ICS 13.310 A92 中 华人民 共和国 公共安 全行业 标准 GA GA/T × × × × －× × × × 法庭科学 现场勘查 电子物证 提取技术规范 Forensic science s—Technical specifications for collection of electronic evidence during scene investigation 20×× -××－××发布 20×× -×× -××实施 中华人民共和国公安部 发布 GA/T× × × × —× × × × 前 言 本标准按照 GB/T 1.1-2009给出的规则起草 。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由全国刑事技术标准化技术委员会电子物证检验分技术委员会（ SAC/TC179/SC7 ）提出。 本标准由全国刑事技术标准化技术委员会（ SAC/TC179 ）归口。 本标准起草单位： 北京市公安司法鉴定中心 、公安部物证鉴定中心。 本标准起草人： 朱秀云、姚波、贾永生、宋润 、汤瑾玥、 邢桂东。 GA/T× × × × —× × × × 1 法庭科学 现场勘查电子物证 提取技术规范 1 范围 本标准规定了 案（事）件现场 勘查中电子物证提取的 技术方法。 本标准适用于法庭科学领域中电子物证现场提取。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。 凡是注日期的引用文件， 仅注日期的版本适用于本文件。 凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 29360-2012 电子物证数据恢复检验规程 GB/T 29362-2012 电子物证数据搜索检验规 程 GA/T 1069-2013 法庭科学电子物证 手机检验技术规范 3 术语和定义 下列术语和定义适用于本文件。 3.1 电子物证现场提取 scene collection of electronic evidence 对案（事）件现场及其场所电子物证的发现、固定、收集的过程。 3.2 易失性数据 volatile data 存在于网络中传输的数据或运行于计算机等电子设备中随电源切断或关机而消失的数据。 3.3 在线提取 electronic evidence collection online 在目标系统运行的情况下，获取目标系 统中的电子数据的过程。 3.4 远程勘验 remote inspect ion 通过网络对远程目标系统实施勘验，以提取、固定远程目标系统的状态和存留的内容。 3.5 手机信号屏蔽设备 mobile phone signal shielding device 对手机通信信号进行隔离，阻断手机通信的专用设备。 3.6 保全备份设备 safe backup device 对存储介质中的原始数据进行完整、精确、无损备份的设备。 GA/T× × × × —× × × × 2 3.7 只读设备 read-only device 对接入的存储介质具有写保护功能的设备。 4 现场提取设备 4.1 硬件 照录像设备、电子物证现场勘查箱、 手机信号屏蔽设备、 手机屏蔽箱（袋）、 手机取证设备、 仿真 设备、保全备份设备、 专用存储介质、 便携式计算机 、打印机 等。 4.2 软件 综合取证分析软件、 手机取证分析软件、 仿真软件、在线取证软件 、免安装 和免系统注册软件 等。 5 电子物证现场 实物提取 5.1 计算机物证 提取 5.1.1 关机状态的提取 5.1.1.1 对物证进行唯一性编号。 5.1.1.2 对物证的连线及设备接口一对一进行唯一性编号。 5.1.1.3 对现场进行拍照或录像，包括物证的品牌、唯一性编号等信息。 5.1.1.4 绘制网络拓扑图。 5.1.1.5 拆除物证设备间连线及电源线。 5.1.1.6 封存物证。 5.1.2 开机状态的提取 5.1.2.1 对物证进行唯一性 编号。 5.1.2.2 对现场、屏幕进行拍照或录像。 5.1.2.3 对有屏保密码的设备应 现场获取或 使用免安装和免系统 注册软件解除密码，对获取的密码应 验证并记录。 不能解除屏保密码时，应先关闭物证设备，再 按5.1.1.2 ~5.1.1.5步骤执行。 5.1.2.4 使用在线取证软件 在线提取易失 性数据，保存在 有唯一性编号的 专用存储介质中 ，并计算、 记录哈希值。 5.1.2.5 应查看硬盘分区状况、文件显示属性，并进行记录 。 5.1.2.6 接入互联网的设备，应查看 正在运行的 浏览器、 QQ等软件设置，关闭软件退出即自动删除 数据的功能设置；若虚拟机、 VPN等特殊软件正在运行，应记录使用状态，并记录本 环境所处接入互 联网中的 IP。 5.1.2.7 记录物证的 系统时间和北京时间。 GA/T× × × × —× × × × 3 5.1.2.8 对正在运行的有密码保护的数据进行提取，保存在有唯一性编号的专用存储介质中，并计算、 记录哈希值；记录有密码的设备、软件、载体；现场获取或解除密码，对获取的密码应验证并记录 。 5.1.2.9 记录数据提取 路径和保存的路径。 5.1.2.10 关闭物证设备 操作如下： ——对于切断电源不会导致数据损坏的 物证，可直接切断电源 ； ——对于切断电源会导致数据损坏的物证，应按正常步骤关闭 。 5.1.2.11 按5.1.1.2 ~5.1.1.5步骤执行。 5.1.2.12 封存物证和专用存储介质。 5.2 手机物证的实物提取 5.2.1 关机状态的提取 5.2.1.1 对物证进行唯一性编号。 5.2.1.2 对现场进行拍照或录像，包括物证的品牌、唯一性特征等信息 。 5.2.1.3 获取加密设备、加密扩展存储卡等密码。对获取的密码应验证并记录。 5.2.1.4 封存物证。 5.2.2 开机状态的提取 5.2.2.1 对物证进行唯一性编号 。 5.2.2.2 对现场、屏幕进行拍照或录像，包括物证的品牌、唯一性特征等信息。 5.2.2.3 记录物证的系统时间和北京时间。 5.2.2.4 关闭各种通讯功能。 5.2.2.5 解除或获取加密设备、加密扩展存储卡等密码并记录。 5.2.2.6 根据需要 可在开启 手机信号屏蔽设备 情况下，依据GA/T 1069-2013要求，使用手机取证设备、 手机取证分析软件 或屏幕拍照的方式提取、固定手机内的信 息。 5.2.2.7 使用手机屏蔽箱（袋）封存物证。 5.3 硬盘监控录像机的实物提取 5.3.1 关机状态的提取 按5.1.1.1 ~5.1.1.6步骤执行。 5.3.2 开机状态的提取 5.3.2.1 对物证进行唯一性编号。 5.3.2.2 停止正在进行的录像操作。 5.3.2.3 对现场、屏幕进行拍照或录像。 GA/T× × × × —× × × × 4 5.3.2.4 记录物证的系统时间和北京时间。 5.3.2.5 获取或解除视频监控系统的登录密码。对获取的密码应验证并记录。 5.3.2.6 关闭物证设备。 5.3.2.7 按5.1.1.2~5.1.1.6步骤执行。 5.4 其它电子设备 的实物提取 按5.2.1.1 ~5.2.1.4执行。 6 电子数据提取 6.1 远程勘验在线提取 数据 6.1.1 对提取操作现场环境、使用设备进行拍照或录像。 6.1.2 确定远程数据存储的位置 ，记录远程存储设备的域名、域名对应的 IP。 6.1.3 登录、浏览 远程目标设备、网站账户 ，对操作 过程进行截屏、拍照 并全程录像，记录登录的用 户名、密码、路径等信息。 6.1.4 依据GB/T 29362-2012进行数据搜索， 提取远程目标中的网页、邮件 、文件等数据内容，保存 在有唯一性编号的专用存储介质中，并计算、记录 提取数据的 哈希值。 对操作过程进行截屏、拍照 并全 程录像。 6.1.5 记录远程 勘验在线提取 数据的北京时间、地点、人员 及使用的软硬件等信息 。 6.1.6 记录数据提取 的路径和 保存的路径。 6.1.7 封存专用存储介质 。 6.2 计算机和硬盘监控录像机数据提取 6.2.1 全部数据提取 6.2.1.1 对物证进行唯一性编号。 6.2.1.2 对现场进行拍照或录像。 6.2.1.3 对物证内置硬 盘进行保全备份 操作如下： ——物证设备处于开机状态且不允许关机， 应使用在线取证软件 进行保全备份， 并记录提取数据的 哈希值、物证的系统时间和北京时间 ； ——物证设备处于关机状态或允许关机，开机状态应按照 5.1.2.3~5.1.2.10或5.3.2.2 ~5.3.2.6步骤执 行关机，然后 使用保全备份 设备进行保全备份， 并记录提取数据的 哈希值。 6.2.1.4