收集電子證據(jù)應注意的八個問題（一）

收集電子證據(jù)應注意的八個問題（二）如何選擇證據(jù)源

收集電子證據(jù)應注意的八個問題（三）如何找到以及保護電子證據(jù)

收集電子證據(jù)應注意的八個問題（四）不懂計算機相關知識怎么辦

收集電子證據(jù)應注意的八個問題（二）如何選擇證據(jù)源 

四、如何選擇證據(jù)源 

1． 選擇備份磁帶。 

一個最豐富的證據(jù)來源就是哪些為防止系統(tǒng)癱瘓丟失數(shù)據(jù)而作的日常備份。這種信息通常都儲存在高容量的磁帶上，但實際上它可以存在于任何一種介質(zhì)上。

備份磁帶通常能容納一個組織包括每天的電子郵件在內(nèi)的全部數(shù)據(jù)。普通的備份程序每周對全部文件作一次備份，每月的最后一周做月備份。

用于周備份的磁帶通常被洗掉再用，而月備份則被保存起來，保存期從六個月到幾年不等。一個公司保存了從該公司的計算機系統(tǒng)建立之日起的全部備份磁帶已不是什么新鮮事。 

當我們在收集證據(jù)的過程中收集備份磁帶時，一定要了解這些磁帶是如何制作的，既包括采用的程序也包括制作中應用的具體的軟件和硬件。

因為隨著時間的推移，成百上千種不同的備份程序被開發(fā)使用，所以有時候離開了當初制作備份時使用的硬件或軟件，就無法恢復備份的信息。 

2. 收集磁盤。 

被用戶有選擇性的存儲于磁盤或其他便攜式介質(zhì)中的資料是一個豐富卻又易被忽視的證據(jù)來源。基于幾種原因，用戶會使用磁盤存儲資料。

一是用戶為關鍵性的文件創(chuàng)建“特定備份”以防某一重要文檔或文件丟失；

二是用戶復制電子郵件以防它們被自動清理程序刪除；再有就是用磁盤存儲那些他們不想放在公司計算機上的資料。

磁盤的存放地點是不特定的，有時我們會在證人的桌子里找到幾張磁盤。因此，收集和查看所有重要證人的磁盤是全面檢查電子證據(jù)過程中的重要環(huán)節(jié)。 

3.詢問每位證人使用計算機的情況。 

除了對計算機系統(tǒng)本身的探究之外，對每位證人使用計算機的情況也必須加以詢問。使用計算機的熟練程度因人而異，差別很大。

了解每位證人如何使用他（或她）的計算機、如何管理和儲存資料將幫助我們找到那些在指向總體計算機系統(tǒng)的搜尋中未能發(fā)現(xiàn)的一些資源。這種搜尋不能忽視重要證人的秘書和輔助人員，因為通常證人的文件會存在他（或她）的助理人員的計算機上。 

還有一個最容易被人們忽視的電子證據(jù)的來源，那就是家用電腦。 

辦公用計算機上的資料進入家用電腦的途徑有兩種：

一是通過磁盤或其他便攜式介質(zhì)轉(zhuǎn)移；

二是雇員被允許從家用電腦上登陸公司的網(wǎng)絡。

在后面一種情況下，家用電腦就如同該雇員所在公司里的一個工作站。

收集證據(jù)的過程中，關鍵是要查明證人是否在家里工作以及數(shù)據(jù)是如何在家用電腦和公司電腦間轉(zhuǎn)移的。 

掌上型電腦設備和筆記本電腦是證據(jù)的又一來源。掌上型電腦設備包括電子通訊簿以及象蘋果公司生產(chǎn)的“牛頓”和國產(chǎn)的“商務通”這類功能更為強勁的產(chǎn)品。

除了存儲日歷和聯(lián)絡信息之外，這類設備還有記事和接收郵件等功能。比這些設備性能更為優(yōu)越的當屬筆記本電腦了。

筆記本往往被幾位用戶共同使用。雖然筆記本電腦可能不是證人的主要工作站，但它仍然會包含一些重要的信息。

因此，一定要了解證人對掌上型電腦設備和筆記本電腦的使用情況以及這些設備中存儲了哪些資料。

4．制作鏡像拷貝。 

大家都知道，被刪除的文件或其他“殘留”數(shù)據(jù)可在硬盤驅(qū)動器和軟盤上得到恢復。如何才能獲得這些資料呢？要回答這個問題，首先讓我簡要的解釋一下為什么會存在“殘留”數(shù)據(jù)。 

使用計算機進行工作時，“刪除”這個詞并不意味著消滅。

當一個文件被刪除時，計算機把這個文件占有的空間配置給新的數(shù)據(jù)。

所謂“刪除”是指從目錄列表和文件配置桌面上移走，但在被新的數(shù)據(jù)改寫或是被實用軟件“擦”去之前，這些文件的全部內(nèi)容依然保留在硬盤里。

所以，一個被刪除的文件仍然可以在磁盤表面恢復。殘留數(shù)據(jù)就包括被刪除的文件、被刪除的文件碎片和其他存在于磁盤表面的數(shù)據(jù)。

為確保得到這些殘留數(shù)據(jù)，你必須對目標驅(qū)動器做鏡像拷貝。相比之下，文件對文件的拷貝（僅選擇你想要復制的文件）只能捕捉到選定的特定文件中的數(shù)據(jù)。

即使選擇了全部文件，文件對文件的拷貝也不能捕捉到任何殘留數(shù)據(jù)。