dataetterforskning arbeid innebærer å fange og analysere digital informasjon som vil bli brukt som bevis. Dataetterforskning er forskjellig fra data utvinning i at data utvinning er bare utvinne skadede eller slettede filer. Dataetterforskning innebærer å følge prosedyrer som gjør at data funnet under et system sjekk for å brukes som bevis . Bevaring Fase

Bevar bevis på åstedet . Enten den rettsmedisinske sjekken er på scenen eller du jobber med et system som er sendt til laboratoriet , dokumentere tilstanden til systemet . Fotografere skjermen på datamaskinen hvis det er utvinning av bevis er på åstedet og systemet kjører . Dokument systemet med fotografier , deriblant av merke , modell og tilstanden til systemet . Bruk skrive blokkere, en enhet for å skaffe informasjon på stasjoner uten å skade data og bilde systemet , ved hjelp av disk image for senere analyse. Imaging systemet krever bruk av spesialisert programvare for å kunne foreta en nøyaktig kopi av systemet. Lag en hash -fil av systemet også . En hash filen brukes til å vise at maskinen ikke har blitt endret .
Analyser Bevis

Utfør et søkeord søk på hele systemet . Et søk kan kjøres mens andre oppgaver blir utført på systemet. Hvis du kjører en live analyse , sjekk systemer CMOS, eller Complementary Metal Oxide Semiconductor , innstillinger for å sikre at systemet er satt til å starte opp fra en disk eller en rettsmedisinsk boot disk. Legg merke til hvilken enhet systemet er satt til å starte opp først. Vær også oppmerksom på den tiden på systemet klokke. Hvis systemet klokke er annerledes enn den faktiske tiden , merk dette i rapporten .

Undersøk filstrukturen og mapper , og merke seg hvilken plattform systemet kjører på , for eksempel Linux eller Windows. Finne og kopiere alle loggfiler. Loggfiler rekord handlinger utført av brukere og alle nettsteder som ble besøkt . Finne og trekke ut midlertidige print spool -filer . Disse filene har informasjon om dokumenter som ble sendt til skriveren.

Kopier kryptert eller arkiverte filer. Noe med en . Zip for eksempel skal pakkes og sett. Krypterte filer vil trenge en kryptering verktøy for å vise . Utføre en undersøkelse på Internett-filer, papirkurven filer og registry filer . Registret inneholder informasjon om et system konfigurasjon. Det er viktig å merke seg at en person kan endre registret ved hjelp regedit.exe . Fullføre analysen med en annen hash -filen og sørge for at hash summen fra begynnelsen av analyse og gjennomføring av analysen kamp .
Komplett kasuistikk

Skriv en rapport om funnene fra systemet sjekk på en godkjent rapport . Kopier alle funn filer til et bevis filen og kopier til en CD eller undermappe for saken . Legg merke til de hash verdier i notatene dine. Liste bevismessige filer i saken. Alltid re -lese rapporten før du sender inn .