來(lái)源：瘋?cè)穗s說(shuō)

ID：YCWD_Lzl

作者：@煙草味道

一、電子取證永遠(yuǎn)不要被工具束縛

到今天，還有人會(huì)時(shí)不時(shí)問(wèn)瘋?cè)?，你平時(shí)工作取證喜歡用什么軟件？回頭想想，其實(shí)瘋?cè)艘步?jīng)歷過(guò)工具引導(dǎo)工作的階段。剛接觸電子取證，可能會(huì)接觸一到兩種綜合取證工具，然后會(huì)聽(tīng)到、見(jiàn)到各種綜合取證工具，糾結(jié)于到底用什么軟件取證能取到令人滿意的效果，要不就糾結(jié)于這個(gè)我還不會(huì)用，那個(gè)我還不會(huì)用，怎么辦啊。我覺(jué)得這是入這行的必經(jīng)階段，不過(guò)隨著辦案的增多，經(jīng)驗(yàn)的積累，后來(lái)你會(huì)發(fā)現(xiàn)，電子取證的本質(zhì)就是電子發(fā)現(xiàn)，是完成取證目標(biāo)，而不是哪種工具能達(dá)到目標(biāo)，真正的牛人給他一個(gè)二進(jìn)制編輯器就能完成絕大多數(shù)工作。

不過(guò)這只是在說(shuō)取證本質(zhì)，實(shí)際工作中還是需要用工具去達(dá)到目標(biāo)，因?yàn)檫@樣會(huì)大大提升效率。電子取證不能有工具萬(wàn)能論的觀點(diǎn)，也不能有工具無(wú)用論的看法：不能只會(huì)使用一種工具，也不能摒棄一種工具，實(shí)務(wù)中往往需要根據(jù)案件的具體情況，從委托需求出發(fā)，綜合運(yùn)用不同的取證工具，來(lái)達(dá)到取證目標(biāo)，當(dāng)然很多情形是工具無(wú)法完成的，這就需要真正發(fā)揮人的主觀能動(dòng)性，去手工做一些工作，這對(duì)取證人員就有較高的要求了。

總之，取證工具五花八門，廠商對(duì)自己產(chǎn)品的宣傳也是天花亂墜，這時(shí)候您要保持冷靜，沒(méi)有一個(gè)廠家的工具是萬(wàn)能的，當(dāng)然也是各有特色的，這還需要您從案件出發(fā)，別讓工具束縛了自己，而是要輕松駕馭各種工具。

二、電子取證永遠(yuǎn)不要在取證前對(duì)結(jié)果下定論

總有辦案人會(huì)這么問(wèn)：嫌疑人說(shuō)電腦里有這個(gè)文件，不過(guò)他刪除了，還能恢復(fù)嗎？嫌疑人手機(jī)里的微信聊天記錄能恢復(fù)嗎？此時(shí)作為取證人員，在取證之前，永遠(yuǎn)不要給對(duì)方肯定的答復(fù)。因?yàn)槿∽C前取證人并不知道嫌疑人的電腦、手機(jī)究竟是怎么使用的。

就拿電腦來(lái)說(shuō)，磁盤(pán)的存儲(chǔ)原理、文件系統(tǒng)機(jī)制、操作系統(tǒng)的原理等等注定了在操作系統(tǒng)層面數(shù)據(jù)被刪除具備恢復(fù)的可能。但是，取證人在取證前并不知道電腦的使用者在刪除文件后具體還做了什么操作，計(jì)算機(jī)操作系統(tǒng)默認(rèn)打開(kāi)了什么磁盤(pán)管理機(jī)制，被刪除的數(shù)據(jù)會(huì)以怎樣一個(gè)狀態(tài)存在于磁盤(pán)上，誰(shuí)也說(shuō)不好。因此，取證前無(wú)法給出一個(gè)肯定或者否定的結(jié)論，取證結(jié)論要隨著取證工作的展開(kāi)來(lái)給出。

三、永遠(yuǎn)不要試圖僅依靠電子取證去證明人物所屬

總有辦案人會(huì)跟瘋?cè)颂岢鲞@樣的需求：證明某臺(tái)電腦或者手機(jī)是某人的。對(duì)不起，得不到這樣的結(jié)論。因?yàn)?/span>僅僅依靠電子數(shù)據(jù)你無(wú)法判斷某一臺(tái)電腦或者手機(jī)究竟是屬于一個(gè)人還是一條狗。電子取證的結(jié)果是對(duì)某一取證對(duì)象提取出來(lái)數(shù)據(jù)的客觀呈現(xiàn)，而單憑這些數(shù)據(jù)去證明取證對(duì)象的所屬關(guān)系，這是不可能的，取證人只能告訴你提取出的這些數(shù)據(jù)具備什么特征，可以重點(diǎn)關(guān)注什么。后續(xù)需要做的事情還要委托取證的人去做。

例如，某盜竊案，嫌疑人偷了張三的筆記本電腦，辦案人委托對(duì)起獲的筆記本電腦進(jìn)行取證來(lái)確認(rèn)電腦就是張三的，對(duì)不起，取證人員給不出這樣的結(jié)論。那可以給出怎樣的結(jié)論呢？取證人員可以對(duì)電腦的文件進(jìn)行恢復(fù)、搜索、分析，提取其中的個(gè)人文檔、圖片、即時(shí)通訊工具的注冊(cè)人信息等等客觀呈現(xiàn)出來(lái)，并可以對(duì)提取數(shù)據(jù)的關(guān)注程度為辦案人提供一些指導(dǎo)。至于后續(xù)，那是辦案人的事情了。

四、取證技術(shù)永遠(yuǎn)滯后于產(chǎn)品的安全技術(shù)

圈里人都知道，總有人會(huì)預(yù)測(cè)電子取證的發(fā)展趨勢(shì)，但永遠(yuǎn)預(yù)測(cè)不了下一步電子取證技術(shù)的細(xì)節(jié)應(yīng)該是什么。因?yàn)殡娮尤∽C技術(shù)永遠(yuǎn)滯后于取證對(duì)象的安全技術(shù)，電子取證永遠(yuǎn)是去破解產(chǎn)品的安全。目前電子取證絕大多數(shù)情況還是對(duì)電腦、手機(jī)的取證，有的時(shí)候是利用某個(gè)漏洞達(dá)到取證目標(biāo)，而不論是電腦還是手機(jī)制造商，對(duì)于數(shù)據(jù)的態(tài)度永遠(yuǎn)是保護(hù)消費(fèi)者的隱私和數(shù)據(jù)安全，而不是便易司法取證工作。

總有一些廠商，當(dāng)突破了某個(gè)技術(shù)難點(diǎn)，采用某個(gè)漏洞完成了對(duì)特定產(chǎn)品的取證，就會(huì)大肆宣傳，結(jié)果沒(méi)多久產(chǎn)品的生產(chǎn)廠商就會(huì)輕而易舉的堵住這個(gè)漏洞，你的取證技術(shù)失效了。彌補(bǔ)一個(gè)漏洞可能只需要一周，突破一款產(chǎn)品的取證可能需要幾個(gè)月甚至更長(zhǎng)。電子取證技術(shù)的發(fā)展就是電子產(chǎn)品廠商和取證廠商的一種博弈，矛盾之爭(zhēng)，只不過(guò)加固盾牌可能很快，但是磨利矛鋒可能很久。所以瘋?cè)丝傁雽?duì)某些取證廠商說(shuō)，技術(shù)進(jìn)步可喜可賀，不過(guò)沒(méi)必要什么場(chǎng)合下都嘚瑟。

五、永遠(yuǎn)不要指望一個(gè)取證人員精通所有取證技術(shù)

瘋?cè)藢W(xué)計(jì)算機(jī)出身，工作后干的還是這一行，總有人咨詢計(jì)算機(jī)相關(guān)的問(wèn)題，回答不上來(lái)的時(shí)候多的是，可是這會(huì)兒對(duì)方會(huì)說(shuō)一句，你不是學(xué)計(jì)算機(jī)的嗎？每每聽(tīng)到這句話，瘋?cè)颂貏e想樂(lè)，不過(guò)可以理解，不知者不怪。一句你不是學(xué)計(jì)算機(jī)的嗎？就好像學(xué)計(jì)算機(jī)的人能解決涉及計(jì)算機(jī)的所有問(wèn)題，明確說(shuō)，這是一個(gè)認(rèn)知誤區(qū)！計(jì)算機(jī)科學(xué)是一個(gè)學(xué)科的統(tǒng)稱，下面涉及的領(lǐng)域太多了，有研究硬件的就有研究軟件的，有研究集成的就有研究部署的，有研究數(shù)據(jù)庫(kù)的就有研究互聯(lián)網(wǎng)的，有研究網(wǎng)絡(luò)安全的就有研究黑客攻擊的，當(dāng)然有玩概念的也有鉆技術(shù)的。你不能指望一個(gè)學(xué)計(jì)算機(jī)的精通計(jì)算機(jī)所有的領(lǐng)域，這是扯淡。

放到電子取證中一樣，電子取證說(shuō)白了還是玩計(jì)算機(jī)的，玩信息技術(shù)的。因此一個(gè)取證人員不可能精通所有取證技術(shù)。不過(guò)話說(shuō)回來(lái)，電子取證人員一般都能適應(yīng)絕大多數(shù)取證需求和場(chǎng)景，那是因?yàn)橛懈黝惞ぞ哂枰暂o助，這并不高深，就像使用辦公軟件一樣，會(huì)用取證軟件就能完成基本的取證工作，這也是為什么一些非計(jì)算機(jī)學(xué)科出身的人也能干取證的原因。但是能完成取證不代表能做精做好取證工作，通過(guò)工具完成取證工作，誰(shuí)都一樣。不過(guò)想把某一個(gè)領(lǐng)域取證搞精成為高手，沒(méi)有相關(guān)的知識(shí)背景和大量的案件喂著那是不可能的；想把所有領(lǐng)域都高精，成為全天候的專家那也叫胡扯。

六、永遠(yuǎn)不要中斷學(xué)習(xí)，取證要知其所以然

有句特俗但是特別有道理的話：干中學(xué)，學(xué)中干。上面瘋?cè)苏f(shuō)了，完成取證不代表能做精做好取證工作，通過(guò)工具完成取證工作，誰(shuí)都一樣。一名普通取證技術(shù)人員遇到一個(gè)案子取證完了也就完了，是謂知其然；一名好的取證技術(shù)人員會(huì)把每個(gè)案子當(dāng)成藝術(shù)去看待，完成一個(gè)案子就是完成了一件藝術(shù)品，心里還會(huì)自己?jiǎn)枮槭裁?，為什么?huì)得到這樣的結(jié)果，其最底層的原理是什么，是謂知其然亦知其所以然。一名普通的取證技術(shù)人員做完一個(gè)案子，機(jī)械完成一個(gè)任務(wù)，或許不會(huì)留下什么記憶；一名好的取證技術(shù)人員遇到案子，當(dāng)是自己熟悉的領(lǐng)域，做完后會(huì)把經(jīng)驗(yàn)積累起來(lái)，遇到未知或者陌生的領(lǐng)域，即使取證工具可以完成工作，也會(huì)在取證過(guò)程中大量翻閱資料，變未知為已知，變陌生為熟悉，不斷提升自己的水平。

信息技術(shù)每天都在發(fā)生日新月異的變化，搞計(jì)算機(jī)的不學(xué)習(xí)，打個(gè)盹可能就落后了。電子取證說(shuō)白了還是玩計(jì)算機(jī)，所以既然入了這行，何不讓自己的水平越來(lái)越高呢？您說(shuō)是吧。有個(gè)名詞叫什么來(lái)著？對(duì)了，匠人精神，電子取證是手藝活，而且每個(gè)案子在取證前都是未知的，都是新的挑戰(zhàn)，為什么不把每個(gè)機(jī)會(huì)利用好，好好學(xué)習(xí)呢，在把每一個(gè)案子做成藝術(shù)品的同時(shí)提升自我的能力，何樂(lè)而不為啊。搞電子取證是個(gè)需要耐住寂寞的活兒，屁股得沉，得能坐得住，靜下心，學(xué)習(xí)也得真學(xué)，決不能天天炒概念，吹牛逼。

七、永遠(yuǎn)不要只從技術(shù)角度看取證，取證要有創(chuàng)造性

說(shuō)起電子取證，都會(huì)說(shuō)這是技術(shù)活?？墒钦嬲诺綄?shí)務(wù)中，僅僅依靠技術(shù)并不能解決所有問(wèn)題，電子取證除了要有技術(shù)之外，還需要有一定的偵查思維，想象力和代入感。換句話說(shuō)，有的時(shí)候要跳出技術(shù)看取證，突破思維定式，回溯取證對(duì)象使用者的使用行為，分析其性格特點(diǎn)，重建基于取證對(duì)象的虛擬場(chǎng)，要有一定的取證創(chuàng)造性。

瘋?cè)擞H歷過(guò)一個(gè)案子，需要破解嫌疑人的某個(gè)密碼，而這個(gè)密碼嫌疑人也深知其重要性，拒不供述。綜合運(yùn)用了目前所有的技術(shù)手段，要么無(wú)法破解，要么需要不現(xiàn)實(shí)的時(shí)間成本，沒(méi)有任何意義，可這又是案件的關(guān)鍵證據(jù)，無(wú)奈之下，瘋?cè)撕托』锇閭円黄鸱喚碜冢瑥南右扇说墓┦鲋腥〔檎矣杏眯畔⒑托袨榱?xí)慣，功夫不負(fù)有心人，我們發(fā)現(xiàn)雖然沒(méi)有供述需要的密碼，但是嫌疑人供述了其他一些應(yīng)用的用戶名和密碼，且其常年使用相似密碼。于是我們整理這些有用的信息，排列組合，最終破解了嫌疑人密碼，獲得案件關(guān)鍵證據(jù)。所以電子取證決不能把自己禁錮在技術(shù)上，被工具所左右，要充分發(fā)揮自身的想象力（不是胡思亂想）和創(chuàng)造力去解決問(wèn)題。每當(dāng)這個(gè)時(shí)候，你會(huì)發(fā)現(xiàn)山窮水盡疑無(wú)路，柳暗花明又一村。

八、永遠(yuǎn)不要認(rèn)為電子數(shù)據(jù)是冰冷的，它有溫度有生命

多少個(gè)案子，瘋?cè)藦南右扇穗娔X中的上網(wǎng)記錄可以看到案發(fā)前嫌疑人的匆忙和絕望，多少個(gè)案子，可以從嫌疑人手機(jī)中的通信記錄、聊天記錄看到嫌疑人的氣急敗壞和窮兇極惡，多少個(gè)案子，可以從數(shù)據(jù)庫(kù)中看到嫌疑人自以為高明的愚蠢行為。   

從檢材中收集提取的電子數(shù)據(jù)往往是取證對(duì)象使用者留下的電子痕跡，永遠(yuǎn)不要認(rèn)為這些數(shù)據(jù)是冰冷的，其實(shí)它是活的，是有溫度的。一個(gè)案子中收集來(lái)的電子數(shù)據(jù)可以描繪一個(gè)人的行為軌跡、內(nèi)心活動(dòng)、性格特點(diǎn)甚至隱私怪癖。電子取證是取證人員通過(guò)取證對(duì)象和其使用者在對(duì)話，而且最關(guān)鍵的是電子數(shù)據(jù)不會(huì)說(shuō)謊。

電子取證說(shuō)到底是個(gè)手藝活兒，深諳了其中的道道兒，最起碼掌握了一門吃飯的手藝，走到哪兒都不至于餓著肚子。

電子取證全面興起也就一二十年的時(shí)間，這里面的道道兒絕不僅僅就瘋?cè)苏f(shuō)的這幾個(gè)，而且這只是瘋?cè)俗约旱母形?，別人會(huì)不會(huì)這么想，瘋?cè)瞬恢馈＿€有就是有的道道兒也實(shí)在不方便拿到公開(kāi)場(chǎng)合來(lái)說(shuō)，看官自行體會(huì)吧……別問(wèn)，問(wèn)了瘋?cè)艘膊恢馈?/span>