考試概況

　　先看一下這門(mén)課的期末考試情況。拿到 sample paper 后大家會(huì)發(fā)現(xiàn)，這門(mén)課期末考試占總成績(jī) 50%。

　　往年是線上開(kāi)卷考試，總共 3 個(gè)小時(shí)。今年老師改了，變成了 線下考試，總時(shí)長(zhǎng) 2 小時(shí)，還包括 10 分鐘讀題時(shí)間。比往年少了一個(gè)小時(shí)，算是不錯(cuò)的改動(dòng)。

　　考試形式是 紙筆作答，題型有三類：

　　不定向選擇題：包括單選、雙選以及 True/False 判斷題，往年大概 20 套題。

　　Short Answer(短回答)

　　Long Answer(長(zhǎng)回答)

　　答題小技巧：

　?、俜贮c(diǎn)答題，答到點(diǎn)上;

　　②熟悉所有知識(shí)點(diǎn)，理解原理，能靈活聯(lián)系和運(yùn)用;

　?、塾媚畬?xiě)答案，有必要寫(xiě)一點(diǎn)解釋。

　　總結(jié)一句話：這門(mén)課不考你有多深，而是知識(shí)點(diǎn)多、面廣。復(fù)習(xí)關(guān)鍵是記住知識(shí)點(diǎn)、理清原理、聯(lián)系各點(diǎn)，并且理解。

　　復(fù)習(xí)內(nèi)容概覽

　　本次復(fù)習(xí)主要覆蓋前兩周內(nèi)容，重點(diǎn)是 V1 和 V2 的知識(shí)點(diǎn)、網(wǎng)銀專題以及一些常規(guī)講解。所有內(nèi)容來(lái)自 VDEV 的 PPT，我們按照考試大綱梳理邏輯，讓大家一步步回顧整個(gè)數(shù)字取證的基礎(chǔ)框架。

　　數(shù)字取證要記住幾件事：

　?、偌夹g(shù)手段

　?、诜椒ㄕ?/p>

　　③文檔記錄

　?、芸赊q護(hù)性

　　注意：技術(shù)是可替換的，但方法論和文檔要求是必須的。

　　核心知識(shí)點(diǎn)解析

　　1. 舉證可靠性(Forensic Reliability)

　　核心問(wèn)題：你拿到的證據(jù)可信不可信?

　　考察三個(gè)方面：

　　Repeatable(可重復(fù)性)：別人照你步驟也能得到相同結(jié)果。

　　Verifiable(可驗(yàn)證性)：你做的每一步都有記錄、有證據(jù)。

　　Defensible(可辯護(hù)性)：如果律師質(zhì)疑，你能拿出日志、照片等證明操作沒(méi)問(wèn)題。

　　原則：

　　避免改動(dòng)原始證據(jù)

　　必須詳細(xì)記錄每一步，保證可復(fù)現(xiàn)

　　2. 流程是否符合行業(yè)標(biāo)準(zhǔn)

　　遵循公認(rèn)方法，如 101 格式;

　　第三方可以復(fù)現(xiàn);

　　采集流程不會(huì)改變證據(jù)。

　　3. 物理證據(jù)處理

　　數(shù)字取證第一步：保護(hù)現(xiàn)場(chǎng)!

　　保護(hù)現(xiàn)場(chǎng)包括：

　?、賁ecure(現(xiàn)場(chǎng)安全)

　?、诜乐蛊渌私佑|設(shè)備

　　③控制環(huán)境，避免證據(jù)被改動(dòng)

　　Document(記錄一切)

　　ABD 原則：Always Be Documented

　　記錄內(nèi)容：照片、日志、現(xiàn)場(chǎng)筆記、設(shè)備序列號(hào)、桌面狀態(tài)、現(xiàn)場(chǎng)人員

　　設(shè)備處理注意事項(xiàng)：

　　普通 PC：可直接斷電，但需避免寫(xiě)入系統(tǒng)日志或程序自動(dòng)修改數(shù)據(jù)

　　服務(wù)器：不可直接斷電，需要正常關(guān)機(jī)

　　全盤(pán)加密設(shè)備：優(yōu)先 live acquisition，否則解密信息丟失

　　4. 保管鏈(Chain of Custody)

　　數(shù)字取證不僅是找證據(jù)，更是 證明證據(jù)未被篡改。

　　記錄內(nèi)容：

　　Where：證據(jù)獲取地點(diǎn)

　　Who：操作人員

　　What：設(shè)備型號(hào)、序列號(hào)

　　Current Storage：存放位置

　　簽名、防篡改標(biāo)識(shí)

　　保管鏈的重要性：

　　防止質(zhì)疑證據(jù)真實(shí)性

　　確保證據(jù)可提交法庭

　　證明調(diào)查流程正確

　　考試題目可能會(huì)問(wèn)：為什么保管鏈重要?

　　答案示例：

　　防止質(zhì)疑證據(jù)真實(shí)性

　　防止第三方篡改

　　確保證據(jù)可法庭提交

　　證明調(diào)查遵循正確流程

　　5. ABD 原則與文檔

　　ABD(Always Be Documented)：永遠(yuǎn)記錄每一步。

　　文檔類型：

　　工作日志(Work Journal)：記錄每一步操作、軟件、命令、現(xiàn)場(chǎng)情況

　　設(shè)備收集登記表：型號(hào)、序列號(hào)、來(lái)源、交接時(shí)間

　　保管鏈表格(Chain of Custody)

　　采集表：記錄采集開(kāi)始/結(jié)束時(shí)間、設(shè)備信息、二次驗(yàn)證情況

　　6. 協(xié)阻斷器(Write Blocker)

　　作用：阻止對(duì)硬盤(pán)寫(xiě)入，防止證據(jù)污染

　　類型：

　　物理阻斷器：硬件層面阻止所有寫(xiě)入，最可靠

　　軟件阻斷器：依賴 OS 或驅(qū)動(dòng)，存在漏洞，可靠性低

　　注意：阻斷器能防止污染，但不保證鏡像絕對(duì)正確，仍需二次驗(yàn)證(hash 校驗(yàn)、備份)

　　7. 法庭可接受的鏡像(Forensic Image)

　　目的：在原始硬盤(pán)上不直接分析，建立法庭可接受的鏡像

　　格式：

　　DD 格式：純二進(jìn)制拷貝，簡(jiǎn)單、兼容性好，Linux 可直接掛載，底層工具支持廣

　　101 格式：專家模式，遵循行業(yè)標(biāo)準(zhǔn)

　　復(fù)習(xí)總結(jié)

　　COMP6445 考試重點(diǎn)是知識(shí)面廣、理解邏輯

　　數(shù)字取證核心：

　　技術(shù) + 方法論

　　現(xiàn)場(chǎng)保護(hù) + 文檔記錄

　　保管鏈完整

　　寫(xiě)阻斷器防污染

　　鏡像采集可復(fù)現(xiàn)且符合法庭標(biāo)準(zhǔn)

　　考試答題：

　　分點(diǎn)答題、答到點(diǎn)上

　　熟悉知識(shí)點(diǎn)并理解原理

　　所有操作記錄充分，以保證可辯護(hù)性