GA_T 1564-2019法庭科学 现场勘查电子物证提取技术规范.pdf

ICS _13.310A 92GA中华人民共和国公共安全行业标准GA/T 1564—2019法庭科学现场勘查电子物证提取技术规范Forensic sciencesTechnical specifications for collection ofelectronic evidence during scene investigation2019-05-27发布2019-05-27实施中华人民共和国公安部发布 GA/T 1564—2019前言本标准按照GB/T1.1—2009给出的规则起草，请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国刑事技术标准化技术委员会(SAC/TC179)归口。本标准起草单位：北京市公安司法鉴定中心、公安部物证鉴定中心，本标准起草人朱秀云、姚波、贾永生、宋润、汤瑾明、邢桂东。- GA/T 1564—2019法庭科学现场勘查电子物证提取技术规范1范围本标难规定了案（事)件现场助查中电子物证提取的技术方法。本标准适用于法庭科学领域中电子物证现场提取。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不往日期的引用文件，其必威体育精装版版本（包括所有的够改单)适用于本文件。GB/T29360—2012电子物证数据恢复检险规程GB/T 29362—2012电子物证数据按索检验规程GA/T 1069—2013法庭科学电子物证手机检验技术规范3术语和定义下列术语和定义适用于本文件。3.1电子物证现场提取scene collection of electronic evidence对案（事）件现场及其场所电子物证的发现、固定、收集的过程。3.2易失性数据volatile data存在于网络中传输的数据或运行于计算机等电子设备中随电源切断或关机而消失的数据，3.3在线提取electronic evidence collection online在目标系统运行的情况下，获取目标系绕中的电子数据的过程，3.4远程动验remote inspection通过网络对远程目标系统实施勘验，以提取、固定远程目标系统的状态和存留的内容，3.5手机信号屏蔽设备mobile phone signal shielding device对手机通信信号进行隔离，阻断手机通信的专用设备。3.6保全备份设备safe backup device对存储介质中的原始数据进行完整、精确、无损备份的设备。3.7只读设备read-only device对接入的存储介质具有写保护功能的设备。- GA/T 1564—20194现场提取设备4.1硬件照录像设备、电子物证现场勘查箱、手机信号屏蔽设备、手机屏散箱（袋）、手机取证设备、伤真设备、保全备份设备、专用存储介质、便携式计算机、打印机等。4.2软件综合取证分析软件、手机取证分析件、伤真款件、在线取证软件、免安装和免系统注册软件等，5电子物证现场实物提取5.1计算机物证提取5.1.1关机状态的提取5.1,1.1对物证进行唯一性编号。对物证的连线及设备接口一对一进行唯一性编号。5.1,1.3对现场进行拍照或录像，包括物证的品牌、唯一性编号等信息。5.1,1,4绘制网络拓扑图。5.1.1,5拆除物证设备间连线及电源线。封存物证。5.1.2开机状态的提取对物证进行唯一性编号。对现场、屏幕进行拍照或录像。对有屏必威体育官网网址码的设备应现场获取成使用免安装和免系统注册软件解除密码，对获取的密码应验证并记录，不能解除屏必威体育官网网址码时，应先关闭物证设备，再按照~步票执行。4使用在线取证软件在线提取易失性数据，保存在有唯一性编号的专用存储介质中，并计算、记录哈希值。5应查看硬盘分区状况、文件显示属性，并进行记录。5.1,2.66接人互联网的设备，应查看正在运行的测览器、QQ等软件设置，关闭软件退出即自动剩除数据的功能设置；若虚报机、VPN等特殊软件正在运行，应记录使用状态，并记录本环境所处接人互联网中的 IP,记录物证的系绕时闻和北京时间，对正在运行的有密码保护的数据进行提取，保存在有唯一性编号的专用存储介质中，并计算、记录哈希值；记录有密码的设备、软件、载体；现场获取或解除密码，对获取的密码应验证并记录。记录数据提取路径和保存的路径。0关闭物证设备操作如下：对于切断电源不会导致数据损坏的物证，可直接切断电源；对于切断电源会导致数据损坏的物证，应按正带步骤关阔，1按照~5.1.1,5步骤执行，2封存物证和专用存储介质。N GA/T 1564—20195.2手机物证的实物提取5.2.1关机状态的提取5.2.1,1对物证进行唯一性编号。对现场进行拍照或录像，包括物证的品牌、唯一性特征等信息。获取加密设备、加密扩展存储卡等密码。对获取的密码应验证并记录，