收集電子證據(jù)應(yīng)注意的八個(gè)問(wèn)題（一）

收集電子證據(jù)應(yīng)注意的八個(gè)問(wèn)題（二）如何選擇證據(jù)源

收集電子證據(jù)應(yīng)注意的八個(gè)問(wèn)題（三）如何找到以及保護(hù)電子證據(jù)

收集電子證據(jù)應(yīng)注意的八個(gè)問(wèn)題（四）不懂計(jì)算機(jī)相關(guān)知識(shí)怎么辦

收集電子證據(jù)應(yīng)注意的八個(gè)問(wèn)題（二）如何選擇證據(jù)源 

四、如何選擇證據(jù)源 

1． 選擇備份磁帶。 

一個(gè)最豐富的證據(jù)來(lái)源就是哪些為防止系統(tǒng)癱瘓丟失數(shù)據(jù)而作的日常備份。這種信息通常都儲(chǔ)存在高容量的磁帶上，但實(shí)際上它可以存在于任何一種介質(zhì)上。

備份磁帶通常能容納一個(gè)組織包括每天的電子郵件在內(nèi)的全部數(shù)據(jù)。普通的備份程序每周對(duì)全部文件作一次備份，每月的最后一周做月備份。

用于周備份的磁帶通常被洗掉再用，而月備份則被保存起來(lái)，保存期從六個(gè)月到幾年不等。一個(gè)公司保存了從該公司的計(jì)算機(jī)系統(tǒng)建立之日起的全部備份磁帶已不是什么新鮮事。 

當(dāng)我們?cè)谑占C據(jù)的過(guò)程中收集備份磁帶時(shí)，一定要了解這些磁帶是如何制作的，既包括采用的程序也包括制作中應(yīng)用的具體的軟件和硬件。

因?yàn)殡S著時(shí)間的推移，成百上千種不同的備份程序被開(kāi)發(fā)使用，所以有時(shí)候離開(kāi)了當(dāng)初制作備份時(shí)使用的硬件或軟件，就無(wú)法恢復(fù)備份的信息。 

2. 收集磁盤。 

被用戶有選擇性的存儲(chǔ)于磁盤或其他便攜式介質(zhì)中的資料是一個(gè)豐富卻又易被忽視的證據(jù)來(lái)源?；趲追N原因，用戶會(huì)使用磁盤存儲(chǔ)資料。

一是用戶為關(guān)鍵性的文件創(chuàng)建“特定備份”以防某一重要文檔或文件丟失；

二是用戶復(fù)制電子郵件以防它們被自動(dòng)清理程序刪除；再有就是用磁盤存儲(chǔ)那些他們不想放在公司計(jì)算機(jī)上的資料。

磁盤的存放地點(diǎn)是不特定的，有時(shí)我們會(huì)在證人的桌子里找到幾張磁盤。因此，收集和查看所有重要證人的磁盤是全面檢查電子證據(jù)過(guò)程中的重要環(huán)節(jié)。 

3.詢問(wèn)每位證人使用計(jì)算機(jī)的情況。 

除了對(duì)計(jì)算機(jī)系統(tǒng)本身的探究之外，對(duì)每位證人使用計(jì)算機(jī)的情況也必須加以詢問(wèn)。使用計(jì)算機(jī)的熟練程度因人而異，差別很大。

了解每位證人如何使用他（或她）的計(jì)算機(jī)、如何管理和儲(chǔ)存資料將幫助我們找到那些在指向總體計(jì)算機(jī)系統(tǒng)的搜尋中未能發(fā)現(xiàn)的一些資源。這種搜尋不能忽視重要證人的秘書和輔助人員，因?yàn)橥ǔＷC人的文件會(huì)存在他（或她）的助理人員的計(jì)算機(jī)上。 

還有一個(gè)最容易被人們忽視的電子證據(jù)的來(lái)源，那就是家用電腦。 

辦公用計(jì)算機(jī)上的資料進(jìn)入家用電腦的途徑有兩種：

一是通過(guò)磁盤或其他便攜式介質(zhì)轉(zhuǎn)移；

二是雇員被允許從家用電腦上登陸公司的網(wǎng)絡(luò)。

在后面一種情況下，家用電腦就如同該雇員所在公司里的一個(gè)工作站。

收集證據(jù)的過(guò)程中，關(guān)鍵是要查明證人是否在家里工作以及數(shù)據(jù)是如何在家用電腦和公司電腦間轉(zhuǎn)移的。 

掌上型電腦設(shè)備和筆記本電腦是證據(jù)的又一來(lái)源。掌上型電腦設(shè)備包括電子通訊簿以及象蘋果公司生產(chǎn)的“牛頓”和國(guó)產(chǎn)的“商務(wù)通”這類功能更為強(qiáng)勁的產(chǎn)品。

除了存儲(chǔ)日歷和聯(lián)絡(luò)信息之外，這類設(shè)備還有記事和接收郵件等功能。比這些設(shè)備性能更為優(yōu)越的當(dāng)屬筆記本電腦了。

筆記本往往被幾位用戶共同使用。雖然筆記本電腦可能不是證人的主要工作站，但它仍然會(huì)包含一些重要的信息。

因此，一定要了解證人對(duì)掌上型電腦設(shè)備和筆記本電腦的使用情況以及這些設(shè)備中存儲(chǔ)了哪些資料。

4．制作鏡像拷貝。 

大家都知道，被刪除的文件或其他“殘留”數(shù)據(jù)可在硬盤驅(qū)動(dòng)器和軟盤上得到恢復(fù)。如何才能獲得這些資料呢？要回答這個(gè)問(wèn)題，首先讓我簡(jiǎn)要的解釋一下為什么會(huì)存在“殘留”數(shù)據(jù)。 

使用計(jì)算機(jī)進(jìn)行工作時(shí)，“刪除”這個(gè)詞并不意味著消滅。

當(dāng)一個(gè)文件被刪除時(shí)，計(jì)算機(jī)把這個(gè)文件占有的空間配置給新的數(shù)據(jù)。

所謂“刪除”是指從目錄列表和文件配置桌面上移走，但在被新的數(shù)據(jù)改寫或是被實(shí)用軟件“擦”去之前，這些文件的全部?jī)?nèi)容依然保留在硬盤里。

所以，一個(gè)被刪除的文件仍然可以在磁盤表面恢復(fù)。殘留數(shù)據(jù)就包括被刪除的文件、被刪除的文件碎片和其他存在于磁盤表面的數(shù)據(jù)。

為確保得到這些殘留數(shù)據(jù)，你必須對(duì)目標(biāo)驅(qū)動(dòng)器做鏡像拷貝。相比之下，文件對(duì)文件的拷貝（僅選擇你想要復(fù)制的文件）只能捕捉到選定的特定文件中的數(shù)據(jù)。

即使選擇了全部文件，文件對(duì)文件的拷貝也不能捕捉到任何殘留數(shù)據(jù)。