本保持一致。

鉴定意见

老版的司法鉴定文书规范中，“鉴定意见”要求应当明确、具体、规范，具有针对性和可适用性；新版的《司法鉴定意见书》中，对于“鉴定意见”没有做说明。

落款

老版的司法鉴定文书规范中，“落款”要求由司法鉴定人签名或者盖章，并写明司法鉴定人的执业证号，同时加盖司法鉴定机构的司法鉴定专用章，并注明文书制作日期等；

新版的司法鉴定文书中，“落款”要求由司法鉴定人签名（打印文本和亲笔签名）、《司鉴定人执业证》证号，同时加盖司法鉴定机构的司法鉴定专用章，并注明文书制作日期等。与老版相比，新版去掉了“落款”这一标题。其次，强调了司法鉴定人签名为打印文本+亲笔签名，鉴定人的盖章不再有效。

《司法鉴定委托书》的变化

《司法鉴定委托书》是《司法鉴定程序通则》修订后，各家鉴定机构一直很困惑的地方。因为根据新版的《司法鉴定程序通则》，原本的《司法鉴定协议书》不再继续使用，而由《司法鉴定委托书》代替，而在老版的《司法鉴定程序通则》中原本就存在《司法鉴定委托书》。

老版《司法鉴定程序通则》第十二条规定“司法鉴定机构接受鉴定委托，应当要求委托人出具鉴定委托书”，第十七条规定“司法鉴定机构决定受理鉴定委托的，应当与委托人在协商一致的基础上签订司法鉴定协议书。”

新版的《司法鉴定程序通则》第十六条规定“司法鉴定机构决定受理鉴定委托的，应当与委托人签订司法鉴定委托书。”

仔细解读可以发现新版《司法鉴定程序通则》中的《司法鉴定委托书》就是修订前《司法鉴定程序通则》中的的《司法鉴定协议书》。从司法部这次提供的《司法鉴定委托书》样本格式可以发现，新发布的《司法鉴定委托书》的内容与以前发布的《司法鉴定协议书》内容基本一致，只是进行了进一步的修改完善。

新增加的文书格式

《司法鉴定复核意见》、《司法鉴定意见补正书》、《延长鉴定时限告知书》、《终止鉴定告知书》和《司法鉴定告知书》都是此次《司法鉴定程序通则》修订后司法部新推出的文书格式。

一

《司法鉴定复核意见》

老版《司法鉴定程序通则》第三十二条规定“委托的鉴定事项完成后，司法鉴定机构可以指定专人对该项鉴定的实施是否符合规定的程序、是否采用符合规定的技术标准和技术规范等情况进行复核，发现有违反本通则规定情形的，司法鉴定机构应当予以纠正。”

新版《司法鉴定程序通则》第三十五条规定“司法鉴定人完成鉴定后，司法鉴定机构应当指定具有相应资质的人员对鉴定程序和鉴定意见进行复核；对于涉及复杂、疑难、特殊技术问题或者重新鉴定的鉴定事项，可以组织三名以上的专家进行复核。复核人员完成复核后，应当提出复核意见并签名，存入鉴定档案。”

由此可见，新版《司法鉴定程序通则》明确复核人是司法鉴定机构指定的具有相应资质的人员。复核的内容也不再是以前的鉴定程序和标准规范，而是针对鉴定程序和鉴定意见进行复核。复核完成后，复核人需填写复核意见并签名。

根据司法部此次提供的《司法鉴定复核意见》的格式范本，要求填写复核的编号、基本情况中要求填写司法鉴定案件编号、司法鉴定人，司法鉴定意见，复核意见中要求填写关于鉴定程序和关于鉴定意见，同时复核人必须签名，并注明日期。由此可见，此次发布的《司法鉴定复核意见》严格规范了复核人对案件复核的要求，尽可能的避免复核流于形式。此外，也明确了复核人针对案件复核应留下的记录格式。对此，小编的个人理解是《司法鉴定意见书》应由司法鉴定人签名或者盖章，复核人不应在在《司法鉴定意见书》中签名，而是应该在《司法鉴定复核意见》填写复核意见并签名。

二

《司法鉴定意见补正书》

新版《司法鉴定程序通则》与老版《司法鉴定程序通则》的一大改进在于：其增加对有瑕疵的司法鉴定意见书进行补正的条件和补正措施，鉴定机构可以充分使用补正的措施来及时解决一些不影响鉴定意见的小瑕疵。

根据新版《司法鉴定程序通则》第四十一条规定，可以进行补正的情况包括：

（一）图像、谱图、表格不清晰的；

（二）签名、盖章或者编号不符合制作要求的；

（三）文字表达有瑕疵或者错别字，但不影响司法鉴定意见的。

按照本次司法部提供的《司法鉴定意见补正书》的格式样本，要求填写补正书的编号、委托人、鉴定案件、需要补正的司法鉴定意见书的编号、需补正的具体位置、补正理由及补正结果，最后由司法鉴定人签名（打印文本和亲笔签名）、《司鉴定人执业证》证号，同时加盖司法鉴定机构的司法鉴定专用章，并注明文书制作日期等。

三

《延长鉴定时限告知书》

对于延长鉴定时限这点，新旧两版的《司法鉴定程序通则》基本保持不变，新版增加了“鉴定时限延长的，应当及时告知委托人”。

本次司法部新增加的《延长鉴定时限告知书》的格式样本中，要求填写告知书的编号、委托人、鉴定案件、案件的受理编号、无法按时完成的原因、需要延长的时限、联系人和联系电话，同时加盖司法鉴定机构的公章，并注明日期。

四

《终止鉴定告知书》

关于终止鉴定这点，新旧两版的《司法鉴定程序通则》都进行了规定，新版《司法鉴定程序通则》进一步严格和明确终止鉴定的范畴，鉴定机构不得随意扩大。与老版相比，新版增加了终止鉴定的两种情形：

1、同时鉴定的案件，在后的一家鉴定机构需要及时终止鉴定。

2、鉴定受到严重干扰时也需要终止，防止因不当干扰而造成鉴定不公。

本次司法部新增加的《终止鉴定告知书》的格式样本中，要求填写委托人、什么鉴定、案件编号、终止的原因、依据《司法鉴定程序通则》的条款、联系人和联系电话，同时加盖司法鉴定机构的公章，并注明日期。

五

《司法鉴定告知书》

根据新发布的《司法鉴定委托书》格式样本中的内容，鉴定机构可增加其他的风险告知内容，有必要的，可另行签订风险告知书。

本次司法部新增加的《司法鉴定告知书》格式样本中，内容包括了委托人的责任义务、司法鉴定机构和司法鉴定人的责任义务、以及鉴定的风险、检材的风险，终止鉴定的情形等。

小编语录

本期公众号内容，是小编个人对于本次新发布的司法鉴定文书格式的解读，如有不足之处，还请大家批评指正。

《司法部关于印发司法鉴定文书格式的通知》具体内容可参见司法部网站http://www.moj.gov.cn/Judicial_identification/content/2016-11/30/content_6899210.htm? node=74593。

12月28日，由司法部司法鉴定管理局主办的第二届“宋慈杯”优秀司法鉴定文书评选总结研讨活动在沪举办。作为该评选活动两次二等奖的获奖者，小编对于鉴定文书的规范的重要性也是深有感触。近期，小编将根据电子数据司法鉴定的特点，对于《司法鉴定意见书》的内容进行细化，制作适用于电子数据司法鉴定的文书格式样本。需要的朋友请在公众号中回复邮箱地址，制作完毕后，小编将统一发送。

更多精彩内容，尽请关注“电子数据取证与鉴定”。

猴年过去，鸡年将至，去旧迎新。小编在这里给大家拜个早年，祝大家在鸡年一帆风顺，二龙腾飞，三阳开泰，四季平安，五福临门，六六大顺，七星高照，八方来财，九九同心，十全十美，百事亨通，千事吉祥，万事如意!

贰

零

壹

柒

丁

酉

鸡

年

新年快乐HAPPY NEW YEAR

阅读原文

跳转微信打开

第二十七期电子数据取证在保护知识产权中的应用

Wed, 21 Dec 2016 14:23:00 +0800

原创蝈蝈 2016-12-21 14:23

本期公众号内容是小编在第六届全国计算机取证技术研讨会上做的《电子数据取证在知识产权保护中的应用》的报告。

本期公众号内容是小编在第六届全国计算机取证技术研讨会上做的一个报告。该会议旨在探讨计算机取证技术以及相关法律法规、标准和学科建设等相关领域的最新研究进展和发展趋势，展示中国计算机取证领域的前沿学术、技术成果，为同领域专业人士搭建一个学术交流平台，共同探讨计算机取证研究与应用的成果和经验，以及所面临的前沿热点难点问题。

小编语录

本期公众号内容是小编在第六届全国计算机取证技术研讨会上做的《电子数据取证在知识产权保护中的应用》的报告。本次会议上取证届大咖云集，小编也是收获良多，在此对组委员的盛情邀请表示感谢！

在上两期介绍了伪基站后，陆续有不少朋友给小编提供了相当多的技术资料，近期，小编将就手头所有的伪基站现有的资料做个梳理推出关于伪基站鉴定的最终报告。

应广大读者的建议，之后几期，小编将就涉及知识产权保护中电子数据的鉴定展开进行介绍。更多精彩内容，尽请关注本公众号。

如需转载可与小编进行联系，下图是小编微信号，也可搜索微信号：guohong197854。

阅读原文

跳转微信打开

第二十六期取证实战篇- 伪基站取证（问题讨论）

Wed, 16 Nov 2016 19:51:00 +0800

原创蝈蝈 2016-11-16 19:51

本篇将就传统伪基站的取证鉴定中一些引起争议的问题进行补充说明。

上期本公众号介绍了传统伪基站取证的一般步骤，没想到引起了众多读者的反馈，就伪基站的一些技术问题与小编展开了深入的探讨。本期小编将就读者反馈的一些关于传统伪基站的取证鉴定产生争议的问题进行探讨。

一

关于桌面中TXT

根据王洪庆，王即墨等2015年发表在《刑事技术》上的“伪基站”数据取证研究，“桌面的TXT文件是通过调用函数随机生成 46000XXXXXXXXXX、46001XXXXXXXXXX 和 46002XXXXXXXXXX(X 为 0-9 的随机数)的 IMSI 号码写入到桌面的“任务名称 _id.txt”文件中,使其总数量满足 count 的值”。按照此说法，桌面的TXT文件中的IMSI记录是随机生成的，无法作为主要判断依据。

为了证实论文中的说法，小编在/var/usr/openbts/Lib/Action/BusinessAction.class.php中找到了这段代码，见下图。

由于手头没有可进行实验的设备，因此，小编暂时也无法判断，但是小编会持续关注，也希望有相关检验经验的同仁们能给小编提供经验分享。

二

关于日志中年份判断

在伪基站类案件的量刑中，IMSI记录是一个非常重要的判定依据。前一期就介绍过，它可能存在于伪基站的OpenBTS.log、syslog系列文件、桌面TXT文件、send.data以及TMSI.db数据库中。而对于判断常用到的OpenBTS.log、syslog系列文件、send.data以及桌面TXT文件中，OpenBTS.log、syslog系列文件的内容中只记录了月日时分秒，没有记录年份，而send.data以及桌面TXT文件内容中更是看上去没有任何时间的痕迹。一般情况下，鉴定过程中常常会结合文件创建修改时间进行判断。

其实，在这些文件中，有一个非常重要的信息，可以作为判断时间，尤其是确认年份的重要依据。在伪基站的gsm_business数据表中有一列名为id的列（短信任务id），里面有一串10位长的数字，可以通过Decode进行解析。以下图为例，gsm_business表中第三列，id列信息为1460007355，对应的time列的信息为2016-04-07 13:35:55。

我们使用Decode进行解析，一般使用的是Unix：Numeric Value，可以看到解析的时间信息为Thu, 07 April 2016 13:35:55 +0800，与gsm_business表中time列的数据一致。因此，短信任务id包含了时间戳的信息。

短信任务id列同样也存在于OpenBTS.log、syslog系列文件以及send.data中。如果是在OpenBTS.log和syslog系列文件中，以addsms作为关键字进行搜索，可以发现addsms后面跟着的就是短信任务id，如下图所示。

而在send.data中，第一列即为短信任务id。

在桌面的TXT文件中，文件名包含了短信任务id。

三

OpenBTS.log和syslog的关系

在大多数伪基站中，一般只有OpenBTS.log或者只有syslog系列文件。小编总结了一下，正常情况下，syslog系列文件中的IMSI记录应小于等于OpenBTS.log中的记录，原因是syslog系列文件会有删除。但是，理论上，syslog系列文件中的IMSI记录，在OpenBTS.log中都能找到一一对应。

四

新型伪基站的取证

鉴于很多读者在问小编关于新型伪基站的取证方法，小编只能很遗憾的告诉大家，新型伪基站只要关机状态或者重启过就不存在之前的使用数据，因为新型伪基站为Ubuntu LiveCD系统。

此外，即便是还在运行的新型伪基站，取证条件非常苛刻，可以在开机的状态下拆机检验，成功率非常低，一不小心就会重启。而且必须要有空余的USB连接口，以连接键盘鼠标和存储设备以导出涉案数据。注意：新型伪基站一般是使用U盘或者SSD硬盘。

当然了，如果你很幸运，嫌疑人肯告诉你新型伪基站的无线网络密码（前提他知道），以及伪基站的用户名和密码等，并且该伪基站允许运行远程登录的方式，那么你也可以尝试远程登录进行取证。

还有一点，新型伪基站的遥控器看上去和车钥匙很像，现场取证时，千万不要随便乱按。

小编语录

这是对上一篇传统伪基站的取证的补充，由于上一篇一经推出，有非常多的读者来与小编交流了伪基站取证的经验，也使小编获取了很多新知识，收获良多，在此表示深深的感谢！

再次强调，本公众号所有观点仅是小编个人的一点心得，可能存在失误，如有不足之处，还请大家见谅。

如需转载可与小编进行联系，下图是小编微信号。

阅读原文

跳转微信打开

第二十五期取证实战篇- 伪基站取证

Tue, 15 Nov 2016 18:24:00 +0800

原创蝈蝈 2016-11-15 18:24

随着公安打击伪基站的力度不断加大，伪基站技术的也在随之不断发展。本篇将就传统伪基站的取证鉴定步骤进行介绍。

伪基站，从技术上讲是由于2G的GSM单向认证漏洞而产生的。即只能网络对卡鉴权，卡无法鉴权网络，也就是说，只要你能够发射和GSM基站行为类似的无线电信号，就可以让周围的GSM手机连接到你的假冒基站中，然后你就可以向连到你的基站上的手机群发短信了。此外，GSM系统中的加密不是端到端的，只是在无线信道部分即MS和BTS之间进行加密。

随着公安打击伪基站的力度不断加大，伪基站技术的也在随之不断发展。目前市面上可以看到的伪基站主要分为传统伪基站和新型伪基站。所谓传统伪基站就是关机后仍能提取到IMSI记录的伪基站，而新型伪基站由于采用的是Ubuntu LiveCD系统，所有数据是制售设备时的初始数据，关机状态／重启后便不存在新的使用数据。本篇将就传统伪基站的取证鉴定步骤进行介绍。

一

检材的确认、登记及拍照

传统伪基站的设备的组成通常为：主机／笔记本电脑+发射设备(含天线)+测频手机。

一般情况下，需要鉴定的对象为电脑中的硬盘。鉴定前，需要对电脑及电脑中的硬盘进行登记（唯一性编号）以及拍照。

二

复制检材硬盘并计算校验值

复制硬盘

复制硬盘的方式一般有两种：一种是盘对盘的方式，一种是盘到镜像文件的方式。复制过程采用的标准为GA/T 756-2008《数字化设备证据数据发现提取固定方法》。使用的工具包括：硬盘复制机、只读接口+镜像软件（如FTK Imager）。

计算校验值

计算原盘和复制件的校验码，一般的硬盘复制机支持的校验方式包括，MD5，SHA1，SHA256（本人一般使用SHA256）。

需注意的是，如果采取盘对盘的复制方式，需要在检验报告和检验过程记录中注明，复制盘是偏移地址“0000000000”至“XXXXXXXXX”位的校验值与原盘的校验值相同。

三

检验方式

伪基站的数据检验分为：开机检验和关机检验两部分。有些检验可以在不启动检材的情况下进行，有些检验需启动检材后才能进行，如系统时间检验和控制软件检验。

在对伪基站进行检验的过程中，搜索采用的标准为GB/T 29362-2012《电子物证数据搜索检验规程》，数据恢复采用的标准为GB/T 29360-2012《电子物证数据恢复检验规程》，数据提取的标准使用的是GA/T 756-2008《数字化设备证据数据发现提取固定方法》。

开机检验的方式有两种：

1、将复制盘替换原盘后，启动检材进行检验；

2、使用虚拟仿真软件（如VFC）对镜像文件或复制盘进行系统仿真后，进行检验。

四

系统时间检验

系统时间检验的方式有两种：

1、将复制硬盘替换原盘后，启动检材查看时间。

注意：使用复制盘或者镜像文件进行系统仿真得到的时间并不准确（原因：BIOS时间）。

2、将BIOS时间换算后确定系统时间

1）1)取出检材中硬盘,开机进入BIOS查看时间。

2）将BIOS时间与标准北京时间进行对比。

3）查看操作系统时间配置文件/etc/default/rcS，UTC=no，则说明操作系统未将BIOS时间认定为UTC时间，那么操作系统将直接读取BIOS时间；UTC=yes，则说明操作系统将BIOS时间认定为UTC时间，操作系统时区设置文件位于/etc/localtime。

4）计算/etc/localtime文件的MD5值，并与/usr/share/zoneinfo目录中所有文件的MD5值进行哈希比对，即可得到当前操作系统的时区配置。

五

控制软件检验

1、仿真启动/使用复制盘直接启动检材后，开机进入名为GSMS的用户系统，密码一般为123456，一般在桌面有涉案程序快捷方式，且程序会自动弹出。

2、查看涉案程序快捷方式属性，指向涉案程序的存放目录（/var/usr）。

3、重点关注“计数”项是否可以进行修改（无论是否能够修改，“计数”都无法作为认定标准）。

六

MySQL数据库检验

MySQL数据库检验的方法也是两种：一种是使用navicat导出gsm_business数据表，一种是在系统终端通过命令行将mysql数据库中数据表内容导出。个人倾向第一种，要方便很多。

使用navicat导出gsm_business数据表

将/var/lib/mysql/目录下的gsms文件夹和ibdata1文件导出保存至C:\ProgramData\MySQL\MySQL Server 5.5\data目录下后，使用Navicat查看。

注意：复制前需要把MySQL的服务停止，复制后再重启。

通过命令行导出mysql数据库中数据表

MySQL登陆设置保存在/var/usr/openbts/Conf/config.php中，从该文件中可以获知伪基站使用的数据库类型为mysql，数据库名为gsms，数据库的用户名密码分别为“root”和“nb250+38”。

1）使用命令“mysql –u root –p nb250+38”，进入MySQL数据库，

2）使用命令“show databases;”，查看MySQL中的所有数据库。

3）MySQL中除系统数据库外，存在数据库“gsms”，使用命令“use gsms”切换到“gsms”数据库。

4）使用命令“show tables;”查看“gsms”数据库中的表。数据库“gsms”中仅有一张名为“gsm_business”的数据表。

5）使用查询语句“select * from gsm_business”查询数据库中的所有数据。

6）使用命令“mysqldump –u root –p gsms > gsms_web.sql”导出数据库中数据。

7）在本地MySQL中，导入“gsms_web.sql”文件。

七

IMSI记录检验

IMSI由15位数字组成，包括移动国家码（MCC）（中国为460）、移动网络码（MNC）（移动00/02，联通01）和移动用户识别码（MSIN）三部分组成。它可能存在于伪基站的OpenBTS.log、syslog系列文件、桌面TXT文件、send.data以及TMSI.db数据库中。进行检验鉴定时，必须结合看伪基站软件的代码进行综合分析，有条件的话可以做一些侦查实验。

OpenBTS.log

OpenBTS.log位于/var/log/目录下，是判断伪基站中IMSI记录的重要依据之一。

由于目前伪基站影响的基本是移动GSM的手机（中国电信用户之所以没有遭遇伪基站骚扰主要与CDMA技术原理有关。中国电信CDMA网络采用军用扩频技术，它的信号码址是42位PN伪随机码。如果不知道用户所使用的编码，伪基站无法获得手机用户当前的位置信息，也就无法连接到CDMA用户。

搜索的话，一般使用4600作为关键字进行搜索。工具可以使用类似WinHex之类的编码工具，也可以自己编写Pathon脚本实现，本人倾向使用后一种方式提取，然后使用前一种方式进行验证。

提取成功后，导入EXCEL表格中，里面一般需要的数据为“月日时分秒+IMSI号”。

注意：OpenBTS.log文件中只记录了月日时分秒，需要通过查看文件创建修改时间，采用从后往前递推方式，确定年份。

由于大多数的法院要求确定的是受影响的IMSI号，所以要求对IMSI号再进行一次去重处理，EXCEL的“数据”菜单下“自带删除重复项”的功能。

syslog系列文件

syslog系列文件位于var/log/目录下，包括syslog、syslog.1、syslog.2.gz、syslog.3.gz、syslog.4.gz、syslog.5.gz、syslog.6.gz和syslog.7.gz、是判断伪基站中IMSI记录的重要依据之一。有时候此类文件会被删除，因此需要进行数据恢复进行提取。

syslog2.gz等需要解压缩后进行检验，检验方法同OpenBTS.log。多个syslog可以合并后检验，也可单独检验。我是脚本结合批处理命令实现的，会的话非常方便。

桌面TXT文件

桌面的TXT文件也是伪基站提取IMSI记录的关重要依据，它的位置在“/home/gsms/桌面／”目录下，该文件中只记录了IMSI号，因此需要查看该文件创建修改时间进行综合判断。该文件同syslog系列文件，有时也需要进行数据恢复。

此外，大多数此类型的文件的命名方式是以时间作为文件名的一部分，具体需结合看伪基站软件的代码进行综合分析。解码可使用Decode进行分析，一般使用的是Unix：Numeric Value。如文件名为10_1399269121.txt，对应的时间为Mon, 05 May 2014 05:52:01 UTC。

send.data

send.data文件位于“/var/usr/”下，它只能作为受影响手机数的参考，该文件分为两列：第一列为短信任务ID，第二列为受影响的IMSI号。

TMSI.db数据库

TMSI.db位于/etc/OpenBTS/下，其中包括表：TMSI_TABLESMS（记录TMSI和IMSI对应关系）SMS_SENT（发送次数，可能为空）。检验时可以使用sqlite数据库浏览工具进行检验，个人认为这个数据库只能作为参考，意义不是很大。

八

短信的检验

伪基站中的短信可能存在于下列4个地方：运行软件的界面（前面已提及）、gsm_business数据表（前面已提及）、OpenBTS.log和syslog系列文件中。

如果是在OpenBTS.log和syslog系列文件中，以addsms作为关键字进行搜索，可以发现后面跟着一串二进制的代码。将2进制转16进制，16进制转Unicode即可解析出发送的短信。网上可以找到现成的转换代码，如果需要进行批量转换的话，还是需要自己动手写脚本，听说目前已经有取证软件的升级版本支持伪基站设备的短信解析。

九

形成报告

计算所有导出文件和检验过程中截图文件的校验码。将涉案数据采用封盘刻录的方式刻录至不可擦写的空白光盘上，并形成最终报告。

小编语录

这是电子数据取证鉴定的实战篇的第一期，应广大读者的要求，介绍的是传统伪基站的取证。

其实作为实战篇的开篇，小编原本是打算介绍如何撰写司法鉴定报告，希望将鉴定报告的规范化做一次推广。但是，架不住众多读者的要求，因此，第一篇还是就以前已经介绍过的伪基站取证做进一步介绍，也希望对大家有所帮助。上述的观点仅是小编个人的一点心得，如有不足之处，还请大家见谅。

如需转载可与小编进行联系，下图是小编微信号。

阅读原文

跳转微信打开

第二十四期电子数据取证的培训和认证（四）

Thu, 13 Oct 2016 19:26:00 +0800

原创蝈蝈、Sprite 2016-10-13 19:26

培训是提高鉴定人专业素养、确保鉴定质量的必要手段。本期，将继续介绍中立机构SANS的系列培训认证以及产品X-ways的培训。

鉴定人专业素养不是与生俱来的，只有通过科学培养、系统学习，才能打造高素质的鉴定队伍。因此，培训是提高鉴定人专业素养、确保鉴定质量的必要手段。目前，我国的在该领域的培训工作还处于起步阶段，与国际上的人才培训和认证发展相差甚远。尽管在公安类院校和政法类大学开设了相关课程，但是与实战相差甚远，效果也不尽人意。

前几期，本公众号详细介绍了属于厂商认证的知名认证：EnCE和ACE以及属于中立机构认证的知名认证：CHFI、CCFP和CFE。本期，将继续介绍中立机构SANS的系列培训认证以及产品X-ways的培训认证。

SANS培训认证

一

认证介绍

美国系统网络安全协会（以下简称SANS Institute）是一所致力于信息安全与安全证书培训的研究和教育机构，也是迄今为止世界上最受信任的信息安全培训方。其培训项目包含了一系列密集的体验式培训，培训方式包括了实时和虚拟，至今已培训了约16.5万安全界从业人员。其信息安全课程包括网络安全、取证、审计、安全领导和应用程序安全。除了一流的培训，SANS Institute还通过GIAC（SANS研究所的附属机构）提供认证，该认证机构拥有超过20个项目的信息安全技术认证。SANS Institute还经营了包含了86个重要类别安全研究原创性文章的SANS 信息安全阅览室，以及被称为互联网早期预警系统的Internet Storm Center。

目前，SANS Institute中涉及电子数据取证的培训有8项，对应的认证有6个，分别为：

1、FOR408: 计算机取证分析（Computer Forensic Analysis），对应的认证为GIAC认证取证检验员(GCFE)。

2、FOR508: 高级电子数据取证和应急响应（Advanced Digital Forensics and Incident Response），对应的认证为GIAC认证取证分析员(GCFA)。

3、FOR585: 高级智能手机取证（Advanced Smartphone Forensics），对应的认证为GIAC 高级手机取证人员(GASF)。

4、FOR504: 黑客工具、技术、漏洞利用和事件处理（Hacker Tools, Techniques,Exploits, and Incident Handling），对应的认证为GIAC认证应急事件处理员 (GCIH)。

5、FOR610：逆向工程恶意软件：恶意软件分析工具和技术（Reverse-Engineering Malware:Malware Analysis Tools and Techniques），对应的认证为GIAC certified Incident Handler (GREM)。

6、FOR572: 高级网络取证和分析（Advanced Network Forensics and Analysis），对应的认证为GIAC网络取证分析员(GNFA)。

7、FOR518: Mac 取证分析（Mac Forensic Analysis）。

8、FOR526: 深度内存取证（Memory Forensics In-Depth）。

二

知识体系

FOR408

FOR408的知识体系主要由6个部分组成：

1）408.1 Windows取证和高级数据分类（Windows Digital Forensics and Advanced Data Triage）

2）408.2 Windows注册表取证和分析（CORE WINDOWS FORENSICS PART 1 –Windows Registry Forensics and Analysis）

3）408.3 USB设备，Shell项和关键字搜索（CORE WINDOWS FORENSICS PART 2 –USB Devices, Shell Items, and Key Word Searching）

4）408.4电子邮件，其它关键痕迹和事件日志（CORE WINDOWS FORENSICS PART 3 –Email, Key Additional Artifacts, and Event Logs）

5）408.5网络浏览器取证（CORE WINDOWS FORENSICS PART 4 –Web Browser Forensics: Firefox, Internet Explorer, and Chrome）

6）408.6 Windows取证的挑战（Windows Forensic Challenge）

FOR508

FOR508的知识体系主要由6个部分组成：

1）508.1 企业应急响应（Enterprise Incident Response）

2）508.2 应急响应中的内存取证（Memory Forensics in Incident Response）

3）508.3 时间轴分析（Timeline Analysis）

4）508.4 深度取证和反取证检测（Deep Dive Forensics and Anti-Forensics Detection）

5）508.5 攻击和恶意软件查找（Adversary and Malware Hunting）

6）508.6 APT应急响应的挑战（The APT Incident Response Challenge）

FOR585

FOR585的知识体系主要由6个部分组成：

1）585.1 智能手机概述和恶意软件取证（Smartphone Overview and Malware Forensics）

2）585.2 Android取证（Android Forensics）

3）585.3 iOS取证（iOS Forensics）

4）585.4 备份文件和BlackBerry取证（Backup File and BlackBerry Forensics）

5）585.5 第三方应用和其它智能手机设备取证（Third-Party Application and Other Smartphone Device Forensics）

6）585.6 智能手机取证练习（Smartphone Forensics Capstone Exercise）

FOR504

FOR504的知识体系主要由6个部分组成：

1）504.1 事件处理及计算机犯罪调查（Incident Handling Step-by-Step and Computer Crime Investigation）

2）504.2 计算机和网络黑客利用第一部分（Computer and Network Hacker Exploits – PART 1）

3）504.3计算机和网络黑客利用第二部分（Computer and Network Hacker Exploits – PART 2）

4）504.4计算机和网络黑客利用第三部分（Computer and Network Hacker Exploits – PART 3）

5）504.5计算机和网络黑客利用第四部分（Computer and Network Hacker Exploits – PART 4）

6）504.6 黑客工具研讨（Hacker Tools Workshop）

FOR610

FOR610的知识体系主要由6个部分组成：

1）FOR610.1: 恶意软件分析基础（Malware Analysis Fundamentals）

2）FOR610.2: 恶意代码分析（Malicious Code Analysis）

3）FOR610.3: 深入的恶意软件分析（In-Depth Malware Analysis）

4）FOR610.4: 自卫式恶意软件（Self-Defending Malware）

5）FOR610.5: 恶意文档和内存取证（Malicious Documents and Memory Forensics）

6）FOR610.6: 恶意软件分析比赛（Malware Analysis Tournament）

8、FOR572: Advanced Network Forensics and Analysis

FOR572

FOR572的知识体系主要由6个部分组成：

1）FOR572.1: 网络证据的取证（Off the Disk and Onto the Wire）

2）FOR572.2: NetFlow分析、商业工具和可视化（NetFlow Analysis, Commercial Tools, and Visualization）

3）FOR572.3: 网络协议和无线调查（Network Protocols and Wireless Investigations）

4）FOR572.4: 日志记录、OPSEC和占位符（Logging, OPSEC, and Footprint）

5）FOR572.5: 加密、协议反转和自动化（Encryption, Protocol Reversing, and Automation）

6）FOR572.6: 网络取证挑战（Network Forensics Capstone Challenge）

FOR518

FOR518的知识体系主要由6个部分组成：

1）FOR518.1: Mac基础和HFS +文件系统（Mac Essentials and the HFS+ File System）

2）FOR518.2: 用户域文件分析（User Domain File Analysis）

3）FOR518.3: 系统和本地域文件分析（System and Local Domain File Analysis）

4）FOR518.4: 高级分析（Advanced Analysis Topics）

5）FOR518.5: iOS取证（iOS Forensics）

6）FOR518.6: Mac 取证的挑战（The Mac Forensics Challenge）

FOR526

FOR526的知识体系主要由6个部分组成：

1）526.1: 内存分析和获取基础（Foundations in Memory Analysis and Acquisition）

2）526.2: 非结构化分析和步骤探索（Unstructured Analysis and Process Exploration）

3）526.3: 通过存储器构件调查用户（Investigating the User via Memory Artifacts）

4）526.4: 内部存储器结构（Internal Memory Structures）

5）526.5: 除Windows之外的平台上的内存分析（Memory Analysis on Platforms Other than Windows）

6）FOR526.6: 内存分析挑战（Memory Analysis Challenges）

三

认证要求和基本流程

SANS系列的取证培训基本都是36个CPEs，培训的价格为5,620美金，认证考试的价格为689美金。所有的GIAC考试都通过测试中心提供，并且必须提前安排。

在考生申请获得批准后，GIAC尝试将在您的GIAC帐户中激活。考生付款后会收到注册确认。在考生帐户中激活认证后，会收到电子邮件通知。考生将在激活日期后的120天内完成认证。 GIAC考试必须通过Pearson VUE进行。

GCFE

FOR408是一个中级Windows取证课程。GCFE考试为全英文，考生须在3个小时内完成115道题，考生必须取得71%以上的正确率才可通过考试。获得认证后需要每4年更新1次。

GCFA

FOR508是一个高级事件响应课程。GCFA考试为全英文，考生须在3个小时内完成115道题，考生必须取得71%以上的正确率才可通过考试。获得认证后需要每4年更新1次。

GASF

FOR585的培训没有前置要求。GASF考试为全英文，考生须在2个小时内完成75道题，考生必须取得69%以上的正确率才可通过考试。获得认证后需要每4年更新1次。

GCIH

参加FOR504的培训人员要求必须对Windows命令行和核心网络概念（如TCP / IP）有基本理解。GCIH考试为全英文，考生须在4个小时内完成150道题，考生必须取得73%以上的正确率才可通过考试。获得认证后需要每4年更新1次。

GREM

参加FOR610的培训人员要求能熟悉使用Windows和Linux。GREM考试为全英文，考生须在2个小时内完成75道题，考生必须取得70.7%以上的正确率才可通过考试。获得认证后需要每4年更新1次。

GNFA

GNFA考试为全英文，考生须在2个小时内完成50道题，考生必须取得60%以上的正确率才可通过考试。获得认证后需要每4年更新1次。

四

主要知识资源

• FOR408

https://www.sans.org/selfstudy/course/windows-forensic-analysis

• FOR508

https://www.sans.org/ondemand/course/advanced-incident-response-threat-hunting-training

• FOR585

https://www.sans.org/ondemand/course/advanced-smartphone-mobile-device-forensics

• FOR504

https://www.sans.org/ondemand/course/hacker-techniques-exploits-incident-handling

• FOR610

https://www.sans.org/ondemand/course/reverse-engineering-malware-malware-analysis-tools-techniques

• FOR572

https://www.sans.org/ondemand/course/advanced-network-forensics-analysis

• FOR518

https://www.sans.org/ondemand/course/mac-forensic-analysis

• FOR526

https://www.sans.org/course/memory-forensics-in-depth

X-PERT

一

认证介绍

X-Ways Professional in Evidence Recovery Techniques，简称X-PERT专家认证，是德国X-Ways公司为X-Ways Forensics软件用户推出的一个认证考试。X-PERT专家认证不仅可以证明证书获得者是一名非常熟悉X-Ways Forensics软件的高级用户，更表明他具有计算机取证的充足实战经验、深入理解电子数据取证领域的全方位知识，包括数据存储知识、操作系统数据结构、文件类型、文件格式、文件系统、哈希和字符集等各方面知识。此证书足以证明他是一个有足够能力、高效的分析人员，会利用所掌握的技能判断在不同的情况下使用哪些最合适的功能完成手中的不同的取证分析任务。

二

知识体系

X-PERT知识体系主要由软件使用技能和操作系统、文件系统、数据恢复、网络取证等几个方面的核心知识领域组成，重点关注知识积累和技能提升。

• X-Ways Forensics使用技能

这部分要求申请人要掌握软件的基本操作，掌握如何利用Winhex和X-WaysForensics如何进行全面的计算机取证分析流程。这要求申请人具有充足的计算机取证知识和软件操作能力，具体要求掌握的知识包括：软件的配置、设置；分析磁盘和文件系统；磁盘、分区、卷和文件；偏移地址和扇区；证据文件；各种视图和文件操作；普通过滤和组合过滤；磁盘快照，数据恢复，文件签名和自定义签名库；元数据分析；各种文件的嵌入数据；图片分析；邮件分析；浏览器历史纪录分析；事件日志；时间分析；哈希和哈西库；关键词搜索，逻辑搜索和物理搜索；语言编码等。

• 数据恢复

涉及各种证据文件格式，证据容器，分区恢复、Raid重组、动态磁盘、LVM2，使用X-Tension脚本，手工恢复NTFS删除的文件等。

• 内存和网络取证

涉及Page Tables，PFN数据库，Pagefile，进程，驱动，即插即用设备管理，如何分析内存进程，Hiberfil.sys，恶意代码检测，网络取证

• 文件系统知识

涉及Fat12/FAT16/FAT32，NTFS，Ext2/Ext3/Ext4，XFS，ReiserFS，Reiser4，exFAT，XWFS2等文件系统。

三

认证要求和基本流程

认证要求

申请参加X-PERT专家认证考试，需要同时具备三个条件。

1. 申请人应该拥有一套在升级期内的X-Ways Forensics软件；或申请人所在机构允许你使用机构拥有的X-Ways Forensics软件。因为申请考试时需要提供软件狗编号。

2. 需要能使用英语或德语答题

3. 满足下面条件之一

• 申请人曾经在最近4年内参加过X-Ways公司举办的官方培训，这可以证明申请人在不断学习并掌握软件所有的最新功能。

• 申请人使用X-Ways Forensics软件超过2年，且在不断自学。拥有CFCE、CCE、EnCE，或其他被X-Ways 公司认为等于具有足够技术背景的认证证书。其它没有被列举出来的认证证书，X-Ways 公司并不认为这些证书代表具备有足够的技术背景。申请人还可提供关于个人的专业背景信息，如可信的网站介绍、个人简历、雇主出具的证明，个人技术论坛等。这些信息应能够证明申请人是计算机取证的专业人士，并证明你具有足够的能力。

• 由于很多认证没有被列举出来，因此需要提供满足最低学历要求。

考核流程

1. 在线申请参加考试（http://www.x-pert.eu/apply/）

申请是需要提交的信息包括：姓名，机构，邮件地址，城市，国家，软件狗ID，参加培训课程的时间和地点，或提交满足技术背景的培训、经验或证书。

2. 如果申请被通过，需支付认证费用，并选择考试的时间

3. 考试方式和准备：

• 开始采用远程方式，可在家、办公室、酒店等场所

• Windows XP之后版本操作系统，并具有亚洲语言环境

• 可以访问互联网

• 一个邮件帐户

• 常用工具，如文本编辑器、Excel

• 在获得参加考试资格后，必需60天内进行考试

4. 完成在线考试。

• 镜像文件会在考试前下发

• 准备好即可开始考试，必需3小时内完成

5. 合格分数为75分。如果考核答案与其他申请人答案相似，申请人将无法通过认证考试，且所在机构的其他申请人也将被永久拒绝认证申请。

四

主要知识资源

X-Ways官方网站提供了一些自学资源，供考生学习准备CFE考试。

• X-Ways 用户手册

http://www.x-ways.net/winhex/manual.pdf

• X-Ways用户论坛

http://www.winhex.net/

• 《X-Ways Forensics Practitioners Guide》

http://www.amazon.com/X-Ways-Forensics-Practitioners-Guide-Shavers/dp/0124116051

• 快速入门视频

https://www.youtube.com/playlist?list=PLB0pU0wP67A9LezmyZO5I6DnHPEWjgjOD Fraud Examiners Manual

• 软件设置和配置视频

https://www.youtube.com/playlist?list=PLB0pU0wP67A-_DeVFfswVlZuRTH4cWswQ CFE Exam Review Course

X-Ways Forensics具体操作的PPT，可以参考Sprite Guo编写PPT文档(http://cflab.blog.163.com)

五

考试周期和费用及认证有效期

单次考试费用为199欧元。非欧洲国家申请人需要增加19％增值税。相同机构的其他人同时申请认证考试，可以享受20%优惠。

一旦支付费用，任何原因未参加考试均不会返还费用。

认证有效期共3年。三年后需要再次参加新的考试。费用减半。

六

相关链接

• X-Ways 官方网站：

www.x-ways.net

• X-PERT介绍：

http://www.x-pert.eu/

• X-Ways 中国总代理官方网站：

www.cflab.cn

小编语录

这是关于电子数据取证鉴定的培训与认证的最后一期，感谢郭永健先生撰写了X-PERT介绍。由于时间以及网上资料的限制，有些知名的认证小编将在以后的公众号中视情况再做介绍。

小编也和好友讨论过未来国内电子数据取证培训存在的问题和发展方向，他认为：“目前国内尚未有权威的电子数据取证的培训认证体系，一是缺少培训的分级分类，既包括对不同背景、不同知识层次人员制定不同的培训计划，也包括对电子数据不同领域，不同难度制定出分层次的培训计划；二是缺少权威的成体系的教材，目前市面没有一套真正成体系的教材，归根结底还是缺少培训认证的顶层设计；三是没有成熟的师资队伍，部分高校的教师基本理论功底扎实，但是缺少大量公安一线实战工作经验的积累，一线优秀取证人员又缺少展示自己，将自己经验转化为教学成果的平台；四是缺少权威的培训认证制度，目前只是根据相关规定达到一定知识背景和工作年限就可以取得鉴定人资格，但对于电子数据取证工作，这是远远不够的，需要有关部门尽快制定一套行之有效的认证制度，并由权威机构或部门进行认证。”

小编也觉得要想把电子数据取证的培训做到位，首先，必须建立适应中国国情的电子数据取证培训体系，要有国家权威部门进行的顶层设计。同时，要借鉴国际培训经验，立足于国际视野，在吸纳国外先进理念的同时，建立具有中国特色的体系化、专业化的培训教案、师资队伍和认证制度。

还有1个事情要再次重新强调一下：近期，小编发现有公众号未经授权，抄袭了小编的公众号内容。小编再次申明，欢迎技术交流，欢迎对本公众号内容的转载和引用，但是反对未经授权的抄袭。

如需转载可与小编进行联系，下图是小编微信号。

下期，小编将开启电子数据取证的实战篇，包括各种类型案件的取证与鉴定，以及如何撰写司法鉴定报告。更多精彩内容尽请关注“电子数据取证与鉴定”。

阅读原文

跳转微信打开

第二十三期电子数据取证的培训和认证（三）

Fri, 09 Sep 2016 18:25:00 +0800

原创 Henry、Yi、蝈蝈 2016-09-09 18:25

CHFI、CCFP和CFE都是属于中立机构的认证。CHFI 由EC-Council组织开展，是关于计算机入侵调查取证的专业认证；CCFP由美国ISC2组织开展，在欧美越来越受到认可。CFE由ACFE组织开展，是国际权威的反舞弊认证。

国际上关于电子数据取证的认证主要分为行业内中立机构的认证和厂商关于某个具体产品的认证。

上一期，本公众号详细介绍了属于厂商认证的知名认证：EnCE和ACE。本期，本公众号将详细介绍属于中立机构认证的知名认证：CHFI、CCFP和CFE。之后，将继续介绍属于中立机构认证的CCE、CFCE、GCFA、GCFE、CSFA。

CHFI

一

认证介绍

Computer Hacking Forensic Investigator，简称CHFI，中文一般翻译为“计算机入侵调查取证专家”，由美国中立机构International Council of Electronic Commerce Consultants（下简称EC-Council）组织开展，是关于计算机入侵调查取证的专业认证；

EC-Council 是美国的专业组织，总部位于纽约，是世界十大 IT 认证机构之一。 EC-Council认证体系由The Association of Internet Professionals(简称AIP)授信，AIP是国际知名的互联网专家的重要组织。 AIP认证授信委员会由厂商认证公司、教育机构、软硬件公司以及其他一些非营利机构组成，主要是确定认证体系的标准并授信于符合该标准的认证项目。

CHFI 课程主要围绕黑客人侵、侦测、提取犯罪证据及发现潜在攻击。除计算机安全外， CHFI 同时教授如何系统地及正确地获取并记录犯罪证据 ( 例如通过恢复已删除、加密或损毁的文件 ) ，在法庭起诉入侵者，并实施审计来防止未来的入侵。目前，CHFI 课程已经更新至V8版本，相比之前的版本，CHFI V8更强调实战技术和方法，其精心组织的内容能有效确保学员充分理解取证调查的步骤和方法。此外，CHFI V8展示了调查中需要使用到的的新技术和新工具。

参加CHFI培训和考试的目标人群为：警察和其他执法人员、国防与军事人员、电子商务安全专家、系统管理员、法律界人士、银行和保险等专业人才、政府机构、IT经理等。

近年拥有大量客户的敏感数据的行业，例如：银行、律师行、保险、金融机构等都开始加大对此类人才的需求。由于市场需求量大及拥有 CHFI 的专家人数不多，而且 CHFI认证获得者须具备法律和 IT 知识，薪金均较一般 IT 从业员高出三分之一，行业前景十分乐观。

二

知识体系

CHFI V8的知识体系主要由22个模块组成，分别为：

• 模块 01：Computer Forensics in Today's World (计算机取证概论)

• 模块02：Computer Forensics Investigation Process (计算机取证调查程序)

• 模块03：Searching and Seizing of Computer (搜查和扣押计算机)

• 模块04：Digital Evidence(电子证据)

• 模块05：First Responder Procedures(应急响应流程)

• 模块06：Computer Forensics Lab (计算机取证实验室)

• 模块07：Understanding Hard Disks and File Systems (认识硬盘和文件系统)

• 模块08：Windows Forensics I (Windows基础取证)

• 模块09：Data Acquisition and Duplication (数据获取和复制)

• 模块10：Recovering Deleted Files & Deleted Partitions (恢复被刪除文件及被刪除分区)

• 模块11：Forensics Investigations Using AccessData FTK (使用FTK进行调查取证)

• 模块12：Forensics Investigations Using Encase (使用Encase进行调查取证)

• 模块13：Steganography and Image Files Forensics (信息隐写和图像文件鉴定)

• 模块14：Application Password Cracker (应用程序密码破解)

• 模块15：Log Capturing and Event Correlation (日志获取和事件关联)

• 模块16：Network Forensics, Investigating Logs (网络取证与日志调查)

• 模块17：Investigating Wireless Attacks (无线网络攻击调查)

• 模块18：Investigating Web Attacks (网站攻击调查)

• 模块19：Tracking Emails and Investigating Email Crime (追踪电子邮件和调查电子邮件犯罪)

• 模块20：Mobile Forensics (移动终端取证)

• 模块21：Investigative Report (调查报告)

• 模块22：Become an Expert Witness (如何成为专家证人)

三

认证要求和基本流程

CHFI是专门为从事信息系统的安全、计算机取证和应急响应的IT专业人员设计的认证课程。申请参加CHFI认证考试，一般需要经过“参加CHFI认证培训→申请参加考试并通过”这个流程才能获得CHFI认证。

步骤1

参加CHFI认证培训

CHFI培训一般为5天，时间为上午9点至下午5点。CHFI 312-49考试将在培训（可选）的最后一天进行。学生需要通过在线考试以获取CHFI认证。

步骤2

注册认证考试

考生需要在ECCouncil网站（www.eccouncil.org）报名参加考试。第一步是要申请参加考试，一旦获得批准，你可以在ECCouncil网上商店购买考试券，之后就可以在Prometric或VUE考试中心安排考试。

步骤3

参加考试

CHFI考试为全英文，考试形式为在线考试。考生须在4个小时内完成150道题，题型为多选题，考生必须取得70%以上的正确率才可通过考试。。

ECCouncil网站提供在线模拟考试，考生可进行模拟测试，提前感受实际考试。

四

主要知识资源

• CHFI iClass

https://iclass.eccouncil.org/

• CHFI v8 Courseware

https://store.eccouncil.org/product-category/courseware/

• CHFI iLabs

https://store.eccouncil.org/product/ilabs-chfi/

• CHFI ASSESSMENT

https://www.eccouncil.org/programs/computer-hacking-forensic-investigator-chfi/assessment/

• 参考书籍

ALL IN ONE CHFI EXAM GUIDE (ISBN: 978-0-07-183155-0)

CCFP

一

认证介绍

Certified Cyber Forensics Professional，简称CCFP，一般翻译为“ISC2认证电子取证专家”，由美国ISC2组织开展，是国际上最具影响力的电子取证认证之一，已经在欧美越来越受到认可。

ISC2认证电子取证专家(CCFP)拥有丰富的信息技术知识，掌握法庭科学、调查、电子取证及应用取证技术，熟悉电子取证流程规范、实践标准、法律及道德准则，可保障电子证据在取证过程中的准确性、完整性和可靠性。CCFP认证的技能是根据全球广泛认可的核心知识体系进行测评。

二

知识体系

CCFP知识体系主要由六个知识领域组成，分别法律与道德准则、调查、法庭科学、电子取证、应用取证和混合及新兴技术。

• 法律与道德准则：涉及道德行为及法律框架下适用的合规要求；要求完全理解法律、道德准则概念，需展现具备熟练表述分析结果的能力（如法庭上），口头及书面上均应具备，并能够与调查团队、机构或企业进行团队协作与沟通。主要知识点包括掌握证据的本质及其特性、证据链(Chain of Custody)、处理原则的重要性、专家证人角色及道德准则。

• 调查：具备调查所需的知识，掌握局域网及广域网数据通讯知识，了解远程访问、国际互联网/企业内部互联网及外联网（Extranet）相关配置等。主要知识点包括熟悉网络设备，如网络交换机、网桥、路由器以及网络通讯协议（如TCP/IP、IPSec)及VPN等。具备刑事、民事、行政管理、安全事件应急响应与取证、电子证据开示(eDiscovery)及知识产权等领域的调查知识。

• 法庭科学：法庭科学应用大量科学与技术来调查和确立与刑事或民事案件相关联的事实。收集的证据必须满足作为事实接受的各种规则，具有基于可验证性的说服力。法庭科学将科学应用于法律，最终贯穿于诉讼活动。要求掌握法庭科学的基本原则，理解法庭科学在与调查及法律相关方面的应用方式，理解如何对获得的数据进行分析以及在处理过程中使用质量保证及管控的方法。主要知识点包括基本原则（罗卡德转移原则、英曼-鲁丁范式、科学原则及科学方法)、取证方法（辨识、分类、关联和重建）、取证分析和检验计划、报告编写及展示和质量保证、控制、管理及认可过程。

• 电子取证：电子数据取证涉及任何电子证据的收集，即存储的数据或以电子形式传输的数据。该过程将最终确立事件发生的时间顺序，并应用于法庭诉讼。要求掌握介质及文件系统结构，理解不同的系统存储介质，也要求理解网络协议、操作系统、虚拟化及移动设备。主要知识点包括介质及文件系统取证、计算机及操作系统取证、网络取证、移动设备取证、嵌入式设备取证、多媒体内容取证（图片、音视频等）、虚拟系统取证、取证技巧及工具及反取证技巧及工具。

• 应用取证：在取证调查过程中，会遇到形形色色的应用程序类型。为了更好的进行电子证据收集，需了解各种应用程序的类型，包括数据库、电子邮件、P2P应用程序及恶意程序等。主要知识点包括软件取证（文件格式、内部文件元数据、应用程序痕迹、软件分析等）、上网访问/电子邮件及即时通讯取证、数据库取证及恶意程序取证等。

• 混合及新兴技术：混合及新兴技术包含持续进化的各种技术，要求对新兴技术有较为深入的了解，如云计算、社交网络及工业控制网络等。要求在调查实践中通过使用综合应用各种新技术新方法来支持收集证据。主要知识点包括云取证（云架构、云类型、相关云证据位置等）、社交网络、大数据、工业控制网络、重大基础设施及在线赌博及虚拟现实(VR/AR)。

三

认证要求和基本流程

步骤1

获得相关经验

• 考生需拥有四年制大学学士学位 (CCFP是第一个也是唯一一个要求报考者拥有大学学士学位的认证考试)

• 在6大领域知识的 3个范畴拥有 3年全职工作经验（无学士学位者需有 6年工作经验）

• 承诺遵守 (ISC) 2职业道德规范

• (ISC)²要求完成鉴证(背书）流程

• 每3年为一个续证周期

步骤2

制定学习计划

学习工具：考试大纲(Exam Outline)及卡片(Flashcards）；参加相关的培训（教室授课、在线学习及上门授课）。

步骤3

参加考试

考生须在4个小时内完成125道题，题型为选择题。总分1000分，成绩超过700分即可通过考试。CCFP在全球均可考试，目前按地区分为四个不同的版本：美国、欧盟、印度及韩国。不同区域的版本的差异主要在于相关法律法规。中国大陆考生可选择美国版本CCFP-US，目前可在香港参加考试。

• United States (CCFP-US): 美国版本，以英文考试

• European Union (CCFP-EU): 欧盟版本，以英文和德文考试

• South Korea (CCFP-KR): 韩国版本，以韩文考试

• India (CCFP-IN): 印度版本，以英文考试

考生可通过 Pearson Vue考试中心注册考试： www.pearsonvue.com/isc2

步骤4

完成荐证 (Endorsement)

• 当您获得成功通过考试的通知时，从考试日起9个月内需完成以下荐证手续。

- 填写荐证申请表 ( Application Endorsement Form )

- 同意遵守(ISC)² 职业道德规范 ( Code of Ethics )

- 获得另一名(ISC)² 认证会员的签名荐证

• 完成以上步骤并提交申请表，方能最终获得证书。请登录www.isc2.org/endorsement指南及下载申请表

步骤5

续证流程

一旦通过认证，考生即成为ISC2会员。每隔3年要求重新认证。重新认证是通过获得持续教育学分(CPE)，即每年要求获得30个CPE学分；此外考生还需缴清3年的会员费总费用300美金（即每年100美金）。

四

主要知识资源

CCFP认证学习可参加CCFP相关培训课程，也可通过ISC2官方网站获得相关资料进行自学。

• CCFP官方培训课程

https://www.isc2.org/ccfp-training

• 考试大纲(Exam Outline)

https://www.isc2.org/exam-outline

• 官方Flash学习卡-学习专业术语

https://learning.isc2.org/content/official-isc%C2%B2-ccfp%C2%AE-flash-cards

• 参考书籍

Offical (ISC)2 Guide to The CCFP CBK (ISBN: 978-1-4822-6247-6)

五

考试周期和费用及认证有效期

考生一旦通过CCFP认证，即刻成为ISC2会员。CCFP证书的有效期为3年，3年期满后需重新认证，重新认证是通过获得持续教育学分(CPE)，即每年要求获得30个CPE学分，期满前必须需登录ISC2网站登记过去3年的所有CPE学分记录。考生还需缴清3年的会员费总费用300美金（即每年100美金）。

六

相关链接

• CCFP认证简介

https://www.isc2.org/ccfp/default.aspx

• CCFP认证学习资源

https://www.isc2.org/ccfp-resources/default.aspx

• CCFP考试知识域

https://www.isc2.org/ccfp-domains/default.aspx

CFE

一

认证介绍

Certified Fraud Examiner，简称CFE，中文一般翻译为“注册舞弊审查师”或者“注册舞弊调查员”，由Association of Certified Fraud Examiner（下简称ACFE）即“美国注册舞弊审查师协会”组织开展，是国际权威的反舞弊认证；CFE认证主要面向从事审计和内控工作的调查人员，旨在帮助全球范围内的企业及时预防、发现和震慑舞弊行为，减少因这些舞弊行为给企业和公众带来的损失。

ACFE总部设在美国，目前有超过75000名注册会员，在全球各个国家和地区有超过200个由ACFE会员组织的分会，中国有北京、上海、广州、深圳和香港分会。

二

知识体系

CFE知识体系主要由四个核心知识领域组成，分别是：金融交易和舞弊类型、法律、调查、舞弊防范与震慑。

• 金融交易与舞弊类型

这部分需要学员了解一些基本的金融与财会知识，比如会计基础，同时介绍了CFE知识体系所主要涉及的舞弊类型——职业性舞弊，详细列举了常见的职业性舞弊的类型、特征及其主要实施手段。

• 法律

法律部分主要介绍基本的法律知识，比如基本法律制度、不同法系、主要司法体系，以及在处理不同调查活动中所可能涉及到民法与刑法行为、跨司法体系调查所涉及到的法律问题等。详细列举了与舞弊调查相关的法律和法规；同时介绍了处理不同类型舞弊行为所牵涉的法律问题、司法流程中个人权利、证据处理、证人证言等相关问题。

• 调查

详细介绍了如何进行调查工作的规划与准备工作，以及开展调查工作中的不同调查方法和技术的使用，如文档分析、面谈谈话、公开/隐蔽调查以及电子取证调查，阐述了不同调查阶段的要点和具体流程。

• 舞弊防范与震慑

从管理的角度介绍了如何有效的预防各类型的舞弊行为，提供了指导性的管理原则和指导方针，详细列举不同角色和舞弊行为发生各个阶段的预防、分析、评估、调查以及震慑的具体要求。介绍ACFE的道德准则和作为CFE的职业行为准则。

三

认证要求和基本流程

申请参加CFE认证考试，一般需要经过“申请成为ACFE会员→申请参加考试→通过后提交认证材料”这个流程才能获得CFE认证。

1. 申请成为ACFE会员。ACFE会员分为以下三种：

2. 确认符合考试要求：

• 已申请成为ACFE会员

• 满足最低学历要求：

-至少需要具备学士学位或等同教育水平，不限专业

-不具备学士学位的，则必须按照每两年舞弊专业从业经验换取1年教育背景进行换算，满足最低从业年限要求

-满足道德水准要求（未因道德败坏被定罪或判刑，包括舞弊、行贿、受贿、盗窃、贪污等）

-至少两年舞弊相关从业经验（见下表）

为便于申请者计算，ACFE官方提供了在线打分系统http://www.acfe.com/qualifications-points.aspx，申请者必须满足50分的最低要求才能申请CFE认证考试。举例来说，四年学制所获得的学士学位可获得40分，每一年相关从业经验可获得5分，那么，具备学士学位和两年相关从业经验的申请者评分为50分，可直接申请参加CFE认证。

3. 学习相关资料和考试准备。

4. 提出考试申请和相关材料：

• 工作经验证明

• 教育背景（学历）证明

• 电子照片

• 3份由同事或工作伙伴出具的个人推荐信

5. 完成在线考试。

CFE考试为全英文，考试形式为在线考试，由四个核心知识领域组成（金融交易与舞弊类型、法律、调查和舞弊防范与震慑），每部分125题，一共500题。完整考试必须在10小时内完成，每道题最多答题时间为75秒。

考生必须完成四个知识领域均取得75%以上的正确率才可通过考试，任何一个知识领域未满足75%正确率都无法通过CFE考试，均需要重新申请未通过知识领域的考试。

4. 完成考试后3-5个工作日，ACFE官方将通过电子邮件告知考生考试成绩。

5. 完成考试的考生，应同时提供考试宣誓书，由已经持有CFE证书的人员为考生是否独立完成考试进行见证。

6. 全部完成后，约1个月左右收到ACFE寄出的纸质CFE证书和CFE徽章。·

四

主要知识资源

ACFE官方为CFE考生提供了一系列的学习资源，供考生学习准备CFE考试。

• CFE Exam Prep Course

• Fraud Examiners Manual

• CFE Exam Review Course

根据考生所在国家的不同，ACFE提供了U.S. Edition和International Edition两种版本，建议中国考生选择国际版本。

五

考试周期和费用及认证有效期

根据专业基础和教育背景的不同，ACFE官方给出了30天、60天和90天等不同时长的备考方案，考生可以根据自己的实际情况参考选择：http://www.acfe.com/fasttrack/

CFE考试单次考试费用为250美元，未通过考试的则需要重新申请。

与许多国际认证考试一样，考生在通过CFE考试之后，除首年豁免CPE学分外，后续每年还应该满足每年20小时CPE学分的要求，其中至少有10学分是与舞弊发现和舞弊预防有关，2学分必须与道德相关。

六

相关链接

1.ACFE 官方网站：

www.acfe.com

2.CFE成员列表：

https://www.acfe.com/findacfe.aspx

3.ACFE各地成员分会：

http://nf.acfe.com/eweb/DynamicPage.aspx?Site=ACFEWEB&WebCode=ChapterList

小编语录

这是关于电子数据取证鉴定的培训与认证的第三期，继续感谢徐志强先生和孙奕先生撰写了CCFP和CFE介绍。也感谢陈思晶先生提供的众多参考资料。

下期，小编将继续为大家详细介绍关于行业内中立机构的认证：CCE、CFCE、GCFA、GCFE、CSFA。

还有两个事情要申明一下：

1、有很多读者在后台希望小编能发一下具体取证技术（如伪基站取证）的文章。小编统一回复，感谢读者支持和信任，但是小编所有的发文都有自己的安排，希望能形成体系。因此，关于取证具体技术类文章小编今后一定会发，但是也是会形成模块地发。

2、近期，小编发现有公众号未经授权，大幅抄袭了小编的公众号内容，而且还作为广告软文进行宣传。在此，小编再次申明，小编欢迎技术交流，欢迎对本公众号内容的转载和引用，但是反对未经授权的抄袭。一旦再次发现，小编也将采取行动。

如需转载可与小编进行联系，下图是小编微信号。

更多精彩内容尽请关注“电子数据取证与鉴定”。

阅读原文

跳转微信打开

第二十二期电子数据取证的培训和认证（二）

Fri, 26 Aug 2016 11:55:00 +0800

原创 Henry、Yi、蝈蝈 2016-08-26 11:55

EnCE和ACE由于其所属公司取证产品EnCase和FTK的广泛认可度，成为职场上广受推崇的两个认证，认证人数也在持续增长。

国际上关于电子数据取证的认证主要分为行业内中立机构的认证和厂商关于某个具体产品的认证。属于厂商认证的EnCE和ACE由于其所属公司取证产品EnCase和FTK的广泛认可度，成为职场上最广受推崇的两个认证，认证人数也在持续增长。本期，小编将从认证介绍、知识体系、认证要求和基本流程、主要知识资源、考试周期及认证有效期等多个方面详细介绍这两个国际知名的电子数据取证的培训认证。

EnCE

一

认证介绍

EnCase Certified Examiner，简称EnCE，一般翻译为“EnCase认证调查员”，由美国知名电子数据取证厂商Guidance Software (NASDAQ: GUID) 组织开展，是国际上最具影响力的计算机取证认证，广泛被全球执法部门、企业(如四大会计师事务所、咨询及调查机构)认可。根据国外机构的统计数据，在电子数据取证领域，EnCE是领英(Linkedin)社交网最受推崇、认证人数排行第一的商业计算机取证认证。

获得EnCE认证的调查员已具备计算机调查取证技能且能熟练使用EnCase取证软件开展综合的计算机调查取证工作。

二

知识体系

EnCE知识体系主要由四个核心知识领域组成，分别为计算机基础、使用EnCase进行计算机证据检验分析、最佳取证实践和相关法律。

第一部分：计算机基础涵盖了计算机工作基本原理(CMOS、开机启动顺序、数制转化和文件系统基础(FAT/NTFS/exFAT)等内容。

第二部分：使用EnCase进行计算机证据检验分析是EnCE考试要点，内容涵盖EnCase证据文件、EnCase基本概念、EnCase运行环境、EnCase证据处理器、索引查询、关键词搜索（编码、GREP语法）、文件签名及哈希分析等。

第三部分：最佳取证实践涵盖第一现场响应(First Response)、电子证据获取、操作系统痕迹、实验室流程等内容。

第四部分：美国相关法律（国际考生考题不涉及法律部分）

注: 详细知识体系可参考EnCE Study Guide

三

认证要求和基本流程

步骤1

培训及经验要求 (满足其中一项)

1、考生必须已参加64学时的EnCase计算机取证培训（要求参加EnCase Computer Forensics Phase I及EnCase Computer Forensics Phase II课程）

2、考生必须具备1年以上相关取证调查工作经验(通常需雇主提供相关的证明)

步骤2

填写EnCE考试申请

下载EnCE考试申请表，并发送给美国Guidance Software公司认证协调员，具体联系信息如下:

Guidance Software, Inc.

Attn: EnCE Certification Coordinator

1055 East Colorado Boulevard Suite 400

Pasadena, CA 91106-2375

certification@guid.com

步骤3

考试注册

1、一旦考试申请收到并获得批准后，您将收到EnCase认证协调员发来的认证考试付款说明，付款可通过信用卡、支票或订单等方式。

2、如果你参加过EnCE认证辅导培训课程(EnCE Prep)，一旦你申请获得批准，就会立即收到一封确认电子邮件。

步骤4

参加Phase I考试 (笔试)

1、采用ExamBuilder进行在线考试，要求在2个小时内完成考试。考试题目为180道题（国际考生考题为174道，考题不涉及法律）。

2、最低通过考试分数为80%（正确率）。

3、未通过笔试必须等待2个月才能重新考试，且必须重新支付考试费用。在重考前，如工作单位或个人信息变更需要重新填写申请表。

步骤5

参加Phase II考试（实践考试）

1、在通过Phase I考试后，考生会收到一个参加Phase II考试所需的电子授权文件。

2、要求在60天内完成Phase II考试。如遇特殊情况，EnCE协调员可根据实际情况延期最多30天。

3、最低通过考试分数为85% (正确率)，共有18道考题。考生必须尽最大能力详细回答15道题，才能提交答卷进行评估。如未能满足该条件，将会被认定考试未完成，该阶段的考试未能通过。考生须等待60天，然后才能重新参加Phase I和Phase II考试。

4、未通过考试的考生需等待2个月（从考试到期日算起）才能重新参加考试。考生必须与认证协调员联络并确认重考日期。如未与认证协调员确认重考日期，考生需要重新参加第一阶段考试(Phase I)。考生如未能通过Phase II考试重考, 只能全部重考，即参加第一阶段考试(Phase I)和第二阶段考试(Phase II)。在重考前，若考生所在的单位或个人信息发生变更，则要求重新提交申请。

5、考生未按时间要求完成或提交第二阶段（Phase II）考试资料，则需要等待两个月（从考试到期日算起）才能重新考试。

步骤6

EnCE认证及认证持续的流程

1、通过第二阶段考试(Phase II)的考生将会收到通知，并获得一份EnCE证书电子版及钱包卡片。

2、 EnCE证书有效期为3年（从获得之日起计算）。认证持续保持流程及CPE学分获得的更多详细信息可访问Guidance Software官方网站了解。

3、EnCE认证调查员必须了解自己持有证书的过期日期。一旦认证证书过期，要求必须重新考试，从Phase I考试开始。如果无法确认证书过期日期，可发送邮件至certification@guid.com进行咨询。

4、当考生在参加EnCE考试(Phase I和Phase II)时，联系任何任何其他EnCE调查员或讲师都将被认定为作弊，考试立即取消且以后不能再次参加考试。

四

主要知识资源

Guidance Software为考生提供了EnCE学习指南的参考资源，考生可根据考点要求进行自学或参加Guidance Software在中国大陆的授权培训合作机构(ATP)提供的培训课程获得考试要求的相关知识。

1、EnCE Study Guide学习指南

https://www.guidancesoftware.com/docs/default-source/training/ence-study-guide-v7-11-2015.pdf?sfvrsn=4

2、EnCase官方培训课程

1）EnCase Computer Forensic I (CF1) 培训教材

2）EnCase Computer Forensic II (CF2) 培训教材

3）Foundations in Digital Forensics with EnCase Forensic (DF120) 培训教材

4）Building an investigation with EnCase Forensic (DF210) 培训教材

注: Guidance Software中国大陆有其官方培训合作机构，了解美国EnCase计算机取证培训课程可咨询encase@binarydata.cn获得更多详情。

3、参考资料或书籍

1）EnCase® Legal Journal by Guidance Software

2）EnCase® User's Manual by Guidance Software

3）EnCase Computer Forensics -- The Official EnCE: EnCase Certified Examiner Study Guide (3rd Edition)

4）Handbook of Computer Crime by Eoghan Casey

5）How Computers Work by Ron White

五

考试周期和费用及认证有效期

参加第一阶段考试(Phase I）的费用为200美元，国际考生（美国以外地区）的费用为300美元。该阶段考试是基于ExamBuilder系统进行在线考试。

与许多国际认证考试一样，EnCE认证有设定其过期日期，证书的有效期为3年。到期前需获得要求的CPE学分（32学分）即可保持认证持续有效，否则需重新参加考试才能让证书持续有效。

六

相关链接

1、EnCE认证简介：

https://www.guidancesoftware.com/docs/default-source/training/ence-get-started.pdf?sfvrsn=6

2、EnCE学习指南

https://www.guidancesoftware.com/docs/default-source/training/ence-study-guide-v7-11-2015.pdf?sfvrsn=4

3、EnCE证书持续保持

https://www.guidancesoftware.com/docs/default-source/training/ence-renewal-form.pdf?sfvrsn=2

ACE

一

认证介绍

AccessData Certified Examiner，简称ACE（下文亦简称ACE），是由知名取证软件FTK（Forensic Toolkit）生产商美国AccessData公司推出的计算机取证的企业认证。

ACE是目前国外认可度较为高的计算机取证认证之一，其主要考察参加人员的FTK系列软件（包括Forensic Toolkit、FTK Imager、Registry Viewer、PRTK）的应用能力，根据官方统计数字，截止目前，已有来自52个国家的超过5000人通过了ACE认证。

自2014年起，ACE认证的相关事宜改由与AccessData相关联的Syntricate公司运营。

目前，ACE考试有英文、中文和西班牙文三种版本。

二

认证要求和基本流程

ACE考试主要考察参与者使用AccessData FTK系列软件（包括Forensic Toolkit、FTK Imager、Registry Viewer、PRTK）进行证据获取、证据分析、关键词搜索、系统痕迹和文件痕迹分析、注册表调查等在内的一系列取证调查工作的熟悉程度，

ACE考试目前考试形式为：申请者自行下载证据文件，使用FTK软件进行取证分析，并登陆网站注册考试，回答完成40道单项选择题，答对75%的题目即为通过考试。

申请参加ACE考试完全免费，主要流程如下：

1、自学FTK软件的相关知识。

2、下载考试用证据镜像文件：

https://ad-pdf.s3.amazonaws.com/training/ Training%20Docs/ACEv5Image.ad1

3、使用FTK软件对下载的证据文件进行处理。

4、注册考试，注册地址：

https://www.mytestcom.net/app/myTestcom.cfm?accountLogin=AccessData123

5、根据证据文件的结果，完成40道单项选择题。

6、答题结束后，网站将直接给出考试结果。

三

主要知识资源

1、ACE Study Guide（ACE学习指南）：

https://www.syntricate.com/files/ACE%20Study%20Guide%20Aug%202013.pdf

2、ACE准备视频：分为五个模块，可在以下页面的最底端找到：

https://www.syntricate.com/computer-forensics-certification.html

四

考试周期和费用及认证有效期

ACE考试目前为免费。

由于ACE考试主要侧重于考察对于FTK系列软件的使用情况，在准备ACE考试的时候，学员应具备FTK软件供练习和考试使用。

ACE认证的有效期为通过考试后的两年，两年后，持证人需再次参加最新版本的ACE考试以维持其ACE有效性。

五

相关链接

1、ACE考试网站：

https://www.syntricate.com/computer-forensics-certification.html

2、与ACE认证负责人进行联系：

todd.careless@syntricate.com

小编语录

这是关于电子数据取证鉴定的培训与认证的第二篇，小编特地邀请了国内首位获得EnCE认证的徐志强先生和ACE认证的获得者孙奕先生撰写了EnCE和ACE介绍。大家如果想了解这些认证更深入的信息可自行与他们联系，小编也可帮助转达大家的问题。

下期，小编将继续为大家详细介绍电子数据取证鉴定的培训与认证中关于行业内中立机构的认证，更多精彩内容尽请关注“电子数据取证与鉴定”。

阅读原文

跳转微信打开

第二十一期电子数据取证的培训和认证（一）

Tue, 09 Aug 2016 17:02:00 +0800

原创蝈蝈 2016-08-09 17:02

电子数据取证对于取证人员的经验和专业素养有着极高的要求,而目前国内在这方面的培训和认证尚处于起步阶段。

电子数据取证是一个严谨的过程，因为它需要符合法律诉讼的要求。因此，取证调查机构必须从“人、机、料、法、环”等多个方面规范电子数据取证工作。而排在第一位的“人”更是整个质量管理体系中的重中之重，电子数据取证对于取证人员的经验和专业素养有着极高的要求，这在2010年国家认可委颁布的CNAS-CL27《检测和校准实验室能力认可准则在电子物证检验领域的应用说明》、2012年颁布的GA-T 976-2012《电子数据法庭科学鉴定通用方法》都进行了明确的规定。由于电子数据取证是一门不断发展的新兴学科，因此，如何对相关人员进行培训和考核以维持其持续的能力，也是所有机构面临的一大难题。

近几年，随着网络犯罪案件的不断增长，对于电子数据取证所涉及的人员、技术、产品和方法的需求也随之增加。目前，国内在该领域的产品研发、标准制定以及实验室建设方面发展迅速，研发实力和技术积累甚至已经走在了国际前列。与此同时，在该领域的系统化、标准化的人才培训以及相关培训认证方面仍处于基本严重滞后状态，与国际上各种相关认证蓬勃发展相差甚远。

目前，国际上关于电子数据取证的认证主要分为行业内中立机构的认证和产品供应商关于某个具体产品的认证。根据Tom's IT Pro网站对于国际上几个知名在线招聘网站的统计，电子数据取证岗位对于认证要求排名前列的分别为属于行业内中立机构的认证的CCE、CFCE、CHFI、GCFA、GCFE、CSFA以及属于产品供应商认证的ACE和ENCE。具体数据见下表。

Tom's IT Pro网站所筛选出的认证很大程度上考虑到了此认证的通过人数，一般低于5000人的认证不计入他们的考量范围。有些认证由于价格因素或者是刚起步，因此在人数上有所欠缺，因此未计入Tom's IT Pro网站的统计。

小编通过对电子数据取证领域的各种国际认证进行综合梳理，制作了以下两个表格供有志于参加取证认证的同学作为参考。

表1：行业内中立机构的认证

表2：产品供应商关于某个具体产品的认证

小编语录

其实早在本公众号的第六期，小编曾经简略介绍过电子数据取证鉴定的培训与认证，当时就想着要将这个模块作为一个专题推出，让大家有的放矢地选择该领域的培训和认证。可惜，小编的拖延症使得小编迟迟没有动笔。

最近，好多朋友在向小编询问关于这个领域的培训和认证。终于使小编下定决心，把这方面内容做个梳理。

应广大朋友的要求，本期公众号的内容简略介绍了下关于电子数据的培训和认证，在接下来的几期中，小编将就认证介绍、知识体系、认证流程、主要知识资源等展开进行详细介绍。

编写过程中得到了诸多好友的帮助，给予了很多信息的补全，在此特别感谢徐志强、孙奕、陈思晶、刘浩阳、郭永健...

关于认证的具体介绍将会和获得认证的朋友合作进行编写，具体信息我将在详细介绍中予以标注。

阅读原文

跳转微信打开

第二十期国内外电子数据取证装备发展现状与趋势

Mon, 11 Jul 2016 17:26:00 +0800

原创蝈蝈、Henry 2016-07-11 17:26

本文重点阐述了电子数据取证装备及软件工具的发展现状及未来发展趋势。

引言

电子数据取证技术在国外已经发展了三十多年，早期主要在欧美执法部门和司法机关使用。大多数的商业化取证工具则是在2000年后研发并在实战中投入使用。国际上比较知名的电子数据取证企业有Guidance Software、AccessData、MicroSystemation、Paraben、Logicube、ICS、X-Ways、Cellebrite、Oxygen等。随着电子数据取证技术的日益成熟，以及越来越多的执法人员加入企业，从事合规调查、反欺诈调查、稽核监察等内部调查，该技术逐步被越来越多的国内外知名企业所接受，并用于企业的内部调查。

当前，中国在电子数据取证领域的研发实力和技术积累已经走在国际前列，拥有了包括电子数据取证的硬件（硬盘复制机、只读锁、取证工作站）以及取证软件（计算机取证分析、手机取证分析）等全系列自主研发的取证产品，成为继美国后第二个拥有电子数据取证软硬件综合研发能力的国家。中国的电子数据取证实验室预计已经超过600家，并逐步通过资质认定和实验室认可来进行规范管理。

计算机取证硬件

硬盘复制机、只读锁、取证工作站等装备是电子数据取证过程中常用的设备，有些设备体积小，便携性好，常用于现场勘查取证；有些则体积较大，适用于固定场所（如电子数据取证实验室）。当前，硬盘复制机、只读锁及取证工作站等取证产品已经相对成熟，接口也相对比较齐全、速度不断大幅提升，但是在技术升级及应用方面缺乏创新。随着欧美电子数据取证市场的日益饱和，电子数据取证厂商的业务拓展举步维艰，研发投入也大幅减少，这也是导致电子数据取证软硬件装备创新不足的主要原因。

硬盘复制机

硬盘复制机，又称为克隆机，是电子数据取证中最常见的镜像设备。它基于位对位（bit by bit）方式对硬盘进行复制。硬盘复制机一般有源盘和目标盘两种接口分类，源盘接口通常启用写保护模式，目标盘则是读写模式。早期硬盘复制受限于硬盘I/O性能，多数IDE及SATA硬盘复制速度在3~4GB/Min，如同时计算硬盘哈希值（MD5），则性能进一步下降。随着硬盘复制设备硬件的更新换代，SATA/SAS接口的硬盘成为主流，硬盘I/O性能大幅提升，较新的硬盘复制机对机械硬盘进行复制，性能可高达7GB/Min，支持同时计算MD5哈希值且不降低性能。如果对于源盘和目标盘均采用固态硬盘进行复制，速度则可高达26GB/Min以上。当前主流的硬盘复制机多数支持了各种主流接口，包括IDE、SATA、SAS、USB，而SCSI接口硬盘采用转换卡进行转化。

只读锁

只读锁，又称为写保护设备，对应英文名称是Write Blocker或Forensic Bridge。只读锁分为硬件只读锁和软件只读锁。由于软件只读锁是通过软件来实现存储介质的保护，系统环境不可靠可能造成无法安全保护数据。因此在司法取证领域，为了确保可靠性，通常建议采用硬件只读锁。

早期的只读锁主要采用USB2.0及Firewire（火线）接口，随着硬盘容量的增长，其传输速度跟不上实际的需求，逐步采用eSATA及USB3.0接口。虽然数据的读取速度得到大幅提升，但是数据传输仍然存在带宽限制。此外，由于之前的USB3.0芯片控制器技术不是很成熟，部分只读锁在使用一段时间后，会产生设备发热、接口连接不牢固及其他外界因素导致设备可靠性较差的情况，导致硬盘镜像时，出现数据获取不完整或哈希校验不一致等问题。

目前，市场上主流的只读锁设备分为两类：单一接口只读锁和多功能综合只读锁。常见的多功能综合只读锁支持对IDE、SATA、SAS、SCSI、USB、Firewire等接口的存储介质进行写保护。此外，也有针对数码设备存储卡（SD卡、记忆棒等）进行写保护的存储卡只读读卡器。

取证一体机

早期，电子数据取证人员通常需要携带大量的取证设备前往涉及电子证据的案件现场，这些取证设备包括：硬盘复制机、只读锁、取证软件及笔记本电脑，它们都是电子数据取证勘查箱中标配的工具。由于这些取证设备或软件相对独立使用，因此，取证人员需在多个不同设备或软件之间切换操作，流程繁琐且效率低下。此外，硬件只读锁与笔记本电脑的连接还经常存在接口连接不牢靠的现象，经常出现意外状况导致数据获取或数据分析中断，浪费了大量时间。针对现场勘验的问题与现状，国内厂商将硬盘复制机、只读锁、取证软件及笔记本电脑等软硬件结合起来，于2010年研发并推出取证一体机，将硬盘复制、计算机取证分析、动态仿真取证三大功能结合，让取证人员在现场通过一台专业设备即可完成电子数据的证据固定、数据的快速分析、深度分析以及动态仿真取证等工作。取证一体机从2011年开始广泛被一线取证人员所接受，在国内众多执法部门广泛使用。

取证分析工作站

取证分析工作站一般是电子数据取证实验室中的重要组成部分。由于计算机取证分析离不开高性能的工作站，因此，国外的取证集成厂商（如Digital Intelligence）研发一系列取证分析工作站。这种工作站集成了电子数据取证常用的只读接口及计算机取证分析软件等，便于取证人员进行各种镜像及数据分析。在国外，电子数据取证的人员分工较为细致，现场勘验人员和数据分析人员一般由不同人来处理。因此国外取证分析工作站多数只配备一个多功能综合只读锁，设备主要的目的是提供高性能处理能力，即使需要做硬盘镜像，也只是逐个硬盘进行制作，未采用并行制作方式。不管是使用硬盘复制机还是采用取证分析工作站，通常只能一次对1至2个硬盘进行镜像，效率较为低下。

在中国情况则有些不同，执法人员在案件调查过程中经常遇到大量的硬盘需要进行证据固定及取证分析的情况，某些案件可能一次性就要处理几十甚至上百个硬盘。因此，取证人员需要能一次性并行对多个硬盘进行镜像以及并行高效分析的取证工作站。

计算机取证软件

计算机取证分析软件

在计算机取证分析软件方面，除了美国Guidance Software公司的EnCase、美国AccessData公司的FTK，还有德国X-Ways的X-Ways Forensics，这三款软件是目前国际上比较主流的计算机取证分析工具，功能上也不断丰富和完善。EnCase在全球拥有最多的用户群，并拥有一定数量的EnScript脚本编程爱好者，深受欧美专家级调查人员喜爱，其条件表达式（Conditions）可自定义程度高，使用起来非常灵活。而FTK则操作简单，过滤器也相当灵活，能满足调查员各种过滤要求，此外取证结果集中汇总进行查看，相当直观，无需过多的培训即可实现主要的数据分析目的。X-Ways Forensics则是一款轻量级计算机取证工具，软件无需安装，功能也十分强大，具备EnCase、FTK的大部分功能，其在数据恢复、图片模糊搜索及肤色检测、视频抽帧等方面有自己的特色。

此外，俄罗斯Belkasoft也研发了Belkasoft Evidence Center计算机取证分析工具，其特点是支持众多国内外即时通讯软件、浏览器、电子邮件客户端工具的数据解析。一直专注于电子邮件取证分析的澳大利亚Nuix公司也开始尝试将其产品Nuix转变为综合取证分析软件，推出Nuix Investigator产品，功能也十分强大，具备EnCase、FTK等常见取证功能，支持上网记录分析、系统痕迹分析、注册表分析、视频抽帧等功能。

在中国，上海盘石SafeAnalyzer是国内最早的计算机取证分析产品，早期吸收借鉴了国外取证软件EnCase和FTK的优点，是一款功能齐全、操作简单的计算机取证分析软件。美亚柏科 “取证大师”将静态取证、自动取证、动态取证等功能集成于一体，已成为国内电子数据取证分析人员必备的分析系统。

国产计算机取证分析软件与国外取证软件（EnCase、FTK、X-Ways Forensics）相比，实用性较强，能支持本地应用软件的取证分析。主要体现在除了支持国外主流的各类应用软件解析，还支持国内本地化的各种软件的数据提取与分析，能快速解析国内各种浏览器（IE、Firefox、Chrome、360浏览器、猎豹浏览器、世界之窗等）的上网记录信息，快速提取各种网络下载工具的下载记录信息，免密码提取多种即时通讯软件（Skype、MSN、汪汪等）聊天记录信息，有效分析多种客户端（Outlook Express、Office Outlook、Foxmail、网易邮等）的邮件内容。

分布式取证系统

随着大容量硬盘的日益普及，取证人员面向的数据成倍增长，计算机取证的方式将逐步从传统的单兵作战转向协同作战。可以预见，未来几年，分布式取证与协同取证将成为取证的新模式。分布式取证涵盖了计算机分布式取证、分布式密码恢复取证。目前，分布式计算机取证系统主要有美国AccessData AD Lab产品和美亚柏科的“取证金刚”，而分布式密码恢复系统主要有美国AccessData的DNA、俄罗斯Passware Kit Forensic、俄罗斯Elcomsoft Distributed Password Recovery、美亚柏科“极光”系统，目前几个厂商的产品均支持硬件（GPU、FPGA）加速，相比传统的分布式密码恢复要提高好几个数量级。

分布式处理数据快速自动找出所需的证据是分布式取证的一个发展方向。AccessData公司的AD Lab （早期名为FTK Lab）是一款基于FTK取证分析软件研发的分布式取证系统，采用MSSQL Server作为数据存储服务，具备利用多个计算机节点协同分析同一个证据文件或多个证据文件的能力，并提供了用户权限管理、多用户协同分析、Web审阅、电子邮件去重及增强OCR识别等功能。

苹果取证软件

大多数计算机取证软件（如EnCase、FTK、X-Ways Forensic）支持Mac OSX文件系统解析，然而对系统中的应用程序数据解析支持甚少，多数只会提取日志文件，也没有提供分析所需的功能。正是因为主流取证软件对Mac OSX支持较弱，国外的SubrosaSoft、BlackBag、Sumuri等公司研发了针对苹果取证的工具。此类工具基本分为两种，一种是在线获取数据，如SubrosaSoft LockPickup、Recon for Mac OSX、BlackBag MacQuisition及Katana Lantern Imager，第二种是离线静态数据分析，如MacForensicLab、BlackBag Black Light、Katana Lantern 5等工具。

近几年，国内的取证厂商也均研发了针对苹果取证的产品，如盘石软件SafeImager苹果版，支持通过LiveCD启动Power PC和Intel架构的苹果计算机，支持对硬盘的全盘镜像及各类数据的获取及解析。美亚柏科DC-8670多通道高速数据获取设备支持通过ThunderBolt、USB3.0及火线等多个接口并用，快速对苹果计算机进行全盘镜像制作，而苹果系统Mac OSX的取证分析则使用计算机取证分析工具“取证大师”来进行分析，支持对Mac OSX下的多种邮件客户端、浏览器、聊天工具及系统信息进行数据的解析。

手机取证工具

随着移动终端的迅速发展，利用移动终端进行各类非法或犯罪行为呈上升趋势，这使得电子数据取证的主要目标从存储介质向移动终端延伸。由于移动终端更新换代速度非常快，操作系统多样，且移动终端的运行机制不同于传统计算机设备，因此移动终端取证设备的开发难度超过介质取证设备。从近几年的案件发展趋势来看，未来一个时期将会是移动终端取证快速发展的黄金期。

2014年5月，美国国家标准与技术研究院NIST发布了移动终端取证的操作指南NIST SP 800-101 Revision 1 《Guidelines on Mobile Device Forensic》，将移动终端的取证分为5个层次：微读、芯片分析、十六进制镜像／JTAG、逻辑分析以及人工分析。

NIST发布的《移动终端取证的操作指南》NIST SP 800-101 Revision 1 《Guidelines on Mobile Device Forensic》还列出了一些移动终端取证设备对应支持的提取层级。表1列出了几款主流移动终端取证设备对应支持的提取层级。

手机系统仿真是目前手机取证中的一种新兴的技术，手机仿真取证是指通过提取手机系统数据，在专用取证设备上运行手机仿真器，模拟手机运行环境，运行并登录手机应用程序，进行数据浏览和分析。同时，在仿真过程，可实时抓取应用程序的通讯数据，分析应用程序的行为特征。整个仿真过程不破坏手机环境及用户数据，对案件手机数据起到有效的保护。

手机动态仿真取证的应用价值体现在以下四个方面：（1）手机在线仿真、截图辅助证据：提取手机应用数据进行在线仿真，通过仿真模拟器查看手机QQ、微信、新浪微博等数据，进行调查分析并截图作为取证报告辅助证据，且不破坏原有手机数据的完整性及有效性。（2）手机镜像离线仿真、截图辅助证据：手机提取镜像后，归还嫌疑人后，通过手机仿真系统，可以加载镜像进行离线仿真。通过仿真模拟器上查看手机QQ、微信、新浪微博等数据，进行调查分析并截图取证。（3）查看微信红包、公众号文章等详细信息：由于微信红包数据只保存在服务器，本地为实时读取，数据库不保存，因此无法通过手机取证系统提取微信红包详细信息。此时，可以通过手机仿真系统仿真后联网查看，可以查看红包的金额、个数等信息，广泛应用在近期打击利用微信红包进行网络赌博的违法行为中。其他如微信公众号文章等信息，同样可以通过手机仿真系统在线浏览和截图取证。（4）手机木马及恶意软件分析：在联网情况下，手机仿真系统可以实时通讯抓包，生成的抓包文件可以用第三方Wireshark软件进行数据包分析，可用于手机木马、恶意软件分析及安全调查。

未来研究方向及发展趋势

在移动互联网、云计算以及物联网为代表的新一代网络快速发展的背景下，网络社会与物理社会相互交织、融为一体，改变了传统的互联网计算模式和体系结构，也改变了传统的取证方式。如何研制出在新型网络环境下进行电子数据取证的工具成为取证厂商亟待解决的一大难题。因此，加大电子数据取证工具的研究力度势在必行。展望未来，电子数据取证工具将会向着以下几个方向发展：

高速化、自动化、专业化与智能化发展

如今，电子证据以不同形式分布在计算机、路由器、入侵检测系统和移动存储等不同设备上。此外，数字设备的存储能力以超过莫尔定律的速度增长，经常涉及海量数据，如果依靠人工来实现，取证的速度和可靠性将大大降低。所以，未来需要功能更强、速度更快、自动化程度更高的取证工具，才能有效进行电子数据取证。取证工具也将不断利用数据挖掘、人工智能以及硬件加速技术（如多核技术等）增强其智能化，以应对大数据量、复杂数据的取证分析能力。综上，取证工具必须高速化、自动化、专业化与智能化，才能提高和满足不同领域电子数据取证调查需求。

新型移动终端的数据恢复和解密

目前，取证工具对于手机取证领域的固有难点，如删除图片恢复、密码破解等，依然存在短板。因此，新型智能终端的数据删除恢复也是取证工具研究的重要方向，主要包括基于镜像的签名恢复。另一方面是针对应用数据的存储容器如SQLite、ESE进行记录级的删除数据恢复，恢复已删除的应用APP数据等。随着检验技术的发展，可以预见在未来将会有一定程度的突破。

此外，智能手机上会有更多的数据加密以保护个人隐私和企业数据，这将使取证更具挑战性。Android5.0采取的全盘加密、国产手机的自主安全机制（联想、华为、小米等），虽然都基于Android操作系统，但却为取证工作带来不少困难。苹果取证领域虽然近一段时间在数字密码暴力破解方面有一定突破，一旦系统漏洞修复，苹果的取证将依然成为业内难题。在未来几年，能帮助找到避开密码和设备锁方法的手机取证工具以及先进的加密技术将是发展趋势。

远程跨域取证工具

移动互联网将全球计算机网络、移动网络和物联网等连接在一起，加上网络访问具有较强的隐藏性以及匿名性，使得远程跨域取证异常困难。当前有很多基于IDS的取证系统以及网络取证系统，但是这些系统的取证范围也常常是一些较小的单位网络，如政府、企业网等。对于跨域发生的安全事件来说，如何进行取证、如何进行远程跟踪事件等目前缺乏有效的方法。因此，研究有效的远程跨域取证工具将成为电子数据取证中的一个研究方向。

面向移动终端的现场取证工具

随着移动终端类检材的主流趋势，可以预见的是现场取证工具将不再局限于计算机类检材的数据快速获取和指定类型数据的恢复获取。随着手机与个人电脑概念的趋同，现场取证工具必定在原有基础上，涵盖手机、计算机、平板等数字产品的证据固定和快速获取功能，这也必将是现场取证工具的发展方向。现场取证工具也将进一步结合后端平台，实现高性能计算、高度智能化等功能，现场获取的数据可直接进入平台，并实现综合的案件线索情报查询及关联分析。

智能设备的取证工具

随着科技的快速发展，已经涌现了各种智能设备，如智能手表、智能手环、智能眼镜、智能家电、智能汽车、智能自行车、无人机、增强现实（AR）和虚拟现实（VR）等智能设备。各类智能设备的硬件、软件系统都将不断升级，对于电子数据取证来说，如何获取智能设备中的数据、解析其数据内容，分析出使用者的行为、轨迹、发生的事件等均是未来研究的方向。

芯片取证工具

随着移动智能终端、可穿戴设备及非智能嵌入式终端等普及应用，越来越多的案件调查涉及此类设备。设备若出现故障、无法通过正常的通讯接口获取数据或遇到有安全保护措施（如密码保护），往往需要通过将芯片拆卸并获取其数据内容。研究各类芯片取证技术，包含芯片物理提取、数据获取、数据解析、数据恢复和镜像仿真技术是电子数据取证的未来研究方向。

与新兴技术结合

电子数据取证技术是一门跨领域的综合性学科，因此必将通过和其他数字技术进行结合才能取得发展，要克服当前的局限性就要吸收多学科的研究成果。随着移动互联网技术、云计算、大数据以及物联网技术等各种新技术不断涌现，必将对电子数据取证技术的发展产生较大的影响。而在这种情况下，只有通过有效的结合手段才能推动电子数据取证技术的发展。因此，电子数据取证工具也必须要结合人工智能、机器学习、神经网络和数据挖掘等技术进行开发，这也是取证工具今后的发展方向之一。

小编语录

本期公众号内容选自小编与好友徐志强先生共同发表在《保密科学技术》上的文章。俗语云：“工欲善其事，必先利其器”，近几年电子数据取证工作对于取证装备的依赖度越来越大，但是竞争也越来越厉害，因此对于各大取证厂商而言，“这是一个最好的时代，也是一个最坏的时代”。

自上期公众号发布后，小编收到了来自全国各地的从事取证工作的朋友的信息，与小编一起就“伪基站”取证展开了深入探讨，很多朋友也提到了4G“伪基站”的取证。就小编获知的情况，4G“伪基站”目前技术上可行，但是小编也尚未看到过实物。

小编最近专注于研究各类IP案件的鉴定，因此，在接下来的几期，小编将着重介绍各类涉及电子数据的IP案件的鉴定，包括软件、游戏、文学作品等。小编希望把这个也作为一个系列专题推出，和大家共同研究探讨。

阅读原文

跳转微信打开

第十九期 “伪基站”犯罪的取证研究

Sat, 02 Jul 2016 11:16:00 +0800

原创蝈蝈 2016-07-02 11:16

目前伪基站已经成为电信诈骗前端发送的主要源头，即使在法律和技术进行安全管控的情况下，形式也变得越来越严峻。本期公众号将介绍伪基站的种类、工作原理、诈骗方式，并结合实实战经验，介绍如何对伪基站设备进行取证鉴定。

小编语录：

最近，很多读者在问后台询问关于本公众号的归属问题，再次申明，本公众号属于私人公众号，不隶属于任何机构。小编是利用业余时间维护本公众号，纯粹属于个人兴趣。因此，本公众号的任何观点仅代表小编个人。感谢大家对本公众号的支持，小编会尽量加快更新进度。

本期公众号是小编最近参加国内一取证会议所做的关于伪基站取证的报告，应大家要求，将此报告在此做分享，希望对大家有所帮助。

目前的伪基站技术不断发展，公安机关打击的难度越来越大，相关的法律适用也在随之变化。小编将在今后的日子里，结合几大互联网企业已经出台伪基站研究报告，推出关于伪基站取证的综合研究报告，更多精彩内容尽请关注“电子数据取证与鉴定”。

阅读原文

跳转微信打开

第十八期认证认可中电子物证项目的标准选择

Mon, 13 Jun 2016 22:50:00 +0800

原创蝈蝈 2016-06-13 22:50

本期介绍了实验室在进行认证认可工作中，就电子物证领域中18个项目的标准选择。

一

概述

为加强司法鉴定工作规范与管理，2005年2月28日，第十届全国人大常委会第14次会议审议通过了《全国人民代表大会常务委员会关于司法鉴定管理问题的决定》，简称“2.28”《决定》。其明确规定“有在业务范围内进行司法鉴定所必需的依法通过计量认证或者实验室认可的检测实验室”。“2.28”《决定》的发布，成为司法鉴定/法庭科学机构实行认证认可的一个重要的里程碑。

人大“2.28决定”颁布后，司法部于2005年9月29日颁布了95号部长令《司法鉴定机构管理办法》；公安部于2005年11月7日颁布了83号部长令《公安机关鉴定机构登记管理办法》；最高检2006年11月30日颁布的高检发办字[2006]33号《人民检察院鉴定机构登记管理办法》。这三个办法中均规定鉴定机构应是：“有在业务范围内进行鉴定必须的依法通过计量认证或者实验室认可的检测实验室”。

此外，《计量法》第二十条、《国家认证认可条例》第十六条、《国家质检总局检验检测机构资质认定管理办法》等法律、法规和规章均明确规定，“向社会出具具有证明作用的数据和结果的检查机构、实验室，应当具备有关法律、行政法规规定的基本条件和能力，并依法经认定后方可从事相应活动”。司法鉴定机构走认证认可之路是我国现行法律法规所要求的。

为顺利实施于2013年8月26日发布的CNAS-CL08:2013《司法鉴定/法庭科学机构能力认可准则》，2015年6月，中国合格评定国家认可委员会在对原有司法鉴定/法庭科学认可分类研究基础上，发布了CNAS-AL13《司法鉴定/法庭科学机构认可领域分类》。在新的领域分类中，电子物证分为三个分领域，18个项目。其中，电子数据的提取、固定与恢复共7项，电子数据的真实性（完整性）鉴定共5项，电子数据同一性、相似性鉴定共3项，见下图。

2015年7月29日，国家认监委印发了《国家认监委关于印发检验检测机构资质认定配套工作程序和技术要求的通知》（国认实〔2015〕50号），在《检验检测机构资质认定评审准则》的基础上，针对不同行业和领域检验检测机构的特殊性，制定和发布评审补充要求，并明确了相关文件试行期一年。2016年5月31日，国家认监委正式印发《检验检测机构资质认定评审准则》。目前，资质认定中电子物证的领域与CNAS-AL13中电子物证的领域相同。

二

标准的选择

很多从事电子物证工作的机构在申请认证认可过程中，对于项目中标准的选择感到疑惑，经常会不知如何填写或者填写错误。大致存疑的情况主要分为以下几类：

1、同一个项目，标准有好几个，如何选择？

2、申报的项目没有标准，该如何填写？

3、只申报2401.01一个项目是否已经能够满足认证认可与实际工作需要？

本期，小编将就CNAS-AL13《司法鉴定/法庭科学机构认可领域分类》中电子物证领域的18个项目的标准选择和大家展开讨论。

CNAS-AL13分为三个子领域，我们可把这个三个子领域理解为电子物证的“三性”：存在性、真实性（完整性）、同一性和相似性。

“电子数据的提取、固定与恢复”即证明电子物证的“存在性”，“电子数据真实性（完整性）鉴定”毋庸置疑即证明电子物证的“真实性（完整性）”，而“电子数据同一性、相似性鉴定”则是证明电子物证间的“同一性、相似性”。

2016年新发布的《司法鉴定程序通则》第二十三条规定“司法鉴定人进行鉴定，应当依下列顺序遵守和采用该专业领域的技术标准、技术规范和技术方法：

（一）国家标准；

（二）行业标准和技术规范；

（三）该专业领域多数专家认可的技术方法。”

2015年发布的《刑事技术机构评审补充要求》第二十四条规定“刑事技术机构应当优先选择使用国家标准、行业标准或国家相关行业主管部门推荐（授权）使用的方法及技术规范，并确保使用标准的最新有效版本。没有国家、行业标准或技术规范的，应当优先采用由知名专业技术组织（机构）编写或有关专业书籍、期刊公布的、并经确认的方法，或采用省级刑事技术管理部门批准的技术规范。”

三

已发布的电子物证标准

小编梳理了一下目前已经发布的现行有效的技术标准，总共33个：国标4个，行业标准19个，司法鉴定技术规范10个，分别为：

1、GB/T 29360-2012电子物证数据恢复检验规程

2、GB/T 29361-2012电子物证文件一致性检验规程

3、GB/T 29362-2012电子物证数据搜索检验规程

4、GB/T 31500-2015 存储介质数据恢复服务要求

5、GA/T 754-2008电子数据存储介质复制工具要求及检测方法

6、GA/T 755-2008电子数据存储介质写保护设备要求及检测方法

7、GA/T 756-2008数字化设备证据数据发现提取固定方法

8、GA/T 757-2008程序功能检验方法

9、GA/T 828-2009 电子物证软件功能检验技术规范

10、GA/T 829-2009 电子物证软件一致性检验技术规范

11、GA/T 976-2012电子数据法庭科学鉴定通用方法

12、GA/T 977-2012 取证与鉴定文书电子签名

13、GA/T 978-2012 网络游戏私服检验技术方法

14、GA/T 1069-2013法庭科学电子物证手机检验技术规范

15、GA/T 1070-2013法庭科学计算机开关机时间检验技术规范

16、GA/T 1071-2013法庭科学电子物证Windows操作系统日志检验技术规范

17、GA/T 1170-2014移动终端取证检验方法

18、GA/T 1171-2014芯片相似性比对检验方法

19、GA/T 1172-2014电子邮件检验技术规范

20、GA/T 1173-2014即时通讯记录检验技术方法

21、GA/T 1174-2014电子现场数据现场获取通用方法

22、GA/T 1175-2014软件相似性检验技术方法

23、GA/T 1176-2014网页浏览器历史数据检验技术方法

24、SF/Z JD0400001-2014电子数据司法鉴定通用实施规范

25、SF/Z JD0401001-2014电子数据复制设备鉴定实施规范

26、SF/Z JD0403001-2014软件相似性检验实施规范

27、SF/Z JD04020001-2014电子邮件鉴定实施规范

28、SF/Z JD0400002-2015 电子数据证据现场获取通用规范

29、SF/Z JD0402003-2015 即时通讯记录检验操作规范

30、SF/Z JD0403003-2015 计算机系统用户操作行为检验规范

31、SF/Z JD0403002-2015 破坏性程序检验操作规范

32、SF/Z JD0401002-2015 手机电子数据提取操作规范

33、SF/Z JD0402002-2015 数据库数据真实性鉴定规范

四

标准选择的具体说明

从已发布的33个标准的名称可以发现，很多标准和规范存在重复的问题，不仅是行业标准和司法鉴定技术规范几乎大部分重复，行业标准本身间也存在重复现象。回到CNAS-AL13的三个子领域18个项目，可以发现，已发布的33个标准并不能做到完全覆盖。接下来，小编将就3个分领域18个项目所适用的标准一一进行介绍。

2401 电子数据的提取、固定与恢复

“2401 电子数据的提取、固定与恢复”总共有7个项目，按照2401的字面理解，结合实际的工作，该子领域的工作分为三部分：提取固定、搜索、恢复。结合检验对象的实际情况，“02 嵌入式系统”、“04 智能卡、磁卡”、“06 网络数据 (包括互联网数据)”、“07 计算机系统现场数据（特指运行中的系统数据提取）”的工作基本不可能涉及数据恢复。因此，可以进行提取固定、搜索和恢复工作的只有“01 计算机存储介质”、“03 移动终端（包括手机）”和“05 数码设备”。

在这7个项目中，涉及搜索的检验，都适用GB/T 29362-2012。但需注意的是GB/T 29362-2012规定的是“将检材（样本）通过只读方式连接到电子物证检验工作站”，而实际检验中很多项目无法通过只读方式连接到电子物证检验工作站，因此使用的属于修改的GB/T 29362-2012，机构需要对该修改后标准的使用进行确认，以证实方法适用于预期的用途。

“01 计算机存储介质”和“05 数码设备”的检验过程基本相同，因此适用的标准也相同。提取和固定操作适用的标准为GA/T 756-2008。数据恢复适用的标准有两个，分别为GB/T 29360-2012和GB/T 31500-2015。其中，GB/T 29360-2012只适用于逻辑恢复。涉及物理损坏，只有GB/T 31500-2015适用。

“02 嵌入式系统”的存储器类型多样，下图列出了在嵌入式应用系统中最常用的存储器类型。检验过程中选用的方法需充分考虑其存储器类型和检验过程。

“02 嵌入式系统”的提取和固定，当理解为“检验对象为原始电子数据存储介质且不具备写保护条件的”或者“检验过程中启动被检验数字化设备的操作系统”时，适用的标准是GA/T 756-2008。但是，如果采用Chip-Off即芯片获取的方式进行数据获取，适用的标准GA/T 1170-2014或SF/Z JD0401002-2015。需要注意的是，由于GA/T 1170-2014和SF/Z JD0401002-2015的适用范围中不包括嵌入式系统，因此这两个标准在此的使用属于超出其预期范围使用的标准方法，机构需要对这两个方法在这个项目上的使用进行确认，以证实方法适用于预期的用途。

“03 移动终端（包括手机）”的提取和固定适用的标准有三个：GA/T 1069-2013、GA/T 1170-2014和SF/Z JD0401002-2015。但需注意的是，GA/T 1069-2013仅适用于手机检验金字塔模型中的手工分析和逻辑分析。此外，如果是针对移动终端（包括手机）备份文件的检验，那么这三个标准都不适用，仍需要使用GA/T 756-2008。这个项目的恢复，一般分为两种：一种是针对数据库的恢复，如手机中的通讯录、QQ聊天记录等。另一种是针对移动终端物理镜像后的恢复，如删除图片的恢复。如果是第一种的恢复，适用的标准为提取和固定的三个标准再加上GB/T 29360-2012。如果是物理镜像后的恢复，适用的标准为GA/T 1170-2014和SF/Z JD0401002-2015再加上GB/T 29360-2012。

“04 智能卡、磁卡”和“06 网络数据 (包括互联网数据)”的提取和固定都适用GA/T 756-2008。

“07 计算机系统现场数据（特指运行中的系统数据提取）”的提取和固定GA/T 1174-2014或SF/Z JD0400002-2015。

2402 电子数据真实性（完整性）鉴定

“2402 电子数据真实性（完整性）鉴定”总共有5个项目，其中“01 电子签名”和“04 电子文档”尚无适用的标准或规范。机构若需申请这两个项目的认证或认可，需自制方法，并经过该专业领域多数专家认可。

“02 电子邮件”适用的标准为GA/T 1172-2014或SF/Z JD04020001-2014，“03 即时通信”适用的标准为GA/T 1173-2014或SF/Z JD0402003-2015，“05 数据库”适用的标准为SF/Z JD0402002-2015。

2403 电子数据同一性、相似性鉴定

“2403 电子数据同一性、相似性鉴定”总共有3个项目。

“01 软件”和“02 电子文档”适用的标准一致，同一性鉴定时适用的标准均为GB/T 29361-2012，相似性鉴定时适用的标准均为GA/T 1175-2014或SF/Z JD0403001-2014。

“03 集成电路（含芯片）”的鉴定适用的标准为GA/T 1171-2014。

小编语录

随着司法鉴定机构和刑事技术机构的规范化要求越来越高，越来电子数据取证实验室对于认证认可工作开始重视。但是，很多实验室在申报认证认可项目时，由于对于申报项目和对应的标准有所疑惑，仅选择了2401.01进行申报。近几年，随着手机等移动终端的普及，对于手机等移动终端进行检验鉴定的需求越来越多，已经超过了硬盘等传统存储介质。很多实验室在申报2401.03时，使用的还是适用于传统存储介质检验的GA/T 756-2008。

本期就相关项目中标准的选择，小编阐述了个人观点，仅供大家参考。感谢大连市公安局刘浩阳主任在本期编写过程中给予的指正！

阅读原文

跳转微信打开

电子数据取证与鉴定

第三十七期 电子数据鉴定的注意事项

第三十六期 国内电子数据取证标准的最新进展

第三十五期 物联网取证（附试题）

第三十四期 未来取证篇-无人机取证

第三十三期 未来取证篇-智能家居系列

第三十二期 未来取证篇-车辆取证

第三十一期 取证实战篇-Windows日志分析

第三十期 取证实战篇-Surface设备取证

第二十九期 全国计算机/电子数据司法鉴定机构名录

第二十八期 新版司法鉴定文书格式的解读

第二十七期 电子数据取证在保护知识产权中的应用

第二十六期 取证实战篇- 伪基站取证（问题讨论）

第二十五期 取证实战篇- 伪基站取证

第二十四期 电子数据取证的培训和认证（四）

第二十三期 电子数据取证的培训和认证（三）

第二十二期 电子数据取证的培训和认证（二）

第二十一期 电子数据取证的培训和认证（一）

第二十期 国内外电子数据取证装备发展现状与趋势

第十九期 “伪基站”犯罪的取证研究

第十八期 认证认可中电子物证项目的标准选择

第三十七期电子数据鉴定的注意事项

第三十六期国内电子数据取证标准的最新进展

第三十五期物联网取证（附试题）

第三十四期未来取证篇-无人机取证

第三十三期未来取证篇-智能家居系列

第三十二期未来取证篇-车辆取证

第三十一期取证实战篇-Windows日志分析

第三十期取证实战篇-Surface设备取证

第二十九期全国计算机/电子数据司法鉴定机构名录

第二十八期新版司法鉴定文书格式的解读

第二十七期电子数据取证在保护知识产权中的应用

第二十六期取证实战篇- 伪基站取证（问题讨论）

第二十五期取证实战篇- 伪基站取证

第二十四期电子数据取证的培训和认证（四）

第二十三期电子数据取证的培训和认证（三）

第二十二期电子数据取证的培训和认证（二）

第二十一期电子数据取证的培训和认证（一）

第二十期国内外电子数据取证装备发展现状与趋势

第十八期认证认可中电子物证项目的标准选择