數據恢復技術在計算機取證系統中的應用

程優

摘 要 計算機技術的發展，讓各個行業的信息化進程不斷深入，使工作方式發生根本性轉變。利用計算機實施犯罪的情況逐漸增多，在整個社會范圍內造成嚴重的負面影響，對各個層面的安全造成較為嚴重的威脅。為此，利用計算機取證系統搜索犯罪分子在計算機當中遺留的電子證據，已經成為當前研究的重點。本文對數據恢復原理的內容進行分析，然后解讀了計算機取證與數據恢復之間存在的關系，最后利用系統設計的方式闡述了數據恢復技術在計算機取證系統中的應用情況。

【關鍵詞】數據恢復技術 計算機取證系統 計算機犯罪

犯罪的形式已經發生改變，利用計算機竊取商業機密、盜取國家機密的現象十分常見。使用計算機實施犯罪活動之后，數據十分容易被篡改和銷毀，給取證工作造成困擾，利用數據恢復技術對獲取此類型證據具有重要意義，與此有關的研究已經全面展開。

1 數據恢復原理

計算機當中的存儲部件將各種數據以電磁信號的形式進行儲存。磁盤當中的磁粒子變動可以促成數據的保存。需要對其進行讀取的時候，計算機就會將轉換機制作用在信號上，進而轉換為通常可以操作的數據。

如果數據遭到刪除，計算機當中的存儲部分并未將數據完全處理，僅是對其中的部分進行變動，然后作上相應的標示，數據被刪除的部分便可以繼續存儲文件。比如在FAT系統當中，當實施刪除之后，系統僅是將文件目錄中的說明進行修改，添加固定的標識之后就代表此數據已經被刪除，但是原本的數據存儲區域并未發生變化。只要將刪除的標記部分進行修改還原就可以實現數據恢復。此方面的研究應該對計算機取證系統重新進行設計，讓其具備的數據恢復功能可以對當前使用范圍最廣的操作系統windows以及文件處理系統FAT當中得到應用。如此，此類系統的設計才能夠發揮較強的現實作用。

在判定完以上事項之后，還應該對硬盤的數據管理方式進行研究。對于采用FAT格式的磁盤而言，數據的存儲分區都是固定的。系統首先進入主導扇區，主要對所有的分區進行事先判定，可以對各個分區的信息進行記錄，如此就會將其中存在的各種現實情況進行必要的引導疏通。在格式化發生之后，在DBR后面仍然保存著FAT表，兩者可以實現相鄰排列，變動情況與分區改變情況存在密切關聯。單一的存儲位置存在對應的唯一FTA編碼。FTA表與FDT互相配合，掌控所有文件。會對每個簇的使用情況進行顯示，決定著其中任意一個是否可以得到實際應用。需要注意的是，格式化展開之后，所有文件并非被真正地刪除，而是其中的FAT表被修改，其他部位也是通過修改幾個程序達到刪除目的。事實證明，大部分DATA都并未在格式化的過程中遭受破壞。這就使得原本存在的數據仍然被保存，只是改變了存儲方式，為數據恢復工作能夠正常發揮作用提供了可能。數據恢復技術正是在此基礎之上對原本存在的各種問題進行修改，然后利用計算機當中的軟件實現數據恢復目的。

2 計算機取證與數據恢復的關聯

兩者之間的技術基礎存在的差別較小，都與存儲和數據有關，而且在技術與工作準則方面存在較為明顯的聯系。在二者發揮作用的過程中，都需要工作者秉持科學的理念，對存儲部分采取相同或者類似的處理措施。但是，二者之間也存在一定差別，數據恢復的主要職責就是將原本已經被刪除或者格式化的文件數據尋找回來。數據恢復之后，其中的文件并不一定與法律存在關系，也可能是用作商業用途。計算機取證本身便是法律事項的一個重要環節，按照科學方式獲取的證據已經具備法律效力。

數據恢復在計算機取證當中占據重要地位，進行此項活動的最主要目的就是為了獲取電子證據。不僅如此，在犯罪分子沒有使用的計算機當中通過數據恢復也可以獲得與犯罪活動有關的信息，對案件的偵破工作行程較為良好的輔助作用。事實證明，此類犯罪分子本身具備較強的計算機知識技能，因而會在實施犯罪活動之后將其中的數據進行損毀，這就使得數據恢復存在較強的必要性。當前，一些軟件的數據恢復性能會對工作成果造成重大影響，因此必須對系統當中的軟件功能進行擴展，盡量獲得盡可能多的數據，最佳情況就是將所有數據恢復。

3 數據恢復技術在計算機取證系統中的應用

在進行系統設計之前應該對傳統意義上的證據與電子證據進行對比，進而讓系統設計更加符合現實要求。計算機當中的數據處于隨時變動的狀態，而且由于其存儲方式較為特殊，不具備直觀特性。電子證據與計算機存在密切關聯，其發揮作用都必須在計算機的輔助之下完成，可以說，傳統數據可以進行實物保存，但是此類證據只能依靠計算機技術。而且電子證據尋找的過程中，必須對其進行技術支持，即使在此種情況也會出現證據損毀的情況，使得取證工作較難完成。因此，在進行電子取證的過程中，技術人員必須選擇性能較強的軟件，針對其中的各個部分進行仔細研究，讓相關事項可以在科學手段的輔助之下得到完成。如此才能夠確保各項工作順利完成。

應該進行相應系統的設計，讓數據將恢復技術可以發揮實際功能。在進行系統設計之前，應該對硬盤信息進行判斷，結合文件存儲的相關原理，設計出符合現實應用要求的系統。

在各種信息判定之后，應該根據系統的功能需求設定相應的功能模塊，確保數據恢復的各個環節都可以順利實現。只讀控制模塊對需要進行處理的硬盤當中所有的寫入信息進行搜集。同時，也會對緩存部分進行必要的處理，針對其中已經存儲過的數據實施監控，避免硬盤當中原本已經存在的數據受到破壞，一旦數據出現損毀就會造成取證工作難以實現。系統當中的修復模塊具備較強的修復功能，負責處理導致磁盤無法開啟的一些因素。比如，盤中的一些部位由于遭受病毒侵襲就會造成本體破壞，如果達到一定程度就會造成磁盤無法啟用。前兩個模塊起到的是確保數據恢復順利完成，數據恢復模塊便需要在其輔助之下得到改善，必須對此情況進行改進，讓數據恢復模塊可以順利發揮作用。

其中的分區修復功能較為重要，使用當前最為常見的操作系統，可以實現磁盤的快速掃描，對其中受到破壞的部分進行快速修復，此種情況必須在其輔助之下得到改善。首先系統會對數據恢復日志的處理進行判定，判斷是否需要進行保存，使得相關數據必須在其輔助之下得到處理。因為與磁盤有關的各種信息都記錄在其中。使用者如此在日后繼續對其進行操作，就可以根據其中的內容直接進行業務的處理，簡化了操作步驟。然后對需要修補的部位進行掃描，選定之后便可以對此部位的有效信息進行判斷。

當前，最為常用的文件處理系統是FAT，系統設計應該符合其特點，如此才能夠發揮最為廣泛的作用。此類文件刪除之后仍然存在與文件有關的各種信息。其中的所有文件的定義形式都與i節點存在關聯。實際上，文件的刪除就是i節點被清除干凈的象征。這也就使得數據恢復難以直接進行，可以尋找其他類型的方式進行恢復。對其文件頭以及文件腳進行掃描可以很好地實現這個目的。如果兩者難以尋找，就必須計算文件的長度，將其中存在的數據進行存儲。

4 總結

利用計算機實施違法活動的現象已經引起社會廣泛關注。計算機當中遺留的犯罪證據的提取需要在數據恢復技術的輔助之下完成。可以說，計算機取證工作在數據恢復技術的幫助下解決很多難題，必須對此進行深入研究，讓計算機取證工作可以對計算機犯罪活動起到良好的遏制作用。經過本文研究證實，計算機當中的數據被刪除之后并非真正消失，而是換了一種形式存儲在硬盤當中，這就為數據恢復技術發揮作用提供了可能，由此入手設計計算機取證系統，使用系統當中的軟件對刪除的數據進行恢復，為懲治犯罪分子尋找證據。

參考文獻

[1]李超.集中化檢測項目災難備份系統的建設[J].中國輸血雜志，2009，15（12）：115-116.

[2]王笑強.數據恢復技術成為電子取證的核心技術[J].計算機安全，2011，23（12）：118-119.

[3]薛琴.基于FinalData的數據恢復技術在計算機取證中的應用[J].警察技術，2012，05（04）：115-116.

[4]王中杉，劉乃琦，秦科，等.取證系統中數據恢復關鍵技術研究[J].計算機應用研究，2010，21（09）：156-157.

[5]李俊莉.數據恢復技術在計算機取證中的應用[J].南陽師范學院學報，2011，（09）：115-116.

[6]姚麗麗.淺談計算機數據恢復技術的原理與實現[J].黑龍江科技信息，2011，24（07）：112-113.

作者單位

重慶市人民檢察院第二分院 重慶市 404100endprint