第十一届CCFC计算机法证技术峰会(2015培训年会)

演讲主题：多源数据与大数据，虚拟身份的肖像刻画

电子数据取证是用于发现线索，揭示证据，打击犯罪的重要手段。实际案件中，电子证据可能会存在计算机、不同操作系统中移动设备中、网络服务器、虚拟网络中。数据分析会涉及到Windows、MacOS、Linux、iOS、Android、黑莓等不同的操作系统。未来，针对不同操作系统的数据、多设备之间的跨平台关联分析会逐渐成为取证技术的关注点。多源数据的协同处理、针对取证调查的大数据应用将会成为调查和取证分析的重点。本报告，将围绕Windows、MacOS操作系统和智能移动终端的多源数据的综合分析方法进行探讨。

演讲主题：时光机器-通过分析NTFS日志重现用户行为

实际案件中，调查员和鉴定人员经常要对用户的行为和系统的数据变化进行分析、鉴定。如何从不同源头的数据中发现线索，证明事件的发生和演变过程，一直是一个头痛的问题。通过对NTFS日志、元数据、注册表等不同数据的综合分析，调查员可以通过各种痕迹来还原事件的发生和发展过程。

演讲嘉宾：郭永健 Sprite Guo

资讯保安及法证公会(ISFS)中国大区联络官

中国电子学会计算机取证专家委员会委员

取证中国论坛MacOS取证 版主

北京天宇宁科技有限公司 CEO/CTO

武汉流火科技有限公司 CEO/CTO

郭永健先生长期从事信息安全和电子数据的研究，于2005年创办 “CCFC计算机法证技术峰会”，为推动中国计算机取证 技术的国际交流和发展起到了重要的作用。此外，他还是是高科技犯罪调查协会亚太区分会中国大区联络官，中国政法大学法务会计研究中心客座研究员。 郭永健先生针对国内外计算机法证产品进行推广，是德国X-Ways Forensics、澳大利亚Nuix Investigator软件、韩国FinalData、FinalForensic软件，俄罗斯BelkaSoft IM Analyzer软件、俄罗斯Passware软件的汉化作者。译著有《iOS取证分析》，参与《电子数据取证》MacOS取证章节。编写取证实战系列丛书（待出版），包括《X-Ways Forensics取证分析实战》、《MacOS取证分析实战》、《电子邮件取证分析实战》、《Windows取证分析实战》、《手机取证分析实战》、《数据恢复实战》。主持开发了“星云邮件分析系统”、“星云手机取证系统”、“鉴证大师”、“MacOS智能分析系统”。 Sprite的取证培训课程以实战为主，已有的课程包括“苹果取证分析实战”（2天）、“电子数据取证分析实战”（5天）。

演讲主题：从实战角度看软件功能鉴定

刑法第286条规定故意制作传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的要受到刑法处罚。那么，怎么来判定是否是破坏性程序呢？这个时候，我们就需要对软件程序的功能做一个鉴定。本议题主要对windows和android平台的软件功能鉴定结合实例做一个简要的阐述。包括代码分析、反汇编、使用工具监控等。

演讲嘉宾：夏晓光 Peter Xia

取证中国论坛 管理员、版主（CNPeter）

资讯保安及法证公会(ISFS)会员

中国电子学会计算机取证专家委员会委员

安世盾信息技术（北京）有限公司

夏晓光，山西大同人，毕业于湖北警官学院。学习期间，跟随麦永浩教授做计算机取证研究实践，是麦教授的得意小助手，被评为湖北三真司法鉴定所电子取证重点实验室优秀小助手，参加了很多大学生竞赛，曾应邀到香港大学学习交流。中国电子学会计算机取证专委会微信群群秘，郭永健老师的六弟子，依旧在不断的成长中。主要研究方向为电子数据取证、恶意代码分析、网络渗透。参与编写《Windows取证分析实战》部分章节。

演讲主题：计算机内存证据分析和恶意代码检测

简要说明计算机内存证据分析技术的研究历史和基于KPCR结构的内存分析方法。之后，详细说明了内存分析技术在恶意代码检测中的优势，以及如何使用内存分析技术进行恶意代码检测。

演讲嘉宾：王连海 Lianhai Wang

山东省计算中心(国家超级计算济南中心)，二级研究员

山东省计算机网络重点实验室总工

山东计算机司法鉴定所负责人

王连海，山东省计算中心(国家超级计算济南中心)，二级研究员，山东省计算机网络重点实验室总工，山东计算机司法鉴定所负责人，硕士研究生导师，享受国务院政府津贴，山东省有突出贡献的中青年专家，山东省优秀科技工作者。主要研究方向为计算机取证、计算机网络安全。主持并参与国家级、省部级等各类科研项目二十多项目。获国家安全部科技进步三等奖2项，山东省科技进步一等奖1项、二等奖2项，三等奖3项。在核心刊物和国际会议上发表论文40多篇，其中SCI/EI索引30余篇，获得专利6项。研发的取证产品在某政法系统内全国范围内列装。

演讲主题：单机也有“大数据”？

进入2012年，大数据（Big Data）一词被越来越多地提及，人们用大数据来描述和定义信息爆炸时代产生的海量数据，业界关注的焦点也慢慢从IT转换到DT。

当电子数据的取证也越来越多地被冠以各种”大数据“名称，跟网络关联起来时，我们认为，取证业界有必要认真、负责、客观、严谨、专业、冷静地重新审视”大数据“的概念，简单来说，作为电子数据取证，大数据不仅仅是网络上的海量数据才称之为大数据，在单机环境中，也有不可忽视的”大数据“存在，如何从这些单机大数据中千淘万漉、吹尽狂沙、去伪存真，找到犯罪痕迹、准确溯源，是取证分析工作的重要一环。单机也有“大数据”将围绕以下内容展开：

1、单机大数据定义

2、单机大数据与网络大数据在取证分析中的区别和价值

3、单机大数据取证分析思路与方法

4、单机大数据取证分析实战应用

演讲嘉宾：陈虹宇 Hongyu Chen

中国电子学会计算机取证专家委员会 委员

工信部数据安全管理认证 讲师

成都驭奔科技有限公司 总经理

陈虹宇先生2003年开始从事计算机取证行业，曾在微软等知名企业任职，先后担任安全服务和渗透工程师、安全服务经理、资深讲师、技术总监、副总经理、总经理等职务，既有长期的一线实践经验，也有高级技术管理的从业背景，对计算机、智能终端、网络和大数据取证有浓厚的兴趣及深入透彻的研究。在2006年中国计算机取证峰会上，陈虹宇先生首次提出的计算机取证模型被业界广泛认同和接受。

历经多年的实战和技术积累之后，陈虹宇先生创建成都驭奔科技有限公司，公司从创立之初，即坚定地将“专注于研发具有中国自主知识产权的计算机取证产品”作为公司的定位和发展方向，坚持走中国自主知识产权的研发道路。

在陈虹宇先生的带领下，驭奔公司专注计算机、智能终端、网络和大数据取证方面的研究及产品研发，目前已拥有多项核心技术。

专注自主知识产权的计算机取证产品研发之余，陈虹宇先生还同本土的各类大专院校保持密切联系，宣传和普及取证知识，积极推动取证课程和专业在高校的设立，关注在高校范围培养计算机取证后备人才。陈虹宇先生愿与取证同行一道，共同推进中国电子数据取证技术和行业的健康快速发展。

演讲主题：银行卡盗卡器的取证

当你使用ATM机取款，当你POS机刷卡消费时，或许你的银行卡信息已被窃取了，并且马上被复制盗刷了。本报告将就目前已经发现的各种盗卡器的取证工作进行介绍，揭秘犯罪分子如何利用盗卡器获取用户的银行卡信息，并实施犯罪行为。

演讲嘉宾：郭弘 Helen Guo

公安部第三研究所 副研究员

上海辰星电子数据司法鉴定中心主管、授权签字人及司法鉴定人

中国电子学会计算机取证专家委员会 委员

担任上海辰星电子数据司法鉴定中心主管、技术负责人、授权签字人及司法鉴定人、全国电子物证分技术委员会专家委员、国家认可委实验室认可评审员、国家认可委能力验证评审员、上海市司法鉴定协会电子证据专业委员会委员，中国电子学会计算机取证专家委员会委员，公安部能力验证专家、司法部能力验证专家、上海市司法鉴定协会电子证据专业委员会委员。中国政法大学电子证据研究中心特聘研究员等多项职务。

负责起草了《电子数据法庭科学鉴定通用方法》、《移动终端取证检验方法》、《电子邮件检验技术方法》、《即时通讯记录检验技术方法》、《电子证据数据现场获取通用方法》、《软件相似性检验技术方法》、《网页浏览器历史数据检验技术方法》等多个公共安全行业标准以及《电子数据司法鉴定通用实施规范》《软件相似性检验实施规范》等多个司法鉴定技术规范。参与了公安部《电子数据取证》一书以及国家认可委《司法鉴定/法庭科学认可评价体系汇编》一书的编写。

荣获2010年-2012年“上海市优秀司法鉴定人”、第二届“鼎永杯”优秀司法鉴定文书评选三等奖、第一届“宋慈杯”优秀司法鉴定文书评选二等奖、王选新闻科学技术奖一等奖。

作为鉴定人处理了多起全国大案要案，包括全国最大的非法获取公民个人信息案、全国最大的涉外信用卡诈骗案等。完成的鉴定案件受到了多方好评，多起鉴定的案件在央视4套、10套、12套和上海电视台等地方台播出。

作为项目负责人主持了公安部科技强警基础工作专项项目“电子数据现场取证方法研究”、“即时通讯语音特征研究”等多个项目。作为核心骨干参与了国家发改委项目、科技部科技基础性工作专项项目、国家科技支撑计划、国家863计划课题，公安部项目等。

在全国互联网安全大会等多个取证会议上做报告，并给多处律协、上海市司法协会授课。

在《中国通信》、《中国司法鉴定》以及多个国际会议上发表了多篇与电子数据取证相关的论文，获得技术专利2项。

演讲主题：Volume Shadow Copy在取证实践中的应用

介绍在电子取证实践中发现并提取Volume Shadow Copy内容的通用方法，以及Volume Shadow Copy内容的在案件分析中的应用。

演讲嘉宾：胡壮 Strong Hu

取证中国论坛 创始人/ 坛主

资讯保安及法证公会(ISFS) 中国大区会员

福建中证司法鉴定中心

胡壮，现就职于福建中证司法鉴定中心。2013年以来，参与鉴定电子证据案件80余起，发表电子取证相关论文有 “Windows链接文件取证分析”、“MS OFFICE系列办公文档取证分析研究”， 2015年5月创立取证中国论坛，致力于在中国大陆地区促进电子取证从业人员技术交流，分享电子取证与司法鉴定实践经验及学习资源。主要研究方向为电子数据取证、手机取证，在Android手机取证及Windows系统取证方面有丰富的实践经验。参与编写《Windows取证分析实战》、《手机取证实战分析》部分章节。

演讲主题：如何应对当今的日益复杂的电子数据犯罪

对于使用传统的取证调查工具的调查员来说，他们经常会发现很难跟上时代发展的步伐。越来越多的文件格式和不同的设备，以及不断增长的数据量，都表明电子证据在变得越来越复杂，使用传统的取证分析工具已经无法应对。在本次报告和3小时的研习会中，你会了解到如何在取证调查中，更加简单有效，而不会更加复杂。你还可以学习到如何通过简单化、自动化、流程化的方法来分析日益复杂的数据。

1、Exchange和Note企业邮箱取证分析，企业邮件的调查、分析、分组和查看

2、利用Nuix软件分析.XRY手机镜像，利用Cellebrite手机数据、电脑数据等不同数据源的数据综合、快速地取证分析

3、邮件关系的虚拟化分析，使用虚拟化分析技术分析数据之间的关系

4、手机、计算机中社交软件的关联分析

演讲嘉宾：David Graham 澳大利亚Nuix公司 亚太区负责人 培训主管

David 1999年毕业于菲律宾国立大学，获得工商管理学理学士学位。现任澳大利亚Nuix公司亚太地区的技术和业务经理，主要研究企业电子邮件分析技术。1999年至今，他曾先后在毕马威、菲律宾统一实验室公司、英国致同会计事务所、新加坡安永会计师行，新加坡德勤会计师事务所任职，拥有10余年的信息安全、案件调查和管理经验。他一直从事计算机取证、数据恢复、数据分析等信息安全相关领域，能熟练运用多种取证软件（如EnCase, FTK, Helix, Cellebrite，Nuix, Clearwell等）来分析从服务器、计算机和手机中获取的电子邮件，在运用Nuix工具进行可视化关联分析、调查诈骗案件方面有丰富的经验。

Tanya Pankova

Nikolai Golubev

演讲主题：手机取证和分析，新时代下的新挑战

手机取证是在整个电子数据取证中最为复杂的一个话题。新型的手机和操作系统，使手机取证变得越来越难。在本次报告和3小时的研习会中，你会了解到各种手机取证的方法，包括不同操作系统、云备份数据的取证和分析、各种密码问题，以及国际取证界面临的各种手机取证问题。研习会中，将重点介绍以下5个方向：

1、手机数据提取，逻辑获取和物理获取，安卓ROOT

2、解决密码保护的设备，iOS设备的锁屏密码绕过、安卓MTK手机的锁屏密码绕过、三星安卓手机手机的密码绕过、关于MFC和iPbox等特殊工具

3、不同源的手机数据，手机备份文件、不同厂家取证工具的镜像分析、加密备份、云备份数据的提取、导入的其他手机数据

4、手机应用解析，App和加密的App数据分析、App的账户和密码、Wifi、地理信息、删除数据的恢复

5、高级分析，时间线，个人账户信息汇总、社交网络关系分析、关键词搜索

演讲嘉宾：Tanya Pankova

Nikolai Golubev

俄罗斯Oxygen软件公司 市场总监

俄罗斯Oxygen软件公司 技术部经理

Tanya Pankova小姐 2006年加入Oxygen软件公司，最初入职作为技术支持，随着不断的学习和努力，逐步发展为技术支持经理。更随着出色的管理能力和市场能力，从数据分析专家，成长为市场总监。Ms. Pankova小姐在团队管理，产品技术监督和数据深入挖掘方面具有出色的能力。

Nikolai Golubev 先生为Oxygen技术支持团队负责人。

演讲主题：新一代操作系统Windows 10取证

针对微软新一代操作系统Windows 10进行剖析， 分享Win10在系统安全、文件系统、新应用（浏览器Edge、智能助理Cortana）、云存储等方面的新变化及各种系统痕迹的取证新方式。

演讲嘉宾：徐志强 Henry Tsui

美亚柏科信息股份有限公司企业电子数据取证事业部总经理
技术专家委员会(MTEC)首席技术专家

拥有近10年电子数据取证从业经验，现任厦门市美亚柏科信息股份有限公司企业电子数据取证事业部总经理兼任技术专家委员会(MTEC)首席技术专家。 从事多年电子数据取证教学及技术研究工作，熟悉国内外最新电子数据取证技术及最新产品动态。 工作期间带领讲师及管理团队，并创立了电子数据取证调查员(MCE)培训及认证体系，成为国内首个电子数据取证行业的权威认证，已在行业发挥出重要作用和影响力。曾担任“电子数据勘查取证与鉴定系列教材”编委会副主任，主编中国公安大学出版社出版的《电子证据提取与分析》、《数据恢复与取证》、《手机取证技术》和《信息加解密技术》，此外参与编写清华大学出版社2015年出版的《电子数据取证》教材。

演讲主题：拆卸手机存储芯片时需要注意哪些技术和细节来保证用户数据的完整性

如何快速准确的找到手机存储芯片的位置，对于带胶的存储芯片如何顺利取下存储芯片而不破坏到存储芯片，手机在水里侵泡多年后需要取证，如何进行处理才能保证存储芯片不被破坏等

演讲主题：浅谈JTAG技术、编程器技术、ISP技术的原理和如何应用在电子取证中应用

JTAG技术在电子取证中如何使用才能发挥它的最大作用。使用JTAG取证时需要注意细节，都有哪些CPU的手机可以进行JTAG取证。编程器有很多种吗？编程器能支持多少种芯片，手机的存储芯片都有都是什么样子的，都有哪些厂家 哪些型号。ISP技术的原理和使用ISP技术取证时需要注意哪些细节，才能保证顺利读出镜像文件。

演讲嘉宾：张彬

大连睿海信息科技有限公司 副总经理 兼技术总监

2003年开始从事移动终端存储芯片的电子数据读取和用户数据恢复工作，在移动终端存储芯片数据恢复和读取领域有十几年的工作经验，积累了大量的实战经验，从事过手机存储芯片底层数据的读取、擦除和写入的研究和开发工作（统称编程器），研究开发 过JTAG物理数据提取、JTAG物理定义侦测、ISP物理数据提取技术、山寨机自动侦测定义和数据获取等。对市面上各种移动终端的逻辑数据提取手段、物理数据提取手段和镜像解析都有深入的研究和开发。

演讲主题：智能手机数据恢复技术成为手机取证的新亮点，数码复印机硬盘涉密信息检查技术

当前智能手机取证技术日趋成熟，但是，犯罪嫌疑人的反侦察意识越来越强，经常会对智能手机数据进行删除处理，甚至对手机进行出厂设置操作，试图彻底清除数据。达思科技手机数据恢复技术团队主要针对手机特定数据被删除的数据进行恢复，这将会给手机取证带来新的亮点。

演讲嘉宾：吴长生 VIC.WU

达思凯瑞技术（北京）有限公司 创始人 CEO

天津达思云安科技有限公司 总裁

河北达凯软件科技有限公司 CEO 首席产品经理

吴长生先生是国内第一批从事数据恢复技术研究的专家，于2007年创办达思凯瑞技术（北京）有限公司，主导开发了D-Recovery达思系列数据恢复软件，拥有多项创新的技术专利。由达思科技承接的国家保密局课题研究数码复印机涉密硬盘行为审计系统，已经顺利了国家保密局检察司的中期验收，在国家保密局涉密载体检查技术方面贡献卓越。这套系统针对佳能、富士施乐、理光、东芝、夏普等品牌的数码复印机硬盘的敏感数据镜像检查，可以轻松获取敏感信息，并得出报告。

吴长生先生在智能手机数据恢复方面具有较深的研究，并且主张把手机数据恢复技术应用到手机取证中，大大提高手机取证的成功率和准确率。比如在微信、QQ被删除时，关键的聊天记录的数据恢复技术就起到了关键性作用。