[发明专利]一种用于电子数据的取证方法和系统

说明书

公开了一种用于电子数据的取证方法和系统，包括逐一将取证设备的多个通道与主机连接，获取各通道的转换模块对应的接口标志信息，并将接口标志信息写入对应的接口转换模块；再次将多个通道中的任一通道与主机连接，初始化当前通道的历史设置信息，将接口标志信息写入当前通道的磁盘的引导扇区，并将当前通道设置为主通道；将取证应用拷贝至主通道的磁盘空间，将多个通道与主机连接，主机识别到多个通道后打开运行取证应用；取证应用将主机的数据分割为多个镜像文件，同时在多个通道保存多个镜像文件。本发明便携方便，可以用于特定部门在对目标计算机进行数据获取的工作时，有效解决取证设备数据存储空间小、速度慢的问题。

技术领域

本发明涉及电子数据取证的技术领域，尤其是一种用于电子数据的取证方法和系统。

背景技术

随着互联网技术和计算机技术的迅速发展，在涉及计算机领域的犯罪也呈现不断扩大，所以电子数据取证方面的技术应用也在不断更新，如便携式电子数据取证设备，实验室专用固定取证设备等。

在电子数据取证领域中,硬盘数据获取是现场勘查中的重要手段，但随着取证对象主机硬盘容量及存储数据的增长，导致取证时间长，要求的存储空间大，就对取证设备提出了很高的要求，而便携式取证设备往往是体积小，本身自带存储空间的容量就不大，取证速度也相对不够快，所以如何高效的提高取证速度并且满足大容量就成了必须考虑的。

发明内容

为了解决现有技术中取证时间长，要求的存储空间大的技术问题，本发明提出了一种用于电子数据的取证方法和系统，以解决上述技术问题。

根据本发明的一个方面，提出了一种用于电子数据的取证方法，该方法包括：

S1：逐一将取证设备的多个通道与主机连接，获取各通道的转换模块对应的接口标志信息，并将接口标志信息写入对应的接口转换模块；

S2：再次将多个通道中的任一通道与主机连接，初始化当前通道的历史设置信息，将接口标志信息写入当前通道的磁盘的引导扇区，并将当前通道设置为主通道；

S3：将取证应用拷贝至主通道的磁盘空间，将多个通道与主机连接，主机识别到多个通道后打开运行取证应用；以及

S4：取证应用将主机的数据分割为多个镜像文件，同时在多个通道保存多个镜像文件。

在一些具体的实施例中，步骤S2还包括，对除主通道之外的其他通道进行初始化历史设置信息，将接口标志信息写入对应通道的磁盘的引导扇区，并设置为从通道。

在一些具体的实施例中，取证应用运行通过系统api函数读取磁盘驱动器信息，判断主从通道后，分别读取预设磁盘引导扇区的信息，响应于信息与预设信息匹配，则将主从通道的存储空间作为取证数据存放空间。

在一些具体的实施例中，磁盘驱动信息包括驱动器数量、驱动器字符串信息和驱动器类型。

在一些具体的实施例中，步骤S4具体包括，取证应用将被取证的主机的磁盘数据作为整个镜像，将整个镜像分割为若干小镜像文件，从主通道开始保存第一个镜像，同时在从通道开始依次保存第二个镜像。此时取证总的存储空间是主通道1的存储空间与通道2存储空间之和，扩大了取证的存储空间

在一些具体的实施例中，取证应用根据各个通道镜像文件完成先后，自动选择空闲的通道继续保存新的分割镜像文件。凭借该设置可以最大效率提高整体取证的速度。

根据本发明的第二方面，提出了一种用于电子数据的取证系统，该系统包括：

接口标志信息获取录入单元，配置用于逐一将取证设备的多个通道与主机连接，获取各通道的转换模块对应的接口标志信息，并将接口标志信息写入对应的接口转换模块；