计算机取证报告格式

主要目标为计算机取证其目的是对计算设备进行系统的调查，以查明究竟发生了什么，以及谁应对所发生的事负责。同时，还需要在正式报告中保留一份完整的、有证据支持的记录链。计算机取证报告的语法或模板如下：

1. 执行摘要：在计算机取证报告模板的“执行摘要”部分，会提供与调查相关的背景信息。执行摘要或翻译后的内容会被高层管理人员阅读，因为他们通常不会阅读详细的报告内容。这一部分应该包含简短的描述、详细信息以及重要的提示。这一部分的篇幅可以是一页左右。执行摘要部分主要包括以下内容：
   • 同时，还需要考虑是谁授权了这项法医检查的。
   • 以下是各项重要证据的简要说明。
   • 解释为什么需要对计算设备进行法医检查。
   • 包括为负责完成这项工作的评审员们准备的签名栏。
   • 所有与本案有关或涉及此案的人士的正式、合法且准确的姓名，以及他们的职务、初次接触或通信的日期。
2. 目标：“目标部分”用于概述调查需要完成的所有任务。在某些情况下，法医检查可能无法完成全面的调查工作。在进行任何法医分析之前，必须先由法律委员会、决策者和客户共同讨论并批准该计划表。该计划表中应明确列出每项任务的具体执行方法和负责人，同时还应说明报告结束时每项任务的进展情况。
3. 计算机证据分析：“计算机证据分析”这一部分中，所有收集到的证据及其分析结果都被详细记录下来。其中，还提供了关于证据编号的分配、证据的详细描述以及存储介质的序列号等信息。
4. 相关研究结果：这部分“相关发现”部分总结了所发现的证据。证明效力当从犯罪现场发现的法医科学证据与某件案件中的相关物品相匹配时，例如，指纹、一根头发、鞋印等。 此外，还有嫌疑人在案件中提供的参考样本。因此，这种匹配结果被广泛认为是强有力的证据，表明该嫌疑人就是所找回物品的来源者。 不过，证据的证明价值会因证据的呈现方式以及其被用作假设的用途而有很大差异。 它回答了诸如“在调查该案件时，发现了哪些相关的物品或对象？”这样的问题。
5. 支持细节：“支持性细节”这一部分，是对相关研究结果进行深入分析的环节。 “我们是如何得出这些结论的？”这个问题由本节来解答。 该文件包含所有关键文件的完整路径名称、字符串搜索的结果、已检查的电子邮件/网址信息，以及被检查的文件数量等相关的数据。 本节中详细描述了为实现各项目标而需要完成的各项任务。 在“支持性细节”部分，我们更注重技术的深度和复杂性。 它包含了图表、表格以及插图，因此能够传达出比文字更多的信息。 为了实现上述目标，还包含了许多子章节。 这一部分是最长的部分。 首先，需要提供一些关于所分析媒体的背景信息。 用人类能够理解的语言来描述所审查的文件数量以及硬盘的大小，并不是一件容易的事情。 因此，您的客户必须清楚您希望审查多少数据才能得出结论。
6. 调查线索：“调查线索”功能可以执行那些有助于获取与案件调查相关的更多信息的操作。 研究人员会完成所有需要完成的任务，以便在剩余的时间内获取更多信息。 调查部门在执法过程中起着至关重要的作用。 本节建议了一些额外的任务，这些任务有助于获取继续处理该案例所需的信息。 例如： 需要查明是否存在任何防火墙日志，这些日志的日期足够久远，能够准确反映可能发生的各种攻击情况。 这一部分对于被雇佣的司法鉴定师来说非常重要。
7. 其他子章节：在法医报告中，还包含了许多其他子章节。这些子章节是根据客户的需求而设置的。以下这些子章节在特定情况下非常有用：
   • 攻击者的作案手法——在这一部分中，会提供额外的信息，以帮助读者更好地理解各种攻击方式。这部分内容对于处理计算机入侵案件非常有帮助。这里会详细说明各种攻击是如何进行的，以及从标准日志中可以看到哪些攻击细节。
   • 用户应用程序 –在本节中，我们将讨论那些被安装在所分析的媒体设备上的相关应用程序。因为观察到，在许多情况下，系统上存在的应用程序其实是非常有用的。如果你正在研究的是被攻击者所使用的系统，比如网络攻击工具的话，那么请为这一节起一个合适的标题吧。
   • 互联网活动 –“互联网活动或网页浏览历史”部分，展示了用户在网络上的浏览记录。这些浏览历史信息对于推测用户的意图、识别恶意工具、查找未分配的空间、进行在线搜索以及下载安全程序或用于删除证据的软件来说非常有用。这些程序能够清除那些可能包含重要证据的临时文件。
   • 推荐意见/建议本部分建议，客户应做好更充分的准备和培训，以应对未来的计算机安全事件。我们研究了一些基于主机、网络以及流程层面的对策，这些对策可以帮助客户降低或消除安全事件带来的风险。