GA_T 1977-2022CN法庭科学 计算机内存数据提取检验技术规范.pdf

ICS13.310CCS A 92GA中华人民共和国公共安全行业标准GA/T 1977—2022法庭科学计算机内存数据提取检验技术规范Forensic sciences—Technical specifications for computer memory data extraction2022-02-18发布2022-06-01实施中华人民共和国公安部发布 GA/T 1977—2022前言本文件按照GB/T1.1一2020标准化工作导则第1部分：标难化文件的结构和起章规则》的规定起草，请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任，本文件由全国刑事技术标准化技术委员会电子物证检验分技术委员会（SAC/TC179/SC7)提出并妇口，本文件起草单位：公安部第三研究所、公安部网络侦察技术研发中心、公安部物证鉴定中心、司法鉴定科学研究院、大连市公安局、河北省公安厅、中国刑事警察学院、渐江省公安厅刑锁总队，本文件主要起草人吴松洋、杜琳、翟晓飞、郭丽莉、郭弘、施少培、刘浩阳、韩马剑、罗文华、金美顺。- GA/T 1977—2022法庭科学计算机内存数据提取检验技术规范1范围本文件规定了法庭科学领域计算机中的内存数帮取检验方法的设备、提取检验步骤、检验结果表述本文件适用于法庭科学领域中对计算机内存数据的提取检验。22规范性引用文件下列文件中的内容通过文中的规范性引用而构成文件必不可少的条款。其中，注日期的引用文件仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件，GB/T 29360电子物证数据恢复检验规程GB/T29362电子物证数据搜索检验规程GA/T 756法庭科学电子数据收集提取技术规范GA/T 976电子数据法庭科学鉴定通用方法GA/T 1174电子证据数据现场获取通用方法GA/T 1568法庭科学电子物证检验术语3术语和定义GB/T 29360,GB/T 29362,GA/T 756,GA/T 976,GA/T 1174,GA/T 1568 界定的以及下列术语和定义适用于本文件。3.1计算机内存computer memory计算机中的随机存储器，用于暂时存储CPU中的运算数据以及与硬盘等外部存储器交换的数据，3.2内存镜像memory mirroring将内存数据采用位对位拷贝方式生成的数据文件。4设备4.1硬件电子物证检验工作站、只读接口设备、专用存储介质等。4.22软件内存提取软件、电子数据取证综合分析软件， GA/T 1977—2022数据提取5.1操作步象5.1.1检材编号对待检计算机进行唯一性编号。5.1.2检材拍照对待检计算机加上唯一性编号后进行拍照。5.1.3提取内存数据待检计算机应处于开机状态，若待检计算机处于睡眠或休眠状态，宜晃动鼠标或点击键盘上非输人型按键，会试唤醒。若待检计算机需账户登录，应使用提供的用户名和密码登录，5.1,3.2在待检计算机上运行内存提取软件，对物理内存进行位对位复制，生成内存镜像，记录待检计算机的类型、型号和操作系统信息，核对并记录待检计算机时间与标准时间的时差。将提取的内存镜像保存在专用存储介质中，并计算完整性校验值。6数据检验6.1操作步骤6.1,1检材编号对保存内存镜像的存储介质进行唯一性编号，6.1.2检材拍照对保存内存镜像的存储介质加上唯一性编号后进行拍照。6.1.3检验内存数据启动电子物证检验工作站并进行全盘杀毒，使用电子物证检验工作站加载并验证内存镜像完整性校验值。使用电子数据取证综合分析软件进行检验，6.2检出数据保存将检出数据采用封盘刻录方式刻录在不可擦写的空白光盘上或者保存在专用存储介质中，并计算检出数据的完整性校验值。7检验结果表达根据内存数据提取检验步案阐述检验结果，可以包括以下内容：a)内存镜像数据提取的实现情况；b)内存镜像的检出数据；2 GA/T 1977—2022检验结果分为检出、未检出、不具备检验条件3种；检验结果应根据检验需求对检验对象、检验范围、检验所得进行客观、概括、有针对性的描述；e)结果表速应包含检材编号、检出情况、检出数据文件或保存检出数据介质完整性校验值、保存检出数据介质编号等必要信息。 GA/T华人民共和国公共安全行业标准法庭科学计算机内存数据提取检验技术规范GA/T 1977—2022中国标准出版社出服发行北京市朝阳区和平里西街甲2号(100029)北京市西城区三里河北街16号(100045)网址 总编室：(010行中心：(010者服务部：（010国标准出版社泰皇岛印刷厂印剧各地新华书店经销开本880X12301/16印张0.5字数12千字2022年12月第一版2022年