发布时间：
计算机取证技术论文篇二 计算机取证技术研究 摘要：随着计算机和 网络技术 的飞速发展，计算机犯罪和网络安全等问题也越来越突出，也逐渐引起重视。文章对计算机取证的特点、原则和步骤进行了介绍，最后从基于单机和设备、基于网络的两类取证技术进行了深入研究。 关键词：计算机取证 数据恢复 加密解密 蜜罐网络 随着计算机和网络技术的飞速发展，计算机和网络在人类的政治、经济、 文化 和国防军事中的作用越来越重要，计算机犯罪和网络安全等问题也越来越突出，虽然目前采取了一系列的防护设备和措施，如硬件防火墙、入侵检测系统、、网络隔离等，并通过授权机制、访问控制机制、日志机制以及数据备份等安全防范措施，但仍然无法保证系统的绝对安全。 计算机取证技术是指运用先进的技术手段，遵照事先定义好的程序及符合法律规范的方式，全面检测计算机软硬件系统，查找、存储、保护、分析其与计算机犯罪相关的证据，并能为法庭接受的、有足够可信度的电子证据。计算机取证的目的是找出入侵者，并解释或重现完整入侵过程。 一、计算机取证的特点 和传统证据一样，电子证据也必须是可信的、准确的、完整的以及令人信服并符合法律规范的，除此之外，电子证据还有如下特点： 1.数字性。电子证据与传统的物证不同，它是无法通过肉眼直接看见的，必须结合一定的工具。从根本上讲，电子证据的载体都是电子元器件，电子证据本身只是按照特殊顺序组合出来的二进制信息串。 2.脆弱性。计算机数据每时每刻都可能发生改变，系统在运行过程中，数据是不断被刷新和重写的，特别是如果犯罪嫌疑人具备一定的计算机水平，对计算机的使用痕迹进行不可还原的、破坏性操作后，现场是很难被重现的。另外取证人员在收集电子证据过程中，难免会进行打开文件和程序等操作，而这些操作很可能就会对现场造成原生破坏。 3.多态性。电子证据的多态性是指电子证据可以以多种形态表现，它既可以是打印机缓冲区中的数据，也可以是各种计算机存储介质上的声音、视频、图像和文字，还可以是网络交换和传输设备中的历史记录等等，这些不同形态都可能成为被提交的证据类型。法庭在采纳证据时，不仅要考虑该电子证据的生成过程、采集过程是否可靠，还要保证电子证据未被伪造篡改、替换剪辑过。 4.人机交互性。计算机是通过人来操作的，单靠电子证据本身可能无法还原整个犯罪过程，必须结合人的操作才能形成一个完整的记录，在收集证据、还原现场的过程中，要结合人的 思维方式 、行为习惯来通盘考虑，有可能达到事半功倍的效果。 二、计算机取证的原则和步骤 (一)计算机取证的主要原则 1.及时性原则。必须尽快收集电子证据，保证其没有受到任何破坏，要求证据的获取具有一定的时效性。 2.确保“证据链”的完整性。也称为证据保全，即在证据被正式提交法庭时，必须能够说明证据从最初的获取状态到法庭上出现的状态之间的任何变化，包括证据的移交、保管、拆封、装卸等过程。 3.保全性原则。在允许、可行的情况下，计算机证据最好制作两个以上的拷贝，而原始证据必须专门负责，所存放的位置必须远离强磁、强腐蚀、高温、高压、灰尘、潮湿等恶劣环境，以防止证据被破坏。 4.全程可控原则。整个检查取证的过程都必须受到监督，在证据的移交、保管、拆封和装卸过程中，必须由两人或两人以上共同完成，每一环节都要保证其真实性和不间断性，防止证据被蓄意破坏。 (二)计算机取证的主要步骤 1.现场勘查 勘查主要是要获取物理证据。首先要保护计算机系统，如果发现目标计算机仍在进行网络连接，应该立即断开网络，避免数据被远程破坏。如果目标计算机仍处在开机状态，切不可立即将其电源断开，保持工作状态反而有利于证据的获取，比如在内存缓冲区中可能残留了部分数据，这些数据往往是犯罪分子最后遗漏的重要证据。如果需要拆卸或移动设备，必须进行拍照存档，以方便日后对犯罪现场进行还原。 2.获取电子证据 包括静态数据获取和动态数据获取。静态数据包括现存的正常文件、已经删除的文件、隐藏文件以及加密文件等，应最大程度的系统或应用程序使用的临时文件或隐藏文件。动态数据包括计算机寄存器、Cache缓存、路由器表、任务进程、网络连接及其端口等，动态数据的采集必须迅速和谨慎，一不小心就可能被新的操作和文件覆盖替换掉。 3.保护证据完整和原始性 取证过程中应注重采取保护证据的措施，应对提取的各种资料进行复制备份，对提取到的物理设备，如光盘硬盘等存储设备、路由器交换机等网络设备、打印机等外围设备，在移动和拆卸过程中必须由专人拍照摄像，再进行封存。对于提取到的电子信息，应当采用MD5、SHA等Hash算法对其进行散列等方式进行完整性保护和校验。上述任何操作都必须由两人以上同时在场并签字确认。 4.结果分析和提交 这是计算机取证的关键和核心。打印对目标计算机系统的全面分析结果，包括所有的相关文件列表和发现的文件数据，然后给出分析结论，具体包括：系统的整体情况，发现的文件结构、数据、作者的信息以及在调查中发现的其他可疑信息等。在做好各种标记和记录后，以证据的形式并按照合法的程序正式提交给司法机关。 三、计算机取证相关技术 计算机取证涉及到的技术非常广泛，几乎涵盖信息安全的各个领域，从证据的获取来源上讲，计算机取证技术可大致分为基于单机和设备的计算机取证技术、基于网络的计算机取证技术两类。 (一)基于单机和设备的取证技术 1.数据恢复技术 数据恢复技术主要是用于将用户删除或格式化的磁盘擦除的电子证据恢复出来。对于删除操作来说，它只是将文件相应的存放位置做了标记，其文件所占的磁盘空间信息在没有新的文件重新写入时仍然存在，普通用户看起来已经没有了，但实际上通过恢复文件标记可以进行数据恢复。对于格式化操作来讲，它只是将文件系统的各种表进行了初始化，并未对数据本身进行实际操作，通过重建分区表和引导信息，是可以恢复已经删除的数据的。实验表明，技术人员可以借助数据恢复工具，把已经覆盖过7次的数据重新还原出来。 2.加密解密技术 通常犯罪分子会将相关证据进行加密处理，对取证人员来讲，必须把加密过的数据进行解密，才能使原始信息成为有效的电子证据。计算机取证中使用的密码破解技术和方法主要有：密码分析技术、密码破解技术、口令搜索、口令提取及口令恢复技术。 3.数据过滤和数据挖掘技术 计算机取证得到的数据，可能是文本、图片、音频或者视频，这些类型的文件都可能隐藏着犯罪信息，犯罪分子可以用隐写的方法把信息嵌入到这些类型的文件中。若果犯罪分子同时结合加密技术对信息进行处理，然后再嵌入到文件中，那么想要还原出原始信息将变得非常困难，这就需要开发出更优秀的数据挖掘工具，才能正确过滤出所需的电子证据。 (二)基于网络的取证技术 基于网络的取证技术就是利用网络跟踪定位犯罪分子或通过网络通信的数据信息资料获取证据的技术，具体包括以下几种技术： 1.IP地址和MAC地址获取和识别技术 利用ping命令，向目标主机发送请求并监听ICMP应答，这样可以判断目标主机是否在线，然后再用其他高级命令来继续深入检查。也可以借助IP扫描工具来获取IP，或者利用DNS的逆向查询方法获取IP地址，也可以通过互联网服务提供商ISP的支持来获取IP。 MAC地址属于硬件层面，IP地址和MAC的转化是通过查找地址解析协议ARP表来实现的，当然，MAC跟IP地址一样，也可能被修改，如此前一度横行的“ARP欺”木马，就是通过修改IP地址或MAC来达到其目的的。 2.网络IO系统取证技术 也就是网络输入输出系统，使用netstat命令来跟踪嫌疑人，该命令可以获取嫌疑人计算机所在的域名和MAC地址。最具代表性的是入侵检测技术IDS，IDS又分为检测特定事件的和检测模式变化的，它对取证最大帮助是它可以提供日志或记录功能，可以被用来监视和记录犯罪行为。 3.电子邮件取证技术 电子邮件使用简单的应用协议和文本存储转发，头信息包含了发送者和接受者之间的路径，可以通过分析头路径来获取证据，其关键在于必须了解电子邮件协议中的邮件信息的存储位置。对于POP3协议，我们必须访问工作站才能获取头信息;而基于HTTP协议发送的邮件，一般存储在邮件服务器上;而微软操作系统自带的邮件服务通常采用SMTP协议。对于采用SMTP协议的邮件头信息，黑客往往能轻易在其中插入任何信息，包括伪造的源地址和目标地址。跟踪邮件的主要方法是请求ISP的帮助或使用专用的如NetScanTools之类的工具。 4.蜜罐网络取证技术 蜜罐是指虚假的敏感数据，可以是一个网络、一台计算机或者一项后台服务，也可以虚假口令和数据库等。蜜罐网络则是由若干个能收集和交换信息的蜜罐组成的网络体系，研究人员借助数据控制、数据捕获和数据采集等操作，对诱捕到蜜罐网络中的攻击行为进行控制和分析。蜜罐网络的关键技术包括网络欺、攻击捕获、数据控制、攻击分析与特征提取、预警防御技术。目前应用较多是主动蜜罐系统，它可以根据入侵者的攻击目的提供相应的欺服务，拖延入侵者在蜜罐中的时间，从而获取更多的信息，并采取有针对性的措施，保证系统的安全性。 参考文献： [1]卢细英.浅析计算机取证技术[J],福建电脑,2008(3). [2]刘凌.浅谈计算机静态取证与计算机动态取证[J],计算机与现代化,2009(6). 看了“计算机取证技术论文”的人还看： 1. 计算机犯罪及取征技术的研究论文 2. 安卓手机取证技术论文 3. 计算机安全毕业论文 4. 计算机安全论文 5. 计算机安全论文范文
你是不是安财的啊？
计算机+民商法，估计写关于网络世界法律方面的论文会好一些，比如电子证据、网络虚拟货币是否有违法律、网游中装备买卖以及盗取号码等民事纠纷的处理、多看看这方面新闻， 估计会有灵感的，写民商法累论文主要就是研究解决问题，而这些问题大多来此生活。
电子证据作为证据的要求有四个。【法律分析】电子证据作为证据的要求：1、证据属性的多重性。由计算机提供的电子证据具有视听资料、书证、物证等多重证据意义。电子证据的视听资料意义，是指电子证据能够通过计算机输出的画面、声音来证明案件事实。2、证据内容的可修改性。计算机储存的信息是可以被修改的。电子证据可修改性有两层含义：一是数据信息在被作为证据固定前可能已被修改，因而当其被作为证据固定时，其内容已发生变化，造成所取证据的失真。二是采用拷贝方式收集的电子证据，从证据固定到使用的过程中，也可以被修改，造成其在被使用时的内容与原证据内容不符。3、证据内容的可灭失性。计算机储存的信息会因人为删盖、病毒感染、物理破坏等原因灭失。4、证据的技术性。【法律依据】全国人民代表大会常务委员会关于修改《中华人民共和国民事诉讼法》的决定》 十二、 将第六十三条修改为：“证据包括：“（一）当事人的陈述；“（二）书证；“（三）物证；“（四）视听资料；“（五）电子数据；“（六）证人证言；“（七）鉴定意见；“（八）勘验笔录。“证据必须查证属实，才能作为认定事实的根据。”相应地将第一百二十四条、第一百七十一条中的“鉴定结论”修改为“鉴定意见”。
计算机取证技术论文篇二 计算机取证技术研究 摘要：随着计算机和 网络技术 的飞速发展，计算机犯罪和网络安全等问题也越来越突出，也逐渐引起重视。文章对计算机取证的特点、原则和步骤进行了介绍，最后从基于单机和设备、基于网络的两类取证技术进行了深入研究。 关键词：计算机取证 数据恢复 加密解密 蜜罐网络 随着计算机和网络技术的飞速发展，计算机和网络在人类的政治、经济、 文化 和国防军事中的作用越来越重要，计算机犯罪和网络安全等问题也越来越突出，虽然目前采取了一系列的防护设备和措施，如硬件防火墙、入侵检测系统、、网络隔离等，并通过授权机制、访问控制机制、日志机制以及数据备份等安全防范措施，但仍然无法保证系统的绝对安全。 计算机取证技术是指运用先进的技术手段，遵照事先定义好的程序及符合法律规范的方式，全面检测计算机软硬件系统，查找、存储、保护、分析其与计算机犯罪相关的证据，并能为法庭接受的、有足够可信度的电子证据。计算机取证的目的是找出入侵者，并解释或重现完整入侵过程。 一、计算机取证的特点 和传统证据一样，电子证据也必须是可信的、准确的、完整的以及令人信服并符合法律规范的，除此之外，电子证据还有如下特点： 1.数字性。电子证据与传统的物证不同，它是无法通过肉眼直接看见的，必须结合一定的工具。从根本上讲，电子证据的载体都是电子元器件，电子证据本身只是按照特殊顺序组合出来的二进制信息串。 2.脆弱性。计算机数据每时每刻都可能发生改变，系统在运行过程中，数据是不断被刷新和重写的，特别是如果犯罪嫌疑人具备一定的计算机水平，对计算机的使用痕迹进行不可还原的、破坏性操作后，现场是很难被重现的。另外取证人员在收集电子证据过程中，难免会进行打开文件和程序等操作，而这些操作很可能就会对现场造成原生破坏。 3.多态性。电子证据的多态性是指电子证据可以以多种形态表现，它既可以是打印机缓冲区中的数据，也可以是各种计算机存储介质上的声音、视频、图像和文字，还可以是网络交换和传输设备中的历史记录等等，这些不同形态都可能成为被提交的证据类型。法庭在采纳证据时，不仅要考虑该电子证据的生成过程、采集过程是否可靠，还要保证电子证据未被伪造篡改、替换剪辑过。 4.人机交互性。计算机是通过人来操作的，单靠电子证据本身可能无法还原整个犯罪过程，必须结合人的操作才能形成一个完整的记录，在收集证据、还原现场的过程中，要结合人的 思维方式 、行为习惯来通盘考虑，有可能达到事半功倍的效果。 二、计算机取证的原则和步骤 (一)计算机取证的主要原则 1.及时性原则。必须尽快收集电子证据，保证其没有受到任何破坏，要求证据的获取具有一定的时效性。 2.确保“证据链”的完整性。也称为证据保全，即在证据被正式提交法庭时，必须能够说明证据从最初的获取状态到法庭上出现的状态之间的任何变化，包括证据的移交、保管、拆封、装卸等过程。 3.保全性原则。在允许、可行的情况下，计算机证据最好制作两个以上的拷贝，而原始证据必须专门负责，所存放的位置必须远离强磁、强腐蚀、高温、高压、灰尘、潮湿等恶劣环境，以防止证据被破坏。 4.全程可控原则。整个检查取证的过程都必须受到监督，在证据的移交、保管、拆封和装卸过程中，必须由两人或两人以上共同完成，每一环节都要保证其真实性和不间断性，防止证据被蓄意破坏。 (二)计算机取证的主要步骤 1.现场勘查 勘查主要是要获取物理证据。首先要保护计算机系统，如果发现目标计算机仍在进行网络连接，应该立即断开网络，避免数据被远程破坏。如果目标计算机仍处在开机状态，切不可立即将其电源断开，保持工作状态反而有利于证据的获取，比如在内存缓冲区中可能残留了部分数据，这些数据往往是犯罪分子最后遗漏的重要证据。如果需要拆卸或移动设备，必须进行拍照存档，以方便日后对犯罪现场进行还原。 2.获取电子证据 包括静态数据获取和动态数据获取。静态数据包括现存的正常文件、已经删除的文件、隐藏文件以及加密文件等，应最大程度的系统或应用程序使用的临时文件或隐藏文件。动态数据包括计算机寄存器、Cache缓存、路由器表、任务进程、网络连接及其端口等，动态数据的采集必须迅速和谨慎，一不小心就可能被新的操作和文件覆盖替换掉。 3.保护证据完整和原始性 取证过程中应注重采取保护证据的措施，应对提取的各种资料进行复制备份，对提取到的物理设备，如光盘硬盘等存储设备、路由器交换机等网络设备、打印机等外围设备，在移动和拆卸过程中必须由专人拍照摄像，再进行封存。对于提取到的电子信息，应当采用MD5、SHA等Hash算法对其进行散列等方式进行完整性保护和校验。上述任何操作都必须由两人以上同时在场并签字确认。 4.结果分析和提交 这是计算机取证的关键和核心。打印对目标计算机系统的全面分析结果，包括所有的相关文件列表和发现的文件数据，然后给出分析结论，具体包括：系统的整体情况，发现的文件结构、数据、作者的信息以及在调查中发现的其他可疑信息等。在做好各种标记和记录后，以证据的形式并按照合法的程序正式提交给司法机关。 三、计算机取证相关技术 计算机取证涉及到的技术非常广泛，几乎涵盖信息安全的各个领域，从证据的获取来源上讲，计算机取证技术可大致分为基于单机和设备的计算机取证技术、基于网络的计算机取证技术两类。 (一)基于单机和设备的取证技术 1.数据恢复技术 数据恢复技术主要是用于将用户删除或格式化的磁盘擦除的电子证据恢复出来。对于删除操作来说，它只是将文件相应的存放位置做了标记，其文件所占的磁盘空间信息在没有新的文件重新写入时仍然存在，普通用户看起来已经没有了，但实际上通过恢复文件标记可以进行数据恢复。对于格式化操作来讲，它只是将文件系统的各种表进行了初始化，并未对数据本身进行实际操作，通过重建分区表和引导信息，是可以恢复已经删除的数据的。实验表明，技术人员可以借助数据恢复工具，把已经覆盖过7次的数据重新还原出来。 2.加密解密技术 通常犯罪分子会将相关证据进行加密处理，对取证人员来讲，必须把加密过的数据进行解密，才能使原始信息成为有效的电子证据。计算机取证中使用的密码破解技术和方法主要有：密码分析技术、密码破解技术、口令搜索、口令提取及口令恢复技术。 3.数据过滤和数据挖掘技术 计算机取证得到的数据，可能是文本、图片、音频或者视频，这些类型的文件都可能隐藏着犯罪信息，犯罪分子可以用隐写的方法把信息嵌入到这些类型的文件中。若果犯罪分子同时结合加密技术对信息进行处理，然后再嵌入到文件中，那么想要还原出原始信息将变得非常困难，这就需要开发出更优秀的数据挖掘工具，才能正确过滤出所需的电子证据。 (二)基于网络的取证技术 基于网络的取证技术就是利用网络跟踪定位犯罪分子或通过网络通信的数据信息资料获取证据的技术，具体包括以下几种技术： 1.IP地址和MAC地址获取和识别技术 利用ping命令，向目标主机发送请求并监听ICMP应答，这样可以判断目标主机是否在线，然后再用其他高级命令来继续深入检查。也可以借助IP扫描工具来获取IP，或者利用DNS的逆向查询方法获取IP地址，也可以通过互联网服务提供商ISP的支持来获取IP。 MAC地址属于硬件层面，IP地址和MAC的转化是通过查找地址解析协议ARP表来实现的，当然，MAC跟IP地址一样，也可能被修改，如此前一度横行的“ARP欺”木马，就是通过修改IP地址或MAC来达到其目的的。 2.网络IO系统取证技术 也就是网络输入输出系统，使用netstat命令来跟踪嫌疑人，该命令可以获取嫌疑人计算机所在的域名和MAC地址。最具代表性的是入侵检测技术IDS，IDS又分为检测特定事件的和检测模式变化的，它对取证最大帮助是它可以提供日志或记录功能，可以被用来监视和记录犯罪行为。 3.电子邮件取证技术 电子邮件使用简单的应用协议和文本存储转发，头信息包含了发送者和接受者之间的路径，可以通过分析头路径来获取证据，其关键在于必须了解电子邮件协议中的邮件信息的存储位置。对于POP3协议，我们必须访问工作站才能获取头信息;而基于HTTP协议发送的邮件，一般存储在邮件服务器上;而微软操作系统自带的邮件服务通常采用SMTP协议。对于采用SMTP协议的邮件头信息，黑客往往能轻易在其中插入任何信息，包括伪造的源地址和目标地址。跟踪邮件的主要方法是请求ISP的帮助或使用专用的如NetScanTools之类的工具。 4.蜜罐网络取证技术 蜜罐是指虚假的敏感数据，可以是一个网络、一台计算机或者一项后台服务，也可以虚假口令和数据库等。蜜罐网络则是由若干个能收集和交换信息的蜜罐组成的网络体系，研究人员借助数据控制、数据捕获和数据采集等操作，对诱捕到蜜罐网络中的攻击行为进行控制和分析。蜜罐网络的关键技术包括网络欺、攻击捕获、数据控制、攻击分析与特征提取、预警防御技术。目前应用较多是主动蜜罐系统，它可以根据入侵者的攻击目的提供相应的欺服务，拖延入侵者在蜜罐中的时间，从而获取更多的信息，并采取有针对性的措施，保证系统的安全性。 参考文献： [1]卢细英.浅析计算机取证技术[J],福建电脑,2008(3). [2]刘凌.浅谈计算机静态取证与计算机动态取证[J],计算机与现代化,2009(6). 看了“计算机取证技术论文”的人还看： 1. 计算机犯罪及取征技术的研究论文 2. 安卓手机取证技术论文 3. 计算机安全毕业论文 4. 计算机安全论文 5. 计算机安全论文范文
论文答辩会问到的问题!
学生首先要介绍一下论文的概要，这就是所谓“自述报告”，须强调一点的是“自述”而不是“自读”。这里重要的技巧是必须注意不能照本宣读，把报告变成了 “读书”。以下是我J.L分享的论文答辩会问到的问题!，更多毕业论文范文欢迎访问毕业论文网。
一、常问问题
1、自己为什么选择这个课题?
2、研究这个课题的意义和目的是什么?
3、全文的基本框架、基本结构是如何安排的?
4、全文的各部分之间逻辑关系如何?
5、在研究本课题的过程中，发现了那些不同见解?对这些不同的意见，自己是怎样逐步认识的?又是如何处理的?
6、论文虽未论及，但与其较密切相关的问题还有哪些?
7、还有哪些问题自己还没有搞清楚，在论文中论述得不够透彻?
8、写作论文时立论的主要依据是什么?
对以上问题应仔细想一想，必要时要用笔记整理出来，写成发言提纲，在答辩时用。这样才能做到有备无患，临阵不慌。
二、答辩技巧
学生首先要介绍一下论文的概要，这就是所谓“自述报告”，须强调一点的.是“自述”而不是“自读”。这里重要的技巧是必须注意不能照本宣读，把报告变成了 “读书”。
“照本宣读”是第一大忌。这一部分的内容可包括写作动机、缘由、研究方向、选题比较、研究范围、围绕这一论题的最新研究成果、自己在论文中的新见解、新的理解或新的突破。做到概括简要，言简意赅。不能占用过多时间，一般以十分钟为限。
所谓“削繁去冗留清被，画到无时是熟时”，就是说，尽量做到词约旨丰，一语中的。要突出重点，把自己的最大收获、最深体会、最精华与最富特色的部分表述出来。这里要注意一忌主题不明;二忌内容空泛，东拉西扯;三忌平平淡淡，没有重点。
在答辩时，学生要注意仪态与风度，这是进入人们感受渠道的第一信号。如果答辩者能在最初的两分种内以良好的仪态和风度体现出良好的形象，就有了一个良好的开端。
有人将人的体态分解为最小单位来研究(如头、肩、胸、脊、腰等)认为凹胸显现怯懦、自卑，挺胸显示情绪高昂—但过分则为傲慢自负;肩手颈正显示正直、刚强，脊背挺拔体现严肃而充满自信。但过于如此，就会被人看作拘泥刻板保守，略为弯腰有度，稍稍欠身可表示谦虚礼貌。
孙中山先生曾说过“其所具风度姿态，即使全场有肃然起敬之心，举动格式又须使听者有安静详和之气”他的这番金玉良言，对我们确实有很大的启发。
在听取教师提问时所要掌握的技巧要领是：
沉着冷静，边听边记
精神集中，认真思考
既要自信，又要虚心
实事求是，绝不勉强
听准听清，听懂听明
论文答辩一般会问的问题如下：
1、自己为什么选择这个课题？
2、研究这个课题的意义和目的是什么？
3、全文的基本框架、基本结构是如何安排的？
4、全文的各部分之间逻辑关系如何？
5、在研究本课题的过程中，发现了那些不同见解?对这些不同的意见，自己是怎样逐步认识的?又是如何处理的？
6、论文虽未论及，但与其较密切相关的问题还有哪些？
7、还有哪些问题自己还没有搞清楚，在论文中论述得不够透彻？
8、写作论文时立论的主要依据是什么？
答辩技巧
学生首先要介绍一下论文的概要，这就是所谓“自述报告”，须强调一点的是“自述”而不是“自读”。这里重要的技巧是必须注意不能照本宣读，把报告变成了“读书”。“照本宣读”是第一大忌。这一部分的内容可包括写作动机、缘由、研究方向、选题比较、研究范围、围绕这一论题的最新研究成果、自己在论文中的新见解、新的理解或新的突破。做到概括简要，言简意赅。
不能占用过多时间，一般以十分钟为限。所谓“削繁去冗留清被，画到无时是熟时”，就是说，尽量做到词约旨丰，一语中的。要突出重点，把自己的最大收获、最深体会、最精华与最富特色的部分表述出来。在答辩时，学生要注意仪态与风度，这是进入人们感受渠道的第一信号。如果答辩者能在最初的两分种内以良好的仪态和风度体现出良好的形象，就有了一个良好的开端。
这篇文章我们来介绍一下答辩的主要问题，方便同学做到心中有数不至于上台的时候一问三不知。论文提问主要是以下几个，随小编一起来阅读1、为什么会选择这个题目？在选择论文题目的时候，一般会选择自己平时研究的方向，如果并没有明确研究方向，也可以是自己感兴趣的想通过毕业论文的方式来研究探讨，这两个过程都需要去翻阅一些相关学术资料以及实验的论证来阐述自己的观点可行性。2、论文价值是什么?有关这个问题主要考察的我们同学思考能力以及对现实问题方面的关注。在做论文阐述的时候可以针对于论文中的观点以及论证做详细的解答。3、论文的理论基础是什么?这个是考察学生的专业能力，还有技术掌握的情况。在回答问题的时候一定要注意逻辑清晰，并且要突出自身的专业性和知识点。可以采用专业的理论知识来阐述自己的观点，和解释论文的内容，不要太过口语化。4、论文的研究方法是什么?研究也方法也是在答辩的时候常遇到的问题，这些问题主要考察的是学生对于论文所提出来的观点是否熟悉，以及对于论文中的一些研究方法是否了解，想要流畅的回答得到导师的认可，一定要提前做好相关的功课。论文答辩的注意事项1.论文打印成纸质的这样方便我们阅读，熟悉自己的论文，做到心中有数，答辩老师现场提问的时候就不至于一问三不知能做到对答如流那就会加分了；2.在答辩之前，我们熟悉好自己的论文以及老师常问的几个问题可以找几个同学进行模拟答辩，熟悉答辩的流程上台的时候就不会那么慌张应对自如了；3.在模拟和正式答辩都要控制好答辩的时间，每个同学答辩的时间浮动不能太大要不然会影响到下一个同学的答辩时间；4.常见的答辩问题自己可以先用小本子做好回答，同学间模拟答辩的时候就可以用上；5.答辩的PPT也是必不可少的，可以借鉴知道老师平时的ppt样式和风格，不要做得花里胡哨的逼近我们是做的学术研究要简单明了，能美观就更能加分了。更多资讯敬请关注papertime官网，方便论文查重和在线改重降重，感谢与你相遇！
毕业论文答辩是一种有组织、有准备、有计划、有鉴定的比较正规的审查论文的重要形式。为了搞好毕业论文答辩，在举行答辩会前，校方、答辩委员会、答辩者(撰写毕业论文的作者)三方都要作好充分的准备。在答辩会上，考官要极力找出来在论文中所表现的水平是真是假。而学生不仅要证明自己的论点是对的，而且还要证明老师是错的。
电子证据立法研究论文参考文献 参考文献：[1]刘品新。中国电子证据立法研究[M].北京：中国人民大学出版社2005：6. [2]霍宪丹。试论司法鉴定法制建设的发展方向[M].北京：法律出版社2002：326. [3]刘欣等。电子证据鉴定技术框架研究[J].小型微型计算机系统，2004，（10）：1880. [4]张立。电子证据检验锁定被告人真实年龄[N].检察日报，2009-12-20（1）。 [5]刘品新。中国电子证据立法研究[M].北京：中国人民大学出版社2005：203. [6]胡英。电子证据经司法鉴定才能还原真相[N].计算机世界，2009-09-14（52）。 [7]靳慧云。计算机犯罪侦查[M].北京：中国人民公安大学出版社2003：193. [8]杨郁娟。从司法鉴定的证据方法属性看司法鉴定制度改革[J].中国司法鉴定，2009，（6）：63-66.请继续阅读相关推荐： 毕业论文 应届生求职 毕业论文范文查看下载 查看的论文开题报告 查阅参考论文提纲
根据《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第一条，电子数据是案件发生过程中形成的,以数字化形式存储、处理、传输的，能够证明案件事实的数据。电子证据主要包括如下：1、网页、博客、微博客、朋友圈、贴吧、网盘等网络平台发布的信息。2、手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息。3、用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息。4、文档、图片、音视频、数字证书、计算机程序等电子文件。例外：以数字化形式记载的证人证言、当事人陈述等证据,不属于电子数据。为规范电子数据的收集提取和审查判断，提高刑事案件办理质量，近日，最高人民法院、最高人民检察院、公安部联合出台了《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（以下简称《规定》），将自2016年10月1日起施行。《规定》明确，电子数据是案件发生过程中形成的，以数字化形式存储、处理、传输的，能够证明案件事实的数据，包括：网页、博客、朋友圈等网络平台发布的信息，手机短信、电子邮件、即时通信等网络应用服务的通信信息，用户注册信息、身份认证信息、电子交易记录等信息，文档、图片、音视频等电子文件。《规定》要求，收集、提取电子数据，应当由二名以上侦查人员进行，取证方法应当符合相关技术标准。收集、提取过程中，如能够扣押电子数据原始存储介质的，应当扣押、封存原始存储介质，并制作笔录，如无法扣押原始存储介质的，可以提取电子数据，但应当注明原因、存放地点或电子数据的来源等情况。《规定》明确，如存在数据量大无法或不便提取，或者提取时间长可能造成电子数据被篡改或者灭失的等情形，经县级以上公安机关负责人或者检察长批准，可以对电子数据进行冻结。冻结电子数据，应当采取计算电子数据的完整性校验值、锁定网络应用账号等方法。《规定》要求，收集、提取的原始存储介质或者电子数据，应当以封存状态随案移送，并制作电子数据的备份一并移送，对网页、文档、图片等可以直接展示的电子数据，可以不随案移送打印件。对冻结的电子数据，应当移送被冻结电子数据的清单，注明类别、文件格式、冻结主体、证据要点、相关网络应用账号，并附查看工具和方法的说明。《规定》明确，电子数据是否真实，应当着重审查移送的是否是原始存储介质、电子数据是否具有数字签名或证书等特殊标识等内容，对电子数据是否完整，应当采取审查原始存储介质的扣押、封存状态等方法进行验证，对收集、提取电子数据是否合法，应当着重审查收集、提取电子数据是否由二名以上侦查人员进行以及取证方法是否符合相关技术标准等内容。《规定》明确，如公诉人、当事人或者辩护人、诉讼代理人对电子数据鉴定意见有异议，可以申请人民法院通知鉴定人出庭作证。人民法院认为鉴定人有必要出庭的，鉴定人应当出庭作证。经人民法院通知，鉴定人拒不出庭作证的，鉴定意见不得作为定案的根据。公诉人、当事人或者辩护人、诉讼代理人可以申请法庭通知有专门知识的人出庭，就鉴定意见提出意见。《规定》要求，在电子数据的收集、提取程序中，如存在未以封存状态移送等瑕疵的，不能补正或者作出合理解释的，不得作为定案的根据。如电子数据系篡改、伪造或者无法确定真伪的，以及电子数据有增加、删除、修改等情形，影响电子数据真实性的，不得作为定案的根据。法律依据：《中华人民共和国刑事诉讼法》第五十条可以用于证明案件事实的材料，都是证据。证据包括：(一)物证；(二)书证；(三)证人证言；(四)被害人陈述；(五)犯罪嫌疑人、被告人供述和辩解；(六)鉴定意见；(七)勘验、检查、辨认、侦查实验等笔录；(八)视听资料、电子数据。证据必须经过查证属实，才能作为定案的根据。《中华人民共和国刑事诉讼法》第五十五条对一切案件的判处都要重证据，重调查研究，不轻信口供。只有被告人供述，没有其他证据的，不能认定被告人有罪和处以刑罚；没有被告人供述，证据确实、充分的，可以认定被告人有罪和处以刑罚。证据确实、充分，应当符合以下条件：(一)定罪量刑的事实都有证据证明；(二)据以定案的证据均经法定程序查证属实；(三)综合全案证据，对所认定事实已排除合理怀疑。
计算机取证技术论文篇二 计算机取证技术研究 摘要：随着计算机和 网络技术 的飞速发展，计算机犯罪和网络安全等问题也越来越突出，也逐渐引起重视。文章对计算机取证的特点、原则和步骤进行了介绍，最后从基于单机和设备、基于网络的两类取证技术进行了深入研究。 关键词：计算机取证 数据恢复 加密解密 蜜罐网络 随着计算机和网络技术的飞速发展，计算机和网络在人类的政治、经济、 文化 和国防军事中的作用越来越重要，计算机犯罪和网络安全等问题也越来越突出，虽然目前采取了一系列的防护设备和措施，如硬件防火墙、入侵检测系统、、网络隔离等，并通过授权机制、访问控制机制、日志机制以及数据备份等安全防范措施，但仍然无法保证系统的绝对安全。 计算机取证技术是指运用先进的技术手段，遵照事先定义好的程序及符合法律规范的方式，全面检测计算机软硬件系统，查找、存储、保护、分析其与计算机犯罪相关的证据，并能为法庭接受的、有足够可信度的电子证据。计算机取证的目的是找出入侵者，并解释或重现完整入侵过程。 一、计算机取证的特点 和传统证据一样，电子证据也必须是可信的、准确的、完整的以及令人信服并符合法律规范的，除此之外，电子证据还有如下特点： 1.数字性。电子证据与传统的物证不同，它是无法通过肉眼直接看见的，必须结合一定的工具。从根本上讲，电子证据的载体都是电子元器件，电子证据本身只是按照特殊顺序组合出来的二进制信息串。 2.脆弱性。计算机数据每时每刻都可能发生改变，系统在运行过程中，数据是不断被刷新和重写的，特别是如果犯罪嫌疑人具备一定的计算机水平，对计算机的使用痕迹进行不可还原的、破坏性操作后，现场是很难被重现的。另外取证人员在收集电子证据过程中，难免会进行打开文件和程序等操作，而这些操作很可能就会对现场造成原生破坏。 3.多态性。电子证据的多态性是指电子证据可以以多种形态表现，它既可以是打印机缓冲区中的数据，也可以是各种计算机存储介质上的声音、视频、图像和文字，还可以是网络交换和传输设备中的历史记录等等，这些不同形态都可能成为被提交的证据类型。法庭在采纳证据时，不仅要考虑该电子证据的生成过程、采集过程是否可靠，还要保证电子证据未被伪造篡改、替换剪辑过。 4.人机交互性。计算机是通过人来操作的，单靠电子证据本身可能无法还原整个犯罪过程，必须结合人的操作才能形成一个完整的记录，在收集证据、还原现场的过程中，要结合人的 思维方式 、行为习惯来通盘考虑，有可能达到事半功倍的效果。 二、计算机取证的原则和步骤 (一)计算机取证的主要原则 1.及时性原则。必须尽快收集电子证据，保证其没有受到任何破坏，要求证据的获取具有一定的时效性。 2.确保“证据链”的完整性。也称为证据保全，即在证据被正式提交法庭时，必须能够说明证据从最初的获取状态到法庭上出现的状态之间的任何变化，包括证据的移交、保管、拆封、装卸等过程。 3.保全性原则。在允许、可行的情况下，计算机证据最好制作两个以上的拷贝，而原始证据必须专门负责，所存放的位置必须远离强磁、强腐蚀、高温、高压、灰尘、潮湿等恶劣环境，以防止证据被破坏。 4.全程可控原则。整个检查取证的过程都必须受到监督，在证据的移交、保管、拆封和装卸过程中，必须由两人或两人以上共同完成，每一环节都要保证其真实性和不间断性，防止证据被蓄意破坏。 (二)计算机取证的主要步骤 1.现场勘查 勘查主要是要获取物理证据。首先要保护计算机系统，如果发现目标计算机仍在进行网络连接，应该立即断开网络，避免数据被远程破坏。如果目标计算机仍处在开机状态，切不可立即将其电源断开，保持工作状态反而有利于证据的获取，比如在内存缓冲区中可能残留了部分数据，这些数据往往是犯罪分子最后遗漏的重要证据。如果需要拆卸或移动设备，必须进行拍照存档，以方便日后对犯罪现场进行还原。 2.获取电子证据 包括静态数据获取和动态数据获取。静态数据包括现存的正常文件、已经删除的文件、隐藏文件以及加密文件等，应最大程度的系统或应用程序使用的临时文件或隐藏文件。动态数据包括计算机寄存器、Cache缓存、路由器表、任务进程、网络连接及其端口等，动态数据的采集必须迅速和谨慎，一不小心就可能被新的操作和文件覆盖替换掉。 3.保护证据完整和原始性 取证过程中应注重采取保护证据的措施，应对提取的各种资料进行复制备份，对提取到的物理设备，如光盘硬盘等存储设备、路由器交换机等网络设备、打印机等外围设备，在移动和拆卸过程中必须由专人拍照摄像，再进行封存。对于提取到的电子信息，应当采用MD5、SHA等Hash算法对其进行散列等方式进行完整性保护和校验。上述任何操作都必须由两人以上同时在场并签字确认。 4.结果分析和提交 这是计算机取证的关键和核心。打印对目标计算机系统的全面分析结果，包括所有的相关文件列表和发现的文件数据，然后给出分析结论，具体包括：系统的整体情况，发现的文件结构、数据、作者的信息以及在调查中发现的其他可疑信息等。在做好各种标记和记录后，以证据的形式并按照合法的程序正式提交给司法机关。 三、计算机取证相关技术 计算机取证涉及到的技术非常广泛，几乎涵盖信息安全的各个领域，从证据的获取来源上讲，计算机取证技术可大致分为基于单机和设备的计算机取证技术、基于网络的计算机取证技术两类。 (一)基于单机和设备的取证技术 1.数据恢复技术 数据恢复技术主要是用于将用户删除或格式化的磁盘擦除的电子证据恢复出来。对于删除操作来说，它只是将文件相应的存放位置做了标记，其文件所占的磁盘空间信息在没有新的文件重新写入时仍然存在，普通用户看起来已经没有了，但实际上通过恢复文件标记可以进行数据恢复。对于格式化操作来讲，它只是将文件系统的各种表进行了初始化，并未对数据本身进行实际操作，通过重建分区表和引导信息，是可以恢复已经删除的数据的。实验表明，技术人员可以借助数据恢复工具，把已经覆盖过7次的数据重新还原出来。 2.加密解密技术 通常犯罪分子会将相关证据进行加密处理，对取证人员来讲，必须把加密过的数据进行解密，才能使原始信息成为有效的电子证据。计算机取证中使用的密码破解技术和方法主要有：密码分析技术、密码破解技术、口令搜索、口令提取及口令恢复技术。 3.数据过滤和数据挖掘技术 计算机取证得到的数据，可能是文本、图片、音频或者视频，这些类型的文件都可能隐藏着犯罪信息，犯罪分子可以用隐写的方法把信息嵌入到这些类型的文件中。若果犯罪分子同时结合加密技术对信息进行处理，然后再嵌入到文件中，那么想要还原出原始信息将变得非常困难，这就需要开发出更优秀的数据挖掘工具，才能正确过滤出所需的电子证据。 (二)基于网络的取证技术 基于网络的取证技术就是利用网络跟踪定位犯罪分子或通过网络通信的数据信息资料获取证据的技术，具体包括以下几种技术： 1.IP地址和MAC地址获取和识别技术 利用ping命令，向目标主机发送请求并监听ICMP应答，这样可以判断目标主机是否在线，然后再用其他高级命令来继续深入检查。也可以借助IP扫描工具来获取IP，或者利用DNS的逆向查询方法获取IP地址，也可以通过互联网服务提供商ISP的支持来获取IP。 MAC地址属于硬件层面，IP地址和MAC的转化是通过查找地址解析协议ARP表来实现的，当然，MAC跟IP地址一样，也可能被修改，如此前一度横行的“ARP欺”木马，就是通过修改IP地址或MAC来达到其目的的。 2.网络IO系统取证技术 也就是网络输入输出系统，使用netstat命令来跟踪嫌疑人，该命令可以获取嫌疑人计算机所在的域名和MAC地址。最具代表性的是入侵检测技术IDS，IDS又分为检测特定事件的和检测模式变化的，它对取证最大帮助是它可以提供日志或记录功能，可以被用来监视和记录犯罪行为。 3.电子邮件取证技术 电子邮件使用简单的应用协议和文本存储转发，头信息包含了发送者和接受者之间的路径，可以通过分析头路径来获取证据，其关键在于必须了解电子邮件协议中的邮件信息的存储位置。对于POP3协议，我们必须访问工作站才能获取头信息;而基于HTTP协议发送的邮件，一般存储在邮件服务器上;而微软操作系统自带的邮件服务通常采用SMTP协议。对于采用SMTP协议的邮件头信息，黑客往往能轻易在其中插入任何信息，包括伪造的源地址和目标地址。跟踪邮件的主要方法是请求ISP的帮助或使用专用的如NetScanTools之类的工具。 4.蜜罐网络取证技术 蜜罐是指虚假的敏感数据，可以是一个网络、一台计算机或者一项后台服务，也可以虚假口令和数据库等。蜜罐网络则是由若干个能收集和交换信息的蜜罐组成的网络体系，研究人员借助数据控制、数据捕获和数据采集等操作，对诱捕到蜜罐网络中的攻击行为进行控制和分析。蜜罐网络的关键技术包括网络欺、攻击捕获、数据控制、攻击分析与特征提取、预警防御技术。目前应用较多是主动蜜罐系统，它可以根据入侵者的攻击目的提供相应的欺服务，拖延入侵者在蜜罐中的时间，从而获取更多的信息，并采取有针对性的措施，保证系统的安全性。 参考文献： [1]卢细英.浅析计算机取证技术[J],福建电脑,2008(3). [2]刘凌.浅谈计算机静态取证与计算机动态取证[J],计算机与现代化,2009(6). 看了“计算机取证技术论文”的人还看： 1. 计算机犯罪及取征技术的研究论文 2. 安卓手机取证技术论文 3. 计算机安全毕业论文 4. 计算机安全论文 5. 计算机安全论文范文
计算机取证是一门新兴的技术学科,主要研究如何为获取和捕捉计算机犯罪电子证据提供有效的、完整的和安全的技术手段。新型计算机取证技术是传统计算机取证技术在新的取证环境下的发展和创新,包括新型计算机静态取证技术、新型计算机动态取证技术和新型计算机反取证反制技术。以下是我为大家精心准备的：计算机取证技术探讨相关论文。内容仅供参考，欢迎阅读!
计算机取证技术探讨全文如下：
摘要 ：本章概述了计算机取证技术，分别介绍了静态取证和动态取证的定义、原则和模型，从而得出了动态计算机取证的几个优点。
关键词 ：静态取证动态取证
1、计算机取证概述
1.1计算机取证的定义
计算机取证，是指对计算机入侵、破坏、欺诈、攻击等犯罪行为，利用计算机软硬体技术，按照符合法律规范的方式，进行识别、储存、分析和提交数字证据的过程。
1.2计算机取证的发展
计算机取证的发展可以划分为奠基时期、初步发展时期和理论完善时期等3个阶段。
始于1984年的奠基时期，计算机取证的基本思想、基本概念、基本标准及基本原则逐步建立。90年代中后期为计算机取证的初步发展期，在市场的强烈需求下，出现了一大批以Encase等工具为代表的计算机取证工具，使得计算机取证技术逐渐为人们所认识和接受。始于1999年的理论完善时期开始对计算机取证程式及取证标准等基本理论和基本问题进行进一步的研究。
1.3计算机取证的相关技术
计算机取证过程充满了复杂性和多样性，这使得相关技术也显得复杂和多样。依据计算机取证的过程，涉及到的相关技术大体如下：
1电子证据监测技术电子资料的监测技术就是要监测各类系统装置以及储存介质中的电子资料，分析是否存在可作为证据的电子资料。
2物理证据获取技术它是全部取证工作的基础，在获取物理证据时最重要的工作是保证所储存的原始证据不受任何破坏。
3电子证据收集技术电子资料收集技术是指遵照授权的方法，使用授权的软硬体装置，将已收集的资料进行保全，并对资料进行一些预处理，然后完整安全的将资料从目标机器转移到取证装置上。
4电子证据储存技术在取证过程中，应对电子证据及整套的取证机制进行保护。只有这样，才能保证电子证据的真实性、完整性和安全性。
5电子证据处理技术电子证据处理指对已收集的电子资料证据进行过滤、模式匹配、隐藏资料探勘等的预处理工作。
6电子证据提交技术依据法律程式，以法庭可接受的证据形式提交电子证据及相应的文件说明。
综上所述，计算机取证技术是由多种科技范畴组合而成的边缘科学。
2、静态计算机取证技术
2.1取证的基本原则
根据电子证据易破坏性的特点，确保电子证据可信、准确、完整并符合相关的法律法规，计算机取证主要遵循以下几点原则：
1尽早蒐集电子证据，并保证其没有受到任何破坏：
2必须确保“证据链”的完整性，即在证据被正式提交时，必须能够说明在证据从最初的获取状态到在法庭上出现状态之间的任何变化：
3整个检查、取证过程必须是受到监督的。
2.2取证的步骤
一般来说，为确保获取有效的法律证据，并保证其安全性和可靠性，计算机取证一般应包括保护目标系统、电子证据确定、收集、保护、分析和归档等六个步骤。
1保护目标计算机系统
是冻结计算机系统，避免发生任何的更改系统设定、硬体损坏、资料破坏或病毒感染的情况。
2电子证据的确定
对于计算机取证来说，需从储存在大容量介质的海量资料中区分哪些是电子证据，以便确定那些由犯罪者留下的活动记录作为主要的电子证据，并确定这些记录存在哪里、是怎样储存的。
3电子证据的收集
取证人员在计算机犯罪现场收集电子证据的工作包括收集系统的硬体配置资讯和网路拓扑结构，备份或列印系统原始资料，以及收集关键的证据资料到取证装置。
4电子证据的保护
采取有效措施保护电子证据的完整性和真实性，包括用适当的储存介质进行原始备份：对存放在取证伺服器上的电子证据采用加密、物理隔离、建立安全监控系统实时监控取证系统的执行状态等安全措施进行保护。
5电子证据的分析
对电子证据分析是对档案属性、档案的数字摘要和日志进行分析：分析作业系统交换档案、档案碎片和未分配空间中的资料：对电子证据做一些智慧相关性的分析，即发掘同一事件的不同证据问的联络：完成电子证据的分析后给出专家证明。
6归档
对涉及计算机犯罪的日期和时间、硬碟分割槽情况、作业系统和版本、执行取证时资料和作业系统的完整性、计算机病毒评估情况、档案种类、软体许可证以及取证专家对电子证据的分析结果和评估报告等进行归档处理，形成能提供给法庭的电子证据。
2.3取证的模型
静态取证系统按操作过程分为两个步骤：现场资料的分析和资料采集：进行资料集中综合分析。一种较好的方法是现场对目标主机记忆体的资料进行分析，根据恶意程式码的特点，集中分析一个程序空间的某一段资料，分析的结果以文件或报表等形式提交。
3、动态计算机取证技术
计算机动态取证是将取证技术结合到防火墙、入侵检测中，对所有可能的计算机犯罪行为进行实时资料获取和分析，智慧分析入侵者的企图，采取措施切断连结或诱敌深入，在确保系统安全的情况下获取最大量的证据，并将证据鉴定、保全、提交的过程。
3.1取证的基本原则
动态计算机取证对时间上要求非常严格，一般而言，其证据的提取基本上与入侵检测同时进行，时间上相差很小。
3.2取证的步骤
动态计算机取证是在进行网路入侵检测的同时进行证据的提取，所以其进行取证的步骤为：
1证据的获取
证据的提取是发生在入侵检测的同时，一旦网路入侵被检测系统发现，立即启动取证系统进行证据的提取工作。
2证据的转移
这里的证据转移是指将从入侵主机目标主机提取的证据安全转移到证据伺服器中的过程。
3证据的存档
证据的存档指的是证据在证据伺服器中的储存。被提取的证据须以一定的格式储存在证据伺服器中，证据伺服器与区域网内的主机是通过安全传输方式进行连线的，而且仅响应这些主机的请求。
4证据的调查分析
进行司法调查时，从证据伺服器中检视目标主机上提取的相关证据，进行有关调查分析。
5证据的呈供
动态计算机取证技术中的证据呈供与其在静态取证技术中的过程是基本一致的，也是将所有的调查结果与相应的证据上报法庭，这一阶段应依据政策法规行事，对不同的机构采取不同的方式。
3.3取证的模型
在动态取证中，通过实时监控攻击发生，一方面可以进行实时同步取证，对入侵做详细记录。另一方面启用响应系统，根据不同的攻击，采取不同的措施。这样一方面使取证更具有实时性和连续性，其证据更具有法律效力;另一方面，利用响应系统可以将系统的损失降为最小。
一般的网路攻击都要遵循同一种行为模式，即嗅探、入侵、破坏和掩盖入侵足迹等几个攻击阶段。对每一个不同的阶段，网路入侵取证可以采用不同的取证方法，并执行不同的响应措施。
4、结束语
传统的取证工具大部分是静态取证，即事件发生后对目标系统的静态取证。随着计算机入侵攻击技术的不断发展，这种事后静态取证的方法已经不能满足要求，需要对其进行改进，因此提出了动态取证。