計算機現(xiàn)場取證系統(tǒng)
發(fā)布時間：2022-06-17 17:23計算機現(xiàn)場取證系統(tǒng)（簡稱：SafeImager）是國內(nèi)第一款自主研發(fā)的針對計算機現(xiàn)場取證的工具類軟件。現(xiàn)場取證系統(tǒng)以光盤、U盤或硬盤為載體，支持直接在取證對象計算機（macOS和Windows系統(tǒng)計算機）上運行取證程序或者離線啟動取證對象計算機進行數(shù)據(jù)獲取。操作簡單，便于調(diào)查者現(xiàn)場快速的獲取對象計算機中的電子數(shù)據(jù)，完成計算機的現(xiàn)場取證。 計算機現(xiàn)場取證系統(tǒng)獲取的電子數(shù)據(jù)支持在多種（SafeAnalyzer、Encase、FTK）分析軟件中做深度分析，且支持計算獲取的電子數(shù)據(jù)的校驗值，輔助取證的截屏、錄像取證功能，可完整的記錄取證過程，確保獲取數(shù)據(jù)的原始性和勘驗過程的可追溯性。
用戶價值丨CUSTOMER VALUES
跨平臺的取證產(chǎn)品
現(xiàn)場取證系統(tǒng)支持在Windows、macOS、Linux三大系統(tǒng)平臺上運行和取證。
macOS在線取證
現(xiàn)場取證系統(tǒng)（SafeImager）的macOS在線取證能是國內(nèi)首先推出的針對蘋果計算機的在線取證功能。此功能，是非常實用的，不僅解決了蘋果計算機需要拆機取證的問題，還解決了取證數(shù)據(jù)分析難的問題。
多種文件過濾方式并用
現(xiàn)場取證系統(tǒng)默認了數(shù)據(jù)庫、圖片、多媒體、文檔和應用程序數(shù)據(jù)庫五類文件的默認過濾，支持對五類文件的過濾內(nèi)容進行編輯，內(nèi)置多重邏輯過濾器，支持基于文件屬性的多重邏輯過濾。
靈活的數(shù)據(jù)提取策略
現(xiàn)場取證系統(tǒng)采用基于案件類型的數(shù)據(jù)提取策略。電子數(shù)據(jù)調(diào)查人員在取證前會填寫案件信息，當選擇一個案件類型后，取證軟件會根據(jù)選擇的案件類型確定默認的數(shù)據(jù)提取項，且支持現(xiàn)場修改提取項。 數(shù)據(jù)提取策略是根據(jù)公安行業(yè)一線取證技術人員十多年的從業(yè)經(jīng)驗制定的策略，不僅可以快速確定提取項，而且此策略還可以指導一線取證技術人員了解不同案件類型應該主要獲取哪些數(shù)據(jù)。 數(shù)據(jù)提取策略支持編輯默認策略內(nèi)容和新增策略?？梢詽M足不同用戶對象的需求。
適用場景多
現(xiàn)場取證系統(tǒng)具備完整的現(xiàn)場取證功能需求，電子數(shù)據(jù)調(diào)查人員可以此軟件對現(xiàn)場計算機設備進行現(xiàn)場勘驗取證，并生成和打印報告，現(xiàn)場取證人員、被調(diào)查人員和見證人員簽名存檔。 我們知道，現(xiàn)今的高度集成的一體化計算機（主要是筆記本）設備在用戶群體中占有很大比例，電子數(shù)據(jù)調(diào)查案件面對此類設備的情況也越來越多。此類設備集成高、難拆卸的共同特點給取證帶來一些阻礙。現(xiàn)場取證系統(tǒng)的多種取證模式可以有效的解決此類問題。
產(chǎn)品功能丨PRODUCT FUNCTIONS
離線取證（Offline）
現(xiàn)場取證系統(tǒng)的離線取證（Offline）是通過離線的方式啟動取證對象計算機，支持Windows、macOS和Linux三大系統(tǒng)計算機的數(shù)據(jù)取證。
在線取證（Online）
Windows在線取證場景不僅支持離線取證（Offline）的所有功能，還支持內(nèi)存數(shù)據(jù)取證和系統(tǒng)正在運行的易失數(shù)據(jù)（賬戶密碼、用戶記錄和動態(tài)網(wǎng)絡數(shù)據(jù)等）取證。
基于案件類型的數(shù)據(jù)提取策略
現(xiàn)場取證系統(tǒng)根據(jù)不同案件類型對應不同的數(shù)據(jù)提取策略。電子數(shù)據(jù)調(diào)查人員新建案件時選擇的案件類型，將會成為取證程序選擇數(shù)據(jù)提取策略的依據(jù)。數(shù)據(jù)提取策略包含活動記錄和文件提取兩塊內(nèi)容。默認策略可在維護工具中編輯和配置。
截屏與錄屏取證
現(xiàn)場取證系統(tǒng)支持截圖與錄屏取證。便于電子數(shù)據(jù)調(diào)查人員記錄取證的所有過程，做到取證過程可追溯。
勘驗報告
現(xiàn)場取證系統(tǒng)的報告頁面支持動態(tài)生成包含完整取證數(shù)據(jù)的勘驗報，電子數(shù)據(jù)調(diào)查人員可以對報告內(nèi)容進行預覽，最終可以根據(jù)選擇內(nèi)容導出最終版的現(xiàn)場勘驗報告。
產(chǎn)品維護工具
現(xiàn)場取證系統(tǒng)分為取證軟件和維護軟件兩個模塊，維護軟件支持對取證軟件的案件管理、默認配置、維護升級和證據(jù)盤擦除功能。
產(chǎn)品優(yōu)勢丨PRODUCT ADVANTAGE
離線文件系統(tǒng)解析技術
現(xiàn)場取證系統(tǒng)采用離線文件系統(tǒng)解析和調(diào)用系統(tǒng)API兩種方式讀取硬盤中的文件，根據(jù)不同場景使用不同的文件讀取方式。最主要的還是離線文件系統(tǒng)解析，因為所有功能基本都是基于離線文件系統(tǒng)解析技術實現(xiàn)的。
離線文件系統(tǒng)解析技術支持現(xiàn)今主流的文件系統(tǒng)格式的解析，包含F(xiàn)AT32、NTFS，HFS、HFS+、APFS等等。
斷點續(xù)傳技術
計算機固定基本都是采用創(chuàng)建鏡像或者磁盤克隆的方式固定證據(jù)。如今的計算機硬盤存儲空間都非常大，由于I/O的讀寫速度，數(shù)據(jù)傳輸接口的傳輸速度等技術原因，任何取證工具在獲取全盤數(shù)據(jù)的時候，都需要很多時間。在漫長的固定證據(jù)過中，很容易出現(xiàn)中斷等問題，現(xiàn)場取證系統(tǒng)通過監(jiān)控和記錄固定證據(jù)的全過程，如果出現(xiàn)中斷的問題，支持從中斷位置開始，繼續(xù)未完成的證據(jù)固定。這避免了出現(xiàn)中斷又要重新開始的問題。
壞道處理技術
磁盤壞道是最長常見的磁盤故障。現(xiàn)場取證系統(tǒng)采用了壞道修復、不能修復跳過等壞道處理技術。這項技術的采用避免因磁盤壞道而造成磁盤數(shù)據(jù)無法固定的現(xiàn)實問題。