计算机取证技术

前言
第1章 计算机取证的基本概念
1.1 计算机取证的基本概念
1.1.1 计算机取证的定义
1.1.2 计算机取证研究概况
1.2 电子证据的概念
1.2.1 电子证据的定义
1.2.2 电子证据的特点
1.2.3 电子证据的来源
1.3 计算机取证的原则和步骤
1.3.1 计算机取证的基本原则
1.3.2 计算机取证的一般步骤
1.3.3 一个具体的计算机取证实例
1.4 计算机取证模型
1.4.1 基本过程模型
1.4.2 事件响应过程模型
1.4.3 法律执行过程模型
1.4.4 过程抽象模型
1.5 计算机取证的发展趋势
参考文献
第2章 计算机取证的常见工具
2.1 计算机取证的相关工具
2.1.1 一般工具软件
2.1.2 取证专用工具软件
2.2 取证复制工具包
2.2.1 Encase
2.2.2 SafeBack
2.2.3 Unix实用程序dd
2.2.4 开放数据复制工具
2.3 取证分析工具包
2.3.1 FTK
2.3.2 TCT工具包
2.4 国内外计算机取证设备对比与分析
2.4.1 国内主要取证产品介绍
2.4.2 国内外计算机取证设备对比与分析
2.5 Linux环境下的计算机取证工具介绍
2.5.1 Sleuthkit
2.5.2 Autopsy
2.5.3 SMART for Linux
参考文献
第3章 硬盘结构及文件系统基础
3.1 硬盘的结构
3.1.1 硬盘的物理结构
3.1.2 硬盘的逻辑结构
3.2 硬盘数据组织
3.3 文件的删除与恢复
3.3.1 Windows系统的文件删除与恢复
3.3.2 Unix/Linux系统的文件删除与恢复
参考文献
第4章 Windows系统取证方法
4.1 Windows系统初始响应方法
4.1.1 创建初始响应工具包
4.1.2 初始响应方法
4.1.3 编写初始响应脚本
4.2 Windows系统取证实例
4.2.1 取证背景
4.2.2 系统概况和证据处理
4.2.3 建立取证工具
4.2.4 介质备份及分析
4.2.5 MAC时间分析
4.2.6 注册表
4.2.7 恢复被删除文件
4.2.8 最后分析结论
参考文献
第5章 Unix系统取证方法
5.1 Unix系统初始响应方法
5.1.1 创建初始响应工具包
5.1.2 保存初始响应信息
5.1.3 收集数据
5.2 Unix系统取证方法
5.2.1 数据获取
5.2.2 取证分析
参考文献
第6章 Linux系统取证方法
6.1 Linux系统初始响应方法
6.1.1 初始响应的准备工作
6.1.2 初始响应的具体步骤和方法
6.2 Linux磁盘介质备份
6.2.1 准备工作
6.2.2 介质备份
6.3 Linux系统取证方法
参考文献
第7章 计算机反取证技术
7.1 数据擦除
7.2 数据隐藏
7.2.1 实现数据隐藏的几种常用方法
7.2.2 实现数据隐藏的具体实例
7.3 Linux环境下常见的计算机反取证工具介绍
7.4 Windows环境下常见的计算机反取证工具介绍
参考文献
第8章 可引导取证工具Helix及其使用
8.1 引言
8.2 Windows工作模式
8.2.1 预览系统信息
8.2.2 使用dd工具获取正在运行的Windows系统映像
8.2.3 Windows系统应急响应工具
8.2.4 在线浏览重要文档
8.2.5 浏览CD-ROM和主机OS的内容
8.2.6 从正在运行的系统中查找图片文件
8.3 Linux工作模式