[发明专利]一种用于电子数据的取证方法和系统

权利要求书

1.一种用于电子数据的取证方法，其特征在于，包括：

S1：逐一将取证设备的多个通道与主机连接，获取各通道的转换模块对应的接口标志信息，并将所述接口标志信息写入对应的接口转换模块；

S2：再次将所述多个通道中的任一通道与所述主机连接，初始化当前通道的历史设置信息，将所述接口标志信息写入所述当前通道的磁盘的引导扇区，并将所述当前通道设置为主通道；

S3：将取证应用拷贝至所述主通道的磁盘空间，将所述多个通道与所述主机连接，所述主机识别到所述多个通道后打开运行所述取证应用；以及

S4：所述取证应用将所述主机的数据分割为多个镜像文件，同时在所述多个通道保存所述多个镜像文件。

2.根据权利要求1所述的用于电子数据的取证方法，其特征在于，所述步骤S2还包括，对除所述主通道之外的其他通道进行初始化历史设置信息，将所述接口标志信息写入对应通道的磁盘的引导扇区，并设置为从通道。

3.根据权利要求1所述的用于电子数据的取证方法，其特征在于，所述取证应用运行通过系统api函数读取磁盘驱动器信息，判断主从通道后，分别读取预设磁盘引导扇区的信息，响应于所述信息与预设信息匹配，则将所述主从通道的存储空间作为取证数据存放空间。

4.根据权利要求3所述的用于电子数据的取证方法，其特征在于，所述磁盘驱动信息包括驱动器数量、驱动器字符串信息和驱动器类型。

5.根据权利要求2所述的用于电子数据的取证方法，其特征在于，所述步骤S4具体包括，所述取证应用将被取证的所述主机的磁盘数据作为整个镜像，将所述整个镜像分割为若干小镜像文件，从所述主通道开始保存第一个镜像，同时在所述从通道开始依次保存第二个镜像。

6.根据权利要求5所述的用于电子数据的取证方法，其特征在于，所述取证应用根据各个通道镜像文件完成先后，自动选择空闲的通道继续保存新的分割镜像文件。

7.一种用于电子数据的取证系统，其特征在于，所述系统包括：

接口标志信息获取录入单元，配置用于逐一将取证设备的多个通道与主机连接，获取各通道的转换模块对应的接口标志信息，并将所述接口标志信息写入对应的接口转换模块；

通道初始化单元，配置用于再次将所述多个通道中的任一通道与所述主机连接，初始化当前通道的历史设置信息，将所述接口标志信息写入所述当前通道的磁盘的引导扇区，并将所述当前通道设置为主通道；

准备单元：配置用于将取证应用拷贝至所述主通道的磁盘空间，将所述多个通道与所述主机连接，所述主机识别到所述多个通道后打开运行所述取证应用；

取证单元：配置用于所述取证应用将所述主机的数据分割为多个镜像文件，同时在所述多个通道保存所述多个镜像文件。

8.根据权利要求7所述的用于电子数据的取证系统，其特征在于，通道初始化单元还包括对除所述主通道之外的其他通道进行初始化历史设置信息，将所述接口标志信息写入对应通道的磁盘的引导扇区，并设置为从通道。

9.根据权利要求7所述的用于电子数据的取证系统，其特征在于，所述取证应用运行通过系统api函数读取磁盘驱动器信息，判断主从通道后，分别读取预设磁盘引导扇区的信息，响应于所述信息与预设信息匹配，则将所述主从通道的存储空间作为取证数据存放空间，其中，所述磁盘驱动信息包括驱动器数量、驱动器字符串信息和驱动器类型。

10.根据权利要求8所述的用于电子数据的取证系统，其特征在于，所述取证应用将被取证的所述主机的磁盘数据作为整个镜像，将所述整个镜像分割为若干小镜像文件，从所述主通道开始保存第一个镜像，同时在所述从通道开始依次保存第二个镜像。

11.根据权利要求10所述的用于电子数据的取证系统，其特征在于，所述取证应用根据各个通道镜像文件完成先后，自动选择空闲的通道继续保存新的分割镜像文件。