一、前期准备工作

现在有很多操作系统，应该尽量在软件包中准备那些可以跨越这些平台进行取证的工具。同时遵循一个原则，尽量避免使用图形界面（GUI）程序，这类程序必须在操作系统处于运行状态的时候使用，而且对内存和存储介质的操作远比命令程序复杂，如果在被调查机器上启动了这类程序，就不能确定是否会令证据发生变化，尽管具有丰富功能的复杂软件通常都是GUI形式的。国外有以Logicube公司产品为代表的手持式取证设备，这些产品在复制数据的时候速度很快，具备了丰富的接口，可以应付各种取证要求，而且便于携带，为计算机取证人员提供了很大的帮 ......