DB14T2990-2024電子數(shù)據(jù)證據(jù)取證要求

ICS35.04014CCSA2414山 西 省 地 方 標(biāo) 準(zhǔn)DB14/T2990-2024電子數(shù)據(jù)證據(jù)取證要求2024-02-082024-02-082024-05-07山西省市場監(jiān)督管理局??發(fā)布DB14/T2990-2024DB14/T2990-2024DB14/T2990-2024DB14/T2990-2024目 次前言 II范圍 1規(guī)范性引用文件 1術(shù)語和定義 1一般要求 1取證階段要求 2II前 言本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件由山西省公安廳提出、組織實(shí)施和監(jiān)督檢查。山西省市場監(jiān)督管理局對(duì)標(biāo)準(zhǔn)的組織實(shí)施情況進(jìn)行監(jiān)督檢查。本文件由山西省公共安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口。本文件起草單位：山西省公安廳、太原市公安局、廈門市興百邦科技有限公司、國投智能（廈門）信息股份有限公司、北京奇安信科技有限公司、北京銳安科技有限公司、上海弘連網(wǎng)絡(luò)科技有限公司、亞信科技（成都）有限公司、山西晉信安科技有限公司。本文件主要起草人：馬靜旻、郭偉光、董杰、胡壯、閆鵬飛、范鑫、崔洪宇、張登峰、王勇、馬超II電子數(shù)據(jù)證據(jù)取證要求范圍本文件適用于電子數(shù)據(jù)證據(jù)取證。規(guī)范性引用文件（包括所有的修改單適用于本文件。GA/T754電子數(shù)據(jù)存儲(chǔ)介質(zhì)復(fù)制工具要求及檢測方法GA/T755電子數(shù)據(jù)存儲(chǔ)介質(zhì)寫保護(hù)設(shè)備要求及檢測方法術(shù)語和定義下列術(shù)語和定義適用于本文件。3.1電子數(shù)據(jù)證據(jù)電子數(shù)據(jù)證據(jù)是指以數(shù)字化形式存儲(chǔ)、處理、傳輸?shù)?，能夠證明案件事實(shí)的數(shù)據(jù)。3.2易失性數(shù)據(jù)容易改變或消失的電子數(shù)據(jù)。3.3完整性校驗(yàn)值使用散列算法對(duì)數(shù)據(jù)進(jìn)行計(jì)算后獲得的可以用來校驗(yàn)數(shù)據(jù)完整性的輸出值。3.4物理提取對(duì)物理存儲(chǔ)介質(zhì)進(jìn)行位對(duì)位的復(fù)制以創(chuàng)建數(shù)據(jù)副本的提取方式。3.5邏輯提取在文件系統(tǒng)等層面采用非位對(duì)位復(fù)制的方式對(duì)文件、文件夾等結(jié)構(gòu)化數(shù)據(jù)創(chuàng)建數(shù)據(jù)副本的提取方式。一般要求電子數(shù)據(jù)證據(jù)取證至少由兩名具有專門知識(shí)的人員實(shí)施。應(yīng)及時(shí)實(shí)施電子數(shù)據(jù)證據(jù)取證活動(dòng)。1電子數(shù)據(jù)證據(jù)取證應(yīng)使用準(zhǔn)確性得到驗(yàn)證的工具。在電子數(shù)據(jù)證據(jù)取證過程中，應(yīng)保證電子數(shù)據(jù)證據(jù)安全。取證階段要求發(fā)現(xiàn)電子數(shù)據(jù)證據(jù)發(fā)現(xiàn)是指搜索、識(shí)別電子數(shù)據(jù)證據(jù)的過程，包含但不限于如下要求。a）應(yīng)發(fā)現(xiàn)電子數(shù)據(jù)證據(jù)的不同表現(xiàn)形式，必要時(shí)制定相關(guān)方案。b）應(yīng)優(yōu)先處理電子數(shù)據(jù)證據(jù)介質(zhì)上的生物證據(jù)。c）不得改變電子數(shù)據(jù)證據(jù)介質(zhì)的原始狀態(tài)。d）應(yīng)及時(shí)識(shí)別相關(guān)設(shè)備的電力供應(yīng)狀態(tài)，采用電池供電的設(shè)備應(yīng)及時(shí)保持電力供應(yīng)。e）應(yīng)及時(shí)識(shí)別現(xiàn)場網(wǎng)絡(luò)覆蓋情況和相關(guān)設(shè)備的網(wǎng)絡(luò)狀態(tài)。f）應(yīng)注意識(shí)別與記錄電子數(shù)據(jù)證據(jù)其他相關(guān)信息，包含但不限于設(shè)備或網(wǎng)絡(luò)的密碼等。收集電子數(shù)據(jù)證據(jù)收集是指將電子數(shù)據(jù)證據(jù)介質(zhì)從其原始位置移置到實(shí)驗(yàn)室或其他受控環(huán)境的過程,包含但不限于如下要求。若存在易失性數(shù)據(jù)，應(yīng)直接對(duì)易失性數(shù)據(jù)進(jìn)行提取。不存在易失性數(shù)據(jù)的情況下，應(yīng)根據(jù)電子數(shù)據(jù)證據(jù)介質(zhì)情況直接移除電源或正常關(guān)機(jī)。應(yīng)將收集的電子數(shù)據(jù)證據(jù)介質(zhì)進(jìn)行封存。提取電子數(shù)據(jù)證據(jù)提取是指創(chuàng)建電子數(shù)據(jù)證據(jù)副本的過程，包含但不限于如下要求。a)對(duì)于客觀條件無法提取的電子數(shù)據(jù)證據(jù)，應(yīng)及時(shí)進(jìn)行凍結(jié)。提取易失性數(shù)據(jù)時(shí)，應(yīng)同時(shí)生成操作過程記錄和錄像記錄。同一介質(zhì)可以采用物理提取、邏輯提取的方法提取電子數(shù)據(jù)證據(jù)時(shí)，優(yōu)先采用物理提取的方法。d證據(jù)復(fù)制工具應(yīng)符合GA/T754要求。對(duì)于具備寫保護(hù)條件的電子數(shù)據(jù)證據(jù)介質(zhì)，應(yīng)使用寫保護(hù)設(shè)備接入到檢驗(yàn)設(shè)備上進(jìn)行后續(xù)操作，寫保護(hù)設(shè)備應(yīng)符合GA/T755要求。對(duì)于無需啟動(dòng)即可提取電子數(shù)據(jù)證據(jù)的介質(zhì)，優(yōu)先選擇在不啟動(dòng)狀態(tài)下提取電子數(shù)據(jù)證據(jù)。g)應(yīng)將完成提取的原始電子數(shù)據(jù)證據(jù)介質(zhì)進(jìn)行封存。固定電子數(shù)據(jù)證據(jù)固定是指進(jìn)行電子數(shù)據(jù)證據(jù)原始性、完整性保護(hù)的過程，包含但不限于如下要求。a)應(yīng)對(duì)收集、提取的電子數(shù)據(jù)證據(jù)進(jìn)行標(biāo)記，以便數(shù)據(jù)之間的關(guān)聯(lián)。無法進(jìn)行完整性校驗(yàn)時(shí)，應(yīng)同時(shí)生成操作過程記錄和錄像記錄。應(yīng)使用穩(wěn)定性良好的介質(zhì)保存已提取的電子數(shù)據(jù)證據(jù)，并進(jìn)行封存。2分析應(yīng)確保電子數(shù)據(jù)證據(jù)分析環(huán)境的安全。應(yīng)通過寫保護(hù)設(shè)備接入到分析設(shè)備進(jìn)行分析，或者制作電子數(shù)據(jù)備份并進(jìn)行分析。況。過程和結(jié)果，并由參加分析的人員簽名。檢驗(yàn)電子數(shù)據(jù)證據(jù)檢驗(yàn)應(yīng)進(jìn)行2次以上。禁止影響非實(shí)驗(yàn)環(huán)境計(jì)算機(jī)信息系統(tǒng)正常運(yùn)行的檢驗(yàn)行為。e)電子數(shù)據(jù)證據(jù)檢驗(yàn)，應(yīng)使用相關(guān)手段客觀記錄檢驗(yàn)過程。解除封存、重新封存前后應(yīng)拍攝被檢驗(yàn)?zāi)繕?biāo)，清晰反映封口或者張貼封條處的狀況。鑒定電子數(shù)據(jù)證據(jù)鑒定是指具備資格的鑒定人運(yùn)用科學(xué)技術(shù)或者專門知識(shí)對(duì)電子數(shù)據(jù)證據(jù)中涉及的專門性問題進(jìn)行鑒別和判斷并提供鑒定意見的活動(dòng)，包含但不限于如下要求。電子數(shù)據(jù)證據(jù)司法鑒定應(yīng)由具有司法鑒定資質(zhì)機(jī)構(gòu)委派至少兩名取得司法鑒定執(zhí)業(yè)資格的人員實(shí)施。3記錄電子數(shù)據(jù)證據(jù)取證全過程應(yīng)進(jìn)行詳細(xì)記錄。記錄電子數(shù)據(jù)證據(jù)介質(zhì)應(yīng)包括但不限于以下內(nèi)容：a)類別；bc序列號(hào)等唯一性標(biāo)識(shí)信息；f)屏幕顯示內(nèi)容；g)網(wǎng)絡(luò)信息及其他狀態(tài)的描述，包含但不限于IP/域名等。記錄工作過程應(yīng)包括但不限于以下內(nèi)容：a)人員；b)目的；c)時(shí)間；d)步驟；e)環(huán)境；提取的電子數(shù)據(jù)證據(jù)的存儲(chǔ)位置、文件名、完整性校驗(yàn)值等信息；分析、檢驗(yàn)的方法、結(jié)論；鑒定編號(hào)、鑒定要求、鑒定方法、操作過程、鑒定發(fā)現(xiàn)及結(jié)果。提取的電子數(shù)據(jù)證據(jù)的存儲(chǔ)位置、文件名、完整性校驗(yàn)值等信息；分析、檢驗(yàn)的方法、結(jié)論；鑒定編號(hào)、鑒定要求、鑒定方法、操作過程、鑒定發(fā)現(xiàn)及結(jié)果。工作過程錄像文件的說明文檔應(yīng)包括但不限于以下內(nèi)容：a)操作人員；b)開始時(shí)間；c)結(jié)束時(shí)間；d)存儲(chǔ)位置、文件名、完整性校驗(yàn)值等信息。5.9保存和流轉(zhuǎn)應(yīng)在電子數(shù)據(jù)證據(jù)介質(zhì)上粘貼標(biāo)識(shí)，無法直接粘貼標(biāo)識(shí)的，可在外包裝上進(jìn)行標(biāo)識(shí)。電子數(shù)據(jù)證據(jù)介質(zhì)應(yīng)集中放置在防磁、防靜電的存儲(chǔ)環(huán)境中。驗(yàn)值是否正確和封存的照片與當(dāng)前封存的狀態(tài)是否一致。4參考文獻(xiàn)GB/T29360-2023法庭科學(xué)電子數(shù)據(jù)恢復(fù)檢驗(yàn)規(guī)程GB/T29361-2023法庭科學(xué)電子數(shù)據(jù)文件一致性檢驗(yàn)規(guī)程GB/T29362-2023法庭科學(xué)電子數(shù)據(jù)搜索檢驗(yàn)規(guī)程GA/T756-2021法庭科學(xué)電子數(shù)據(jù)收集提取技術(shù)規(guī)范GA/T1069-2021法庭科學(xué)電子物證手機(jī)檢驗(yàn)技術(shù)規(guī)范GA/T1174-2014電子證據(jù)數(shù)據(jù)現(xiàn)場獲取通用方法GA/T1474-2018法庭科學(xué)計(jì)算機(jī)系統(tǒng)用戶操作行為檢驗(yàn)技術(shù)規(guī)范GA/T1564-2019法庭科學(xué)現(xiàn)場勘查電子物證提取技術(shù)規(guī)范SF/ZJD0400001-2014電子數(shù)據(jù)司法鑒定通用實(shí)施規(guī)范SF/ZJD0400002-2015電子數(shù)據(jù)證據(jù)現(xiàn)場獲取通用規(guī)范SF/T0157-2023移動(dòng)終端電子數(shù)據(jù)鑒定技術(shù)規(guī)范SF/T0105-2021儲(chǔ)