国内外计算机取证设备对比与分析作者简介: 王玉福(1974 年), 男, 山东省平度市人, 大学本科, 主要研究领域为计算机取证软硬件设备;摘要: 对电子证据的获取、分析和发现是打击各种犯罪行为的一种全新手段。

随着国内涉及计算机取证的案件不断增多，法律部门越来越需要精确、高速、多功能、智能化、适应于不同场合的专业计算机取证设备来武装自己。

多年来，国外科研机构、院校、军警部门一直在努力加强计算机取证技术的研究，研制开发了各种各样的软硬件产品；国内科研机构也注意加强年来也出现一些专业的计算机取证产品。

如何充分地利用这些已有的计算机取证工具，提高国内法律部门的计算机取证水平，有效地打击犯罪行为具有重要的意义。

本文通过对比国内外各种计算机取证工具的特点，分析发现不同取证工具的使用优势，便于同行对不同取证设备的认识。

关键词: * 计算机取证; 设备评测*硬盘作为计算机最主要的信息存储介质，是计算机取证的重要获取内容，也是目前各种计算机取证工具的主要方向。

目前国内外市场上，用于硬盘拷贝、数据获取的专业产品较多：有为司法需要而特殊设计的MD5 、SF-5000 、SOLO II 硬盘拷贝机，有适合IT 业硬盘复制需要的SONIX 、Magic JumBO DD-212 、Solitair Turbo 、Echo 硬盘拷贝机；有以软件方式实现硬盘数据全面获取的取证分析软件，如FTK 、Encase 、Paraben's Forensic Replicator ；有综合软件获取和硬拷贝方式的取证勘察箱，如Image MASSter Road MASSter 、“天宇”移动介质取证箱、“网警”计算机犯罪取证勘察箱；此外，还有通过USB 接口、1394 接口、PCMCIA 、并口等方式的硬盘获取设备及附件，如LinkMasster II 、CloneCard 、USB WriteProtect 、Desktop WriteProtect 、“天宇”全能拷贝王等等。

在上述众多的计算机取证产品中，每一种产品都有其自身的特点和可利用的优势。

计算机取证人员可以根据不同的工作需要和工作环境选用不同的取证工具。

而为了实现最佳的取证效果，应当充分挖掘各种产品的功能，合理组合各种取证工具，形成一套设备精简、功能强大的专业计算机取证勘查工具集合。

本文就目前部分国内外计算机硬盘取证专业设备的性能特点进行介绍。

•手持式硬盘取证设备手持式硬盘取证设备的主要特点是体积小、重量轻，便于携带和使用。

在各种取证设备中，手持式硬盘取证设备拷贝速度最快，最高可达3.3GB/ 分钟。

多数手持式拷贝机以硬盘直接拷贝为主要方法，要将疑犯计算机的硬盘取出，直接与拷贝机连接，实现对硬盘数据的全面复制。

考虑到不同环境下的不同取证需要，新型拷贝机除硬盘直接拷贝方式外，还增加了USB 接口拷贝方式、SATA 硬盘拷贝、PCMCIA 接口拷贝，增强了拷贝机的功能和使用灵活性，促进了计算机取证技术的发展。

正因为具有便于携带和拷贝功能强的特点，手持式拷贝机成为司法取证的首选设备。

国际市场上手持式硬盘拷贝机大致可分为两代产品。

以SF-5000 、SOLO II 、SolitareTurbo 为代表的第一代拷贝机，拷贝速度最高可达 1.8GB/ 分钟。

以Forensic MD5 、Sonix 、DD-212 为代表的第二代硬盘拷贝机，拷贝速度最高可达3.3GB/ 分钟。

各种手持式硬盘拷贝机中，通过用途划分可分为司法专用型和民用型两种。

司法专用型以Forensic MD5 、SF5000 、SOLO II 为代表。

这些设备通过精确的数据校验机制，实时计算疑犯硬盘和证据硬盘的哈希值，确保疑犯硬盘数据未被改动、疑犯硬盘与证据硬盘完全一致。

目前主要的校验方法有MD5 和CRC32 ，基于此种方法进行校验，复制的硬盘能够作为司法证据被部分国家法律认可。

但是，由于采用的严格的数据校验机制，司法专用型拷贝机的硬盘拷贝速度也因数据校验时间而受影响。

以MD5 拷贝机为例，获取80GB 容量硬盘时，拷贝速度达到3GB/ 分钟，应该可在30 分钟内完成，但由于额外花费了近一倍的数据校验时间，导致最终完成时间为55 分钟。

民用型以Sonix 、DD-212 、Solitare Trubo 、Echo 为代表。

这些设备突出的特点是速度快、功能多、使用灵活。

但因为不具备精确的数据校验功能，使其无法作为司法取证工具使用。

但是如果在一些特殊的条件下，对拷贝精确没有非常严格的要求，那么此类设备将是非常理想的拷贝工具。

比如利用Solitare Trubo 复制一个Windows XP 操作系统仅需1-2 分钟即可完成，比软件方式的拷贝速度快数倍。

再如Sonix 拷贝机具有硬盘直接拷贝、USB 接口拷贝、SATA 硬盘拷贝、PCMCIA 接口拷贝、双向拷贝、智能拷贝、分区拷贝、硬盘管理等功能，最高拷贝速度可达 3.3GB/ 分钟，是目前所有产品中功能最强、速度最快的拷贝设备。

•市场各种型号手持式硬盘拷贝机简介•MD5 硬盘拷贝机MD5 硬盘拷贝机是美国Logicube 公司根据司法部门的特殊需求而设计的最新型计算机硬盘取证设备，2004 年 3 月上市，目前已开始应用于各国司法部门。

MD5 拷贝机与SF5000 相比速度有明显的提高，经实际测试，其最高速度达到3GB/ 分钟。

在拷贝方式上，MD5 具有硬盘直接拷贝、USB 接口拷贝、PCMCIA 接口拷贝，并口拷贝等四种方式。

其独特的DD 镜像捕获方式支持对疑犯硬盘进行数据镜像，并可在获取成功后直接利用FTK 、ENCASE 进行数据分析。

DD 镜像捕获方式可在大容量硬盘中保存多个疑犯硬盘的镜像，解决了疑犯硬盘数量多而证据硬盘数量不足的问题。

具备CF 卡，预先设定关键字，进行关键词搜索。

支持对其他操作系统，如Linux 、苹果格式硬盘拷贝。

由于采用了MD5 和CRC32 数据校验机制，MD5 硬盘拷贝机可确保数据位对位的准确，是一种最精确、功能强的专业计算机取证设备。

优势：启动时间短，拷贝精度高、拷贝速度快、拷贝方式多、关键字搜索、USB 只读保护。

不足：相比SF5000 ，拷别速度提高一倍，但实际完成时间仍然较长。

•SONIX 硬盘拷贝机Sonix 是美国Logicube 公司最新研制并发布的民用型硬盘拷贝机，2004 年6 月完成。

这种硬盘拷贝机具有拷贝速度快、适应范围广、功能多样、体积小巧等特点。

Sonix 拷贝机是目前市场上拷贝速度最快的产品，最高可达3.3GB/ 分钟，复制完成80GB 硬盘仅需30 分钟。

拷贝方式支持硬盘直接拷贝、USB 接口拷贝、PCMCIA 接口拷贝，并口拷贝，且所有接口均设计于拷贝机内部，无需再外接任何如USB 适配器、SATA 适配器等额外配件，减少了所需携带的设备数量。

数据据获取功能方面，Sonix 支持双向拷贝方式，既可以从内向外方向拷贝数据，以可以从外向内拷贝数据，增加使用灵活性，快速拷贝各种品牌、型号、容量的 2.5” 和 3.5” IDE, EIDE 和Ultra-DMA 硬盘。

具有选择性拷贝分区功能，允许选择性拷贝如第一个、第八个分区。

支持对所有类型分区进行扇区对扇区的全面拷贝，包含对Mac, Linux, Unix, Sun, OS6 的支持。

Sonix 拷贝机据有智能拷贝功能，可跳过硬盘剩余空间，仅拷贝数据区域，加快拷贝速度。

拷贝过程中，可自动根据目标盘容量调整各分区比例。

NTFS 智能拷贝方式支持所有基于NT 的文件系统，如Windows 2000/XP 。

在使用方面，Sonix 具有独特的硬盘管理功能，其内置的主盘能够在Windows 环境直接使用和管理。

可利用Windows 环境下的工具软件对主盘调整分区、重新格式化；利用Windows 资源管理器对主盘中的数据拷贝或删除；对主盘中的数据进行删除与恢复；对主盘中的数据进行备份或恢复。

可将不同来源的硬盘分区组合于一块硬盘中，即可替换现有分区，也可将分区添加到主盘不同位置。

Sonix 是一款适合民用的计算机拷贝工具，但其 3.3GB/ 分钟的拷贝速度和灵活的使用方式，特别适宜某些特殊环境、特殊需要的情况。

因此，该设备可以作为计算机取证辅助工具。

优势：启动时间短，拷贝速度快、拷贝方式多，SATA 硬盘、拷贝无需额外配件、双向拷贝、磁盘管理。

不足：拷贝精度同司法专业性相比略显差距，双向拷贝使用不当可能造成意外损失。

•慧全DD-212/DD-128 硬盘拷贝机DD-212 和DD-128 是台湾慧全公司研制生产的两款不同的民用型硬盘拷贝机。

主要特点是拷贝速度快，实测为 2.8GB/ 分钟。

DD-212 型拷贝机可以实现一次同时拷贝2 个IDE 目标硬盘，DD-128 支持SCSI 硬盘和IDE 硬盘的互换拷贝。

两款拷贝机同时支持 5.25 寸、 3.5 寸、 2.5 寸IDE 硬盘和SATA 硬盘，DD-128 额外增加了SCSI I/II 、Ultra-SCSI 和SCA-SCSI 硬盘的支持。

两款拷贝机适用于MS-DOS, IBM-DOS, OS/2, NCR, NEC, Windows NT/2000/XP,Windows 95/98/ME, Macintosh, Unix/Xenix , Novell, Linux, FreeBSD, BeOS, HPA 格式及非FAT 格式等不同操作系统。

拷贝方式采用同步独立式，硬盘的格式化、复制、快速复制、比较、校验、数据擦除等功能可同时完成。

数据拷贝、数据比较和校验功能可单独进行。

拷贝功能方面，可选择完全复制、快速复制、分区复制。

优势：拷贝速度快，使用简单，处理坏扇区较好，SCSI 硬盘拷贝， 1 对2 拷贝。

不足：体积较大，拷贝精度不足，硬盘电源线定义不同，绝不可与其他厂商硬盘电源线互换使用。

•SF-5000 硬盘拷贝机SF-5000 硬盘拷贝机是美国Logicube 公司研制的司法专业型硬盘取证设备。

虽然MD5 拷贝机必将逐步取代SF-5000 拷贝机成为今后司法取证的主流产品，但由于其具有优秀的性能价格比，SF-5000 将继续在世界计算机取证领域中扮演重要的角色。

SF-5000 拷贝机包含有MD5 拷贝机的许多功能，只是拷贝速度相比稍慢，仅达到2GB/ 分钟。

此外，不具备MD5 拷贝机的关键词搜索功能、CF 卡插槽和DD 镜像拷贝方式。

其独特的CRC-32 校验机制（软件方式和硬件方式）能同时计算疑犯硬盘和证据硬盘的CRC-32 校验值，并通过打印机现场输出报告。

SF-5000 拷贝机能够与USB 写保护适配器、Desktop 写保护适配器和CloneCard 配合使用，是一种使用灵活，安全可靠的计算机取证设备。