企业内部调查取证工具

银行、证券等行业及企业内部计算机调查取证及数据安全管理
内部调查取证
我国金融系统计算机应用事业快速发展一方面带来了巨大的经济利益，另一方面也产生了计算机犯罪。1986年，我国银行披露了第一例计算机犯罪案，自此之后，很多行都发生了计算机犯罪案例，其危害较之一般经济犯罪金额更大，手段更隐蔽，危害更深。从银行计算机犯罪的许多案例来分析，可以看出这些犯罪分子大部分是从银行内部作案，或者是内外勾结，证券公司等机构的计算机相关犯罪活动特征与银行计算机犯罪类似。
另据权威机构调查，85%以上的信息安全威胁来自于企业内部，只有5%来自于黑客等外部攻击，内部泄密造成的损失是黑客造成损失的16倍，是病毒造成损失的12倍。
如果怀疑银行等机构或企业内部员工存在泄密、欺诈等违法犯罪行为，那么嫌疑人必定会在他所使用的计算机或其它电子设备上留下相关的‘痕迹’，为了获得确凿的证据，同时需保证证据的完整性、连续性，企业或机构的信息部门及法务部门必须借助于数字取证工具来进行证据获取及分析工作。
硬盘作为计算机的主要存储设备，也是我们最常碰到的电子证据，电子证据具有易破坏性的特点，即电子证据很容易被篡改、删除而不留任何痕迹，因此为了保证“证据连续性(chain of custody)”，决定不能对硬盘进行直接操作，而需要采取镜像备份的方法将其全部数据导出到司法鉴定硬盘中。为了保证数据导出过程中的可靠性和完整性，我们可以采取司法取证硬盘复制机作为操作工具.
硬盘复制机，对存储在嫌疑硬盘中的所有数据提供严格按位拷贝的保证，包括已删除的
文件、未使用空间和文件空白处同样是位对位的准确。
美国Logicube公司是全球硬盘复制业的领导者、美国行业标准的制定者、美国政府采购合同供应商（GS－35F－0409L）。多项产品技术指标多年国际领先，产品系列最全，质保时间达三年。Logicube系列产品能够帮助企业有效的建立数据安全的预防及补救机制。
Logicube公司取证硬盘复制机使用实际的硬盘复制速度标称产品，拥有全球速度最快的硬盘复制机（标称4.0G/分钟，实际达4.3G/分钟）、全球校验精度最高的硬盘复制机（SHA－256）、体积最小，功能适用，性价比更高。


logi-talon.jpg
在将电子证据的数据完整导出之后，就需要对这些数据加以分析，从而挖掘出核心的证据，这些数据中的信息源很多，如系统日志，防火墙与入侵检测系统的工作记录、反病毒软件日志、系统审计记录、网络监控流量、电子邮件、操作系统文件、数据库文件和操作记录、硬盘交换分区、软件设置参数和文件、完成特定功能的脚本文件、Web浏览器数据缓冲、书签、历史记录或会话日志、实时聊天记录等。为了防止被侦查到，具备高科技作案技能犯罪嫌疑人，往往在犯罪活动结束后将自己残留在受害方系统中的“痕迹”擦除掉，如尽量删除或修改日志文件及其他有关记录。但是，一般的删除文件操作，即使在清空了回收站后，如果不是对硬盘进行低级格式化处理或将硬盘空间装满，仍有可能恢复已经删除的文件。为了在种类纷繁复杂的数据中挖掘或恢复出有效证据，就需要使用分析软件。
分析软件的主要工作包括：
借助自动取证的文本搜索工具，进行一系列的关键字搜索查找最重要的信息。
对文件属性、文件的摘要和日志进行分析，根据已经获得的文件或数据的用词、语法、写作或软件设计编制风格，推断可能的作者。
利用数据解密技术和密码破译技术，对电子介质中的被保护信息进行强行访问，获取信息。
分析Windows系统的交换文件和硬盘中未分配的空间，这些地方往往存放着犯罪嫌疑人容易忽视的证据。
对电子证据进行智能相关性分析，发掘同一事件不同证据间的联系。如分析分布式拒绝服务攻击证据时，可对某一时间段来自攻击者的IP在不同系统中留下的痕迹，按一定顺序罗列和评估其相关性。
司法分析软件的代表为ACCESSDATA 公司的FTK和Guidance公司的Encase，从电子邮件分析、多语言支持、搜寻加密文件、数据恢复、过滤、功能全面、多语言索引、英文索引、易操作性等多个角度来说两种软件各有自己的优势和特点。FTK司法分析软件是美国政府、法院认可的标准司法分析软件，同时也是美国警方标准配备、全球警方使用量第一的电子物证分析软件，能够执行自动、完整、彻底的计算机电子取证检查；FTK拥有强大自动的文件分析、过滤和搜索功能，自动对所有文件进行分类，自动定位有嫌疑的文件，快速自动找出所需的证据，另外FTK最近推出了全中文操作界面、完美支持中文的FTK2.0版本。而Encase则在功能全面及灵活性方面拥有一定的优势。在国际司法界通常会使用两种分析软件进行综合分析，这样能够达到更加理想的分析效果。
数据安全
企业或银行等机构存储重要的数据信息的介质如硬盘经常会需要进行备份，传统的备份工具效率较低，安全性、稳定性及可靠性无法得到有效保障，我们推荐使用Logicube公司的Omniclone系列硬盘复制工具来进行相关操作。
OmniClone xi 系列硬盘复制机
Logicube的OmniClone xi系列代表新一代的高速，生产等级的硬盘复制系统。这款多目标系统拥有许多先进的新特性，专为批量生产要求设计，模块化设计便于低成本提升设备功能，冷却系统适应于拷贝更大容量的硬盘，4”触摸控制屏操作简单，远程指示灯支持多岗位工作，系统标准配置 IDE/SATA接口，升级选配：SD/CF/2.5/1.8/PCMCIA接口。
Xi系列包括了OmniClone 2xi,一主硬盘对二目标盘；OmniClone 5Xi，一个主盘对五个目标盘；OmniClone 10Xi，一个主盘十个目标盘。
OmniClone 2xi
OmniClone 2Xi-USB内置了USB连接的支持，允许用户对主硬盘进行管理。用户可以从网络服务器备份/恢复硬盘映像，修改硬盘的内容，对主硬盘做碎片整理，重新格式化主硬盘或使用第三方软件管理主硬盘的分区表。
OmniClone 5xi
The OmniClone 5Xi 代表了logicube公司新一代的高速的、产品级的磁盘复制系统。这一五单元系统应用了许多前言的新技术，特别适用于高容量的磁盘。 OmniClone 5Xi在UDMA-5模式下复制IDE, EIDE, UDMA和SATA 磁盘的数据传输速率可达3.5GB/分钟。封闭的纯白精巧触摸屏上的直观导航系统使得使用更方便。 OmnicloneXI 资料库软件可以使用户扫描和记录下硬盘复制时的信息，包括硬盘驱动器的牌子，型号，序列号，固件和版本。所有的内容和当前的软件版本信息都存储在Omniclone 的 64MB CF 卡内。
OmniClone 10xi
Logicube的10XI硬盘复制机，是2006年推向全球市场，新一代高速硬盘复制系统，独家采用UDMA-5传输技术，精湛的美国设计、制造工艺，多项独家拥有的硬盘检测技术，硬盘冷却系统，真正实现了高速、准确复制。2008年全球依然领先这款十目标硬盘复制系统拥有许多先进的技术和特性，适用于每天拷贝硬盘数量200块以上的用户，特别适用于大容量数据硬盘的克隆，系统硬盘复制，数据硬盘的保密擦除。


logi-omni10xi.jpg
某些情况下需要对存储企业或银行的机构的涉密信息的硬盘的数据进行清除操作，我们往往使用系统提供的删除文件操作然后清空回收站，或者进一步会进行硬盘格式化的操作，但是这些操作并没有完全清除硬盘中相关数据，可能会被人利用数据恢复工具来获取到相关的涉密数据从而带来严重的后果，所以我们推荐使用Logicube公司的Ominiwipe硬盘擦除设备来进行相关操作。
OmniWIPE硬盘数据擦除设备
Logicube的OmniWIPE是符合美国国防部DOD标准的专用硬盘擦除设备，F6方式，准确定位，逐点擦除，最多自动进行199次擦除，确保硬盘原数据不能被恢复。
功能强大的OmniWIPE可以同时擦除IDE、EIDE、UDMAT、SATA硬盘，速度达2.3GB/分钟，三个目标工位，可以放置不同型号，不同容量的硬盘，将其数据同步擦除，并符合Department of Defense (DoD-M5220)美国国防部标准。OmniWIPE提供真正的数据销毁，高效的数据销毁方案，提升客户的工作效率，确保企业电子数据信息不被泄漏。
独特的设计理念和高可靠性，使OmniWIPE硬盘数据擦除设备成为全球首选。


logi-omniwipe.jpg

特 点：
 标准IDE, EIDE 和UDMA硬盘可以与OmniWIPE直连
 SATA硬盘，可通过可选的SATA适配器连接
 DOM电子硬盘，通过可选的适配器连接
 2.5、1.8硬盘，通过可选适配器连接
 CF存储卡，通过可选适配器连接
 OmniWIPE可以最多同时擦除3块硬盘
北京新华富才软件有限公司（Beijing SunWah Forensics Co.Ltd）为Logicube公司中国区总代理（
http://www.logicube.com/sales/international.asp#1057
），了解更多情况请参观我们公司网站：
www.sw-forensics.com
，对这方面产品或技术方案感兴趣的朋友可以直接与我们联络：
北京新华富才软件有限公司 范雄
电话：（8610）82350466
传真：（8610）62669049
邮箱：
fanx@sw-forensics.com