考試概況

　　先看一下這門課的期末考試情況。拿到 sample paper 后大家會發現，這門課期末考試占總成績 50%。

　　往年是線上開卷考試，總共 3 個小時。今年老師改了，變成了 線下考試，總時長 2 小時，還包括 10 分鐘讀題時間。比往年少了一個小時，算是不錯的改動。

　　考試形式是 紙筆作答，題型有三類：

　　不定向選擇題：包括單選、雙選以及 True/False 判斷題，往年大概 20 套題。

　　Short Answer(短回答)

　　Long Answer(長回答)

　　答題小技巧：

　?、俜贮c答題，答到點上;

　　②熟悉所有知識點，理解原理，能靈活聯系和運用;

　?、塾媚畬懘鸢福斜匾獙懸稽c解釋。

　　總結一句話：這門課不考你有多深，而是知識點多、面廣。復習關鍵是記住知識點、理清原理、聯系各點，并且理解。

　　復習內容概覽

　　本次復習主要覆蓋前兩周內容，重點是 V1 和 V2 的知識點、網銀專題以及一些常規講解。所有內容來自 VDEV 的 PPT，我們按照考試大綱梳理邏輯，讓大家一步步回顧整個數字取證的基礎框架。

　　數字取證要記住幾件事：

　?、偌夹g手段

　　②方法論

　?、畚臋n記錄

　?、芸赊q護性

　　注意：技術是可替換的，但方法論和文檔要求是必須的。

　　核心知識點解析

　　1. 舉證可靠性(Forensic Reliability)

　　核心問題：你拿到的證據可信不可信?

　　考察三個方面：

　　Repeatable(可重復性)：別人照你步驟也能得到相同結果。

　　Verifiable(可驗證性)：你做的每一步都有記錄、有證據。

　　Defensible(可辯護性)：如果律師質疑，你能拿出日志、照片等證明操作沒問題。

　　原則：

　　避免改動原始證據

　　必須詳細記錄每一步，保證可復現

　　2. 流程是否符合行業標準

　　遵循公認方法，如 101 格式;

　　第三方可以復現;

　　采集流程不會改變證據。

　　3. 物理證據處理

　　數字取證第一步：保護現場!

　　保護現場包括：

　?、賁ecure(現場安全)

　?、诜乐蛊渌私佑|設備

　?、劭刂骗h境，避免證據被改動

　　Document(記錄一切)

　　ABD 原則：Always Be Documented

　　記錄內容：照片、日志、現場筆記、設備序列號、桌面狀態、現場人員

　　設備處理注意事項：

　　普通 PC：可直接斷電，但需避免寫入系統日志或程序自動修改數據

　　服務器：不可直接斷電，需要正常關機

　　全盤加密設備：優先 live acquisition，否則解密信息丟失

　　4. 保管鏈(Chain of Custody)

　　數字取證不僅是找證據，更是 證明證據未被篡改。

　　記錄內容：

　　Where：證據獲取地點

　　Who：操作人員

　　What：設備型號、序列號

　　Current Storage：存放位置

　　簽名、防篡改標識

　　保管鏈的重要性：

　　防止質疑證據真實性

　　確保證據可提交法庭

　　證明調查流程正確

　　考試題目可能會問：為什么保管鏈重要?

　　答案示例：

　　防止質疑證據真實性

　　防止第三方篡改

　　確保證據可法庭提交

　　證明調查遵循正確流程

　　5. ABD 原則與文檔

　　ABD(Always Be Documented)：永遠記錄每一步。

　　文檔類型：

　　工作日志(Work Journal)：記錄每一步操作、軟件、命令、現場情況

　　設備收集登記表：型號、序列號、來源、交接時間

　　保管鏈表格(Chain of Custody)

　　采集表：記錄采集開始/結束時間、設備信息、二次驗證情況

　　6. 協阻斷器(Write Blocker)

　　作用：阻止對硬盤寫入，防止證據污染

　　類型：

　　物理阻斷器：硬件層面阻止所有寫入，最可靠

　　軟件阻斷器：依賴 OS 或驅動，存在漏洞，可靠性低

　　注意：阻斷器能防止污染，但不保證鏡像絕對正確，仍需二次驗證(hash 校驗、備份)

　　7. 法庭可接受的鏡像(Forensic Image)

　　目的：在原始硬盤上不直接分析，建立法庭可接受的鏡像

　　格式：

　　DD 格式：純二進制拷貝，簡單、兼容性好，Linux 可直接掛載，底層工具支持廣

　　101 格式：專家模式，遵循行業標準

　　復習總結

　　COMP6445 考試重點是知識面廣、理解邏輯

　　數字取證核心：

　　技術 + 方法論

　　現場保護 + 文檔記錄

　　保管鏈完整

　　寫阻斷器防污染

　　鏡像采集可復現且符合法庭標準

　　考試答題：

　　分點答題、答到點上

　　熟悉知識點并理解原理

　　所有操作記錄充分，以保證可辯護性