计算机犯罪现场

h
7
第二节 计算机犯罪现场的保护
➢总之，要立即采取措施，保证案发后机器内的文
件、程序和形成日期不变，保证没有新写入或删除 的数据，以备现场勘查和日后调查分析。
h
8
第二节 计算机犯罪现场的保护
二、特殊现场的保护问题
➢火灾后的计算机现场保护问题 ➢水浸后的计算机现场保护问题 ➢系统遭受侵害后，不能停止运行的情况处理 ➢系统正在遭受侵害情况的处理 ➢非标准系统的保护问题
施保护？
h
16
第三节 计算机犯罪现场勘查的任务和原则
一、计算机犯罪现场勘查的目的和任务： 发现案件的侦查线索; 定位和排查嫌疑人; 发现证明犯罪的具体事实; 取得合法有效的法庭证据。
h
17
第三节 计算机犯罪现场勘查的任务和原则
二、计算机犯罪现场勘查的原则
勘查现场的第一原则是尊重事实;
(对于勘查的结果，无论是否有利于公安部门的工作开 展，我们都应该尊重客观事实。)
对于某些较为敏感的案件，要邀请至少一位了 解计算机知识的人，在勘查和取证的过程中做见证 人，但切记在勘查过程中，不能参与任何意见！
h
21
第四节 计算机犯罪现场勘查方法
二、勘查工具的准备
软件：操作系统软件及启动盘、专用工具软件 （包括数据恢复软件、诊断软件和清除病毒软件、 密码识别软件、易失数据提取软件等）；
第二节 计算机犯罪现场的保护
➢ 系统正在遭受侵害怎么办？
如发现系统正在删除文件、格式化、上
传文件、系统自毁或进行其他危险活动，应视情断
开网络连接、关机或切断电源。
如发现计算机的数据正在遭受窃取、篡
改，应断开网络连接或关机。
如没有软关机的权限或者使用软关机可
能会加大损失，应ห้องสมุดไป่ตู้断电源。
注意问题：
可能严重破坏系统；
但是要注意，并不是每个现场都能勘查、都有 勘查的价值，或者有些现场对案件的进展没有什么 帮助。
h
4
第二节 计算机犯罪现场的保护
现场保护是指对发生案件的地点（场所）、犯 罪物证和被害人采取的警戒和保护措施。
通过现场保护可以使犯罪痕迹、物证不受破坏，
为现场勘查创造良好条件从而正确的分析犯罪现场 和犯罪事实。
h
6
第二节 计算机犯罪现场的保护
➢在特殊情况下，为防止危害及后果的扩大和蔓延，
应采取必要措施，视情况断开网络连接、关机。终 止破坏性后果的发生，封锁现场；
➢无关人员离开计算机现场，有关人员应保护与案
件有关的各种计算机信息系统原始电子数据、软件 资料、打印资料等，同时记录其工作状态和相关参 数。
未经案侦人员同意，禁止任何人携带电子存储 介质、纸张及其他证据离开现场。经允许的，应登 记在册。
h
14
第二节 计算机犯罪现场的保护
通过记录、照相，保全可能很快消失的物理或 电子数据。如电话来电显示器、手机等设备上的数据。
如果现场计算机处于开启状态，应检查屏幕内 容，稍稍移动鼠标，避免使屏幕保护程序激活。
h
15
讨论、思考题、作业
思考： 1、假如sina网站服务器被侵入，那么该如
何处理？ 2、特殊现场有哪些？应如何对特殊现场实
第二节 计算机犯罪现场的保护
➢若系统遭受侵害后，不能停止运行怎么办？
特定文件复制（动态）
1. 快速搜索指定文件、自动提取特定文件、提取
特定文件的相关信息（时间、路径等）；
2. 快速搜索所有被加密的OFFICE文件、RAR、
ZIP等文件。
硬盘复制（动态）
在对方开机的情况下将硬盘内容完整备份一份。
h
11
h
9
第二节 计算机犯罪现场的保护
➢存储介质受有毒化学品影响时怎么办？
运输前应获取专业人员的评估和认可。
➢火灾现场存储介质如受到高温、烟和水
的影响怎么办？
必须在适当清洗后才能检验，并按规定保存 或运输。
➢发现受潮的纸制品应该怎么办？
应迅速冷冻或冷冻干燥。不可冷冻潮湿的磁 介质。（具体在后面阐述）
h
10
h
19
第四节 计算机犯罪现场勘查方法
一、现场勘查前的准备
到达现场之前，初步确定所需工具和技术手段。 进行现场取证时至少应有两名懂得计算机技术 的侦察人员在场。 必要时可邀请计算机问题的专家参与案件的现 场勘查工作，并承担相应保密责任。
h
20
第四节 计算机犯罪现场勘查方法
准备调查所需的工具。包括可能用到的五金工 具、线缆、软件、计算机设备、专用设备等。
h
5
第二节 计算机犯罪现场的保护
一、计算机犯罪现场保护的基本要素
➢勘查人员抵达现场前，有关人员应维护现场秩序，
并妥善保护现场，尽量保持系统‘静态’，不得轻
易接触操作任何计算机及相关设备，避免破坏机内 信息和机上的痕迹证据，注意保全计算机犯罪证据；
➢除调查人员外，禁止任何人接触、操作计算机信
息系统，杜绝任何可能使证据和线索灭失的行为发 生；
特性决定了具有时间的连续性和空间的大跨度性。
h
3
第一节 计算机犯罪现场
二、如何确定现场
需要根据案件性质、侦查线索和计算机专业知 识来分析。例如，金融系统的电子帐号资金被盗案 件；系统遭受恶意攻击案件；
其第一现场通常为案发地，即服务器所在地，
然后根据远程登陆情况可以找到第二现场，如果是 多人合作所为，那么可能找到多个现场。
中断合法业务；
对工作人员和部门造成损h 失。
12
第二节 计算机犯罪现场的保护
➢若发现是非标准系统怎么办？
尝试判断其运行状态，执行异地勘验或 请求专家现场勘验。
对于非标准存储介质不要随意访问。
h
13
第二节 计算机犯罪现场的保护
三、犯罪现场保护中容易忽视的问题 ➢系统的工作状态 ➢开机状态下，动态数据的保护 ➢屏幕保护问题
第二章 计算机犯罪现场
1
第二章 计算机犯罪现场
1 计算机犯罪现场 2 计算机犯罪现场的保护 3 计算机犯罪现场勘查方法 4 易失性数据的处理 3 特殊情况的处理
h
2
第一节 计算机犯罪现场
一、什么是犯罪现场
犯罪现场，是指作案人进行犯罪活动的地点和 留有犯罪痕迹物证的有关场所。
计算机犯罪案件的现场，由计算机网络技术的
其次，认真细致的进行勘查工作，善于发现隐 蔽的线索和证据。
(计算机犯罪的现场往往非常复杂，线索和证据都非常 隐蔽 。)
h
18
第三节 计算机犯罪现场勘查的任务和原则
第三，在勘查现场发现了线索和证据之后，提 取过程一定要符合科学的要求和法律的有关规范。
最后，整个勘查工作过程，要严格按照公安机 关对于现场勘查工作的有关规定，填写相关法律文 书，保证整个案件办理过程的规范有效。