标签:
有趣的是,倘若证物曾有进行碎片整理的痕迹,可不代表使用者就必然是心怀不轨,有做”坏事”哦~ 换言之,取证人员不能见猎心喜,”看到影子就开枪”,徒贻笑大方。取证人员要秉持科学办案,不能只以”入人于罪”为出发点,毕竟取证可是良心事业,以下我们就来探讨一下碎片整理对证物的”致命”影响。
用户常跟IT人员或网管抱怨,”工作站跑的很慢怎么工作???”最常见的处理方式除了用优化软件外,就是使用系统自带的碎片整理功能了。
在使用计算机过程,会产生各种类型文件及暂存文件,再加上使用者的增删修改等操作,躺在硬盘中的文件会有离散不连续的状况产生,因此会造成应用程序或文件操作上变的迟缓。此时若进行碎片整理通常可以改善数据不连续的状况,加快访问速度。
但这对取证人员来说,恐怕就会是个不太好的消息了,怎么说呢?因为Windows文件系统的特性,文件被删除后,只是被注记该文件的数据所占据的空间可被释放,但在被新的数据覆盖之前,原有数据仍会存在,这对取证人员来说是非常重要的线索。倘若一旦用户对证物进行过碎片整理,数据便会进行搬移以集中,而那些被删除文件的数据便可能因此遭到覆盖了。
要如何看出证物曾有进行过碎片整理呢?静态方面可透过检视prefetch的方式,动态方面则可以LiveView将证物硬盘”开机”,便可直接在接口中查看是否曾碎片整理及上一次运行是何时等等。
标签:
原文地址:http://www.cnblogs.com/pieces0310/p/5423867.html