TCOSOCC 006-2024 信息安全技術(shù) 電子數(shù)據(jù)收集提取技術(shù)要求

求Informationsecuritytechnology—Technicalrequirementsforelect 1 13術(shù)語(yǔ)和定義 14總體原則 14.1原件原則 14.2完整性 1 14.4保密性 2 2 26.1人員要求 2 3 3 3 3 3 3 3 4 48記錄 48.1基本要求 4 4 4 5 5 6 2本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定進(jìn)、鄧建新、張德保、姜冰、熊凡凡、邱天、張紅艷、王新亮、段小莉。計(jì)算平臺(tái)等目標(biāo)對(duì)象上收集提取電子數(shù)據(jù)提供技術(shù)要求與流程指導(dǎo)；規(guī)范公證機(jī)構(gòu)為核實(shí)調(diào)查所實(shí)施要依據(jù)；為電子數(shù)據(jù)收集提取工具生產(chǎn)廠商的產(chǎn)品研發(fā)、1信息安全技術(shù)電子數(shù)據(jù)收集提取技術(shù)要求本文件適用于非技術(shù)人員和技術(shù)人員開(kāi)展部分或全部電子數(shù)據(jù)收集提取GB/T20985.1信息技術(shù)安全技術(shù)信息安全事件管理第1部分:事件管GB/T20985.1、GB/T2506源于可以顯示、識(shí)別的輸出介質(zhì)的電子數(shù)據(jù)，以上三類電子數(shù)據(jù)可視為電子數(shù)據(jù)的原件。數(shù)據(jù)的固定、收集提取過(guò)程；計(jì)算和比對(duì)電子數(shù)據(jù)的完整電子數(shù)據(jù)收集提取和分析具有可復(fù)現(xiàn)性，記錄電子數(shù)據(jù)收集提取和分析過(guò)程中的關(guān)鍵軟硬件設(shè)備的操作參數(shù)以及提取數(shù)據(jù)的完整性校驗(yàn)值，其他電子數(shù)據(jù)收集提取和分析人員能夠復(fù)現(xiàn)收集提取和分T/COSOCC006—2024.4保密性a)準(zhǔn)備階段：包括人員要求、環(huán)境要求、設(shè)備與設(shè)施要求和制定方案。b)收集提取階段：包括原始介質(zhì)封存提取、現(xiàn)場(chǎng)提取、網(wǎng)絡(luò)在線提取、電子數(shù)據(jù)凍結(jié)和打印拍照c)記錄階段：包括執(zhí)法與司法機(jī)關(guān)記錄信息、鑒定機(jī)構(gòu)記錄信息和電子數(shù)據(jù)持有機(jī)構(gòu)記錄信息。準(zhǔn)備階段收集提取結(jié)結(jié)取取記錄階段圖1電子數(shù)據(jù)收集提取流程圖6準(zhǔn)備階段36.2環(huán)境要求全要求。應(yīng)準(zhǔn)備電子數(shù)據(jù)收集提取所需的軟硬件設(shè)備和設(shè)施。6.4制定方案a)根據(jù)事件的影響范圍、危害程度確定，確定事件響應(yīng)級(jí)別、事件響應(yīng)小組，選擇并啟動(dòng)對(duì)應(yīng)的b)根據(jù)識(shí)別出的電子數(shù)據(jù)位置和類型，確定應(yīng)使用的收集提取方法；c)形成方案后獲得發(fā)起電子數(shù)據(jù)收集提取活動(dòng)的主體機(jī)構(gòu)授權(quán)。7收集提取7.1原始介質(zhì)封存提取對(duì)計(jì)算機(jī)硬盤(pán)、移動(dòng)硬盤(pán)、U盤(pán)、光盤(pán)、安全數(shù)字存儲(chǔ)卡(SD卡)和細(xì)小快閃儲(chǔ)存卡(TF卡)等存儲(chǔ)介質(zhì)，采用原始存儲(chǔ)介質(zhì)封存、提取方法，數(shù)據(jù)提取遵循以下步驟：a)在有條件的情況下，應(yīng)對(duì)原始存儲(chǔ)介質(zhì)進(jìn)行單獨(dú)封存；b)獲取原始存儲(chǔ)介質(zhì)及相關(guān)應(yīng)用系統(tǒng)的信息，應(yīng)包括數(shù)據(jù)備份與加密、網(wǎng)絡(luò)拓?fù)渑c系統(tǒng)架構(gòu)、管d)若不具備復(fù)制條件，對(duì)原始存儲(chǔ)介質(zhì)進(jìn)行數(shù)據(jù)提取的過(guò)程中，應(yīng)啟動(dòng)數(shù)字?jǐn)z像機(jī)或屏幕錄像軟e)對(duì)封存的原始存儲(chǔ)介質(zhì)或者提取的電子數(shù)據(jù)，可通過(guò)恢復(fù)、破解、統(tǒng)計(jì)、關(guān)聯(lián)、比對(duì)等方式進(jìn)7.2現(xiàn)場(chǎng)提取信息系統(tǒng)或應(yīng)用程序以及需立即提取數(shù)據(jù)等情形，采用現(xiàn)場(chǎng)提取的方法，應(yīng)遵a)對(duì)可能被遠(yuǎn)程控制的本地計(jì)算機(jī)信息系統(tǒng)，應(yīng)及時(shí)切斷信號(hào)、斷開(kāi)網(wǎng)絡(luò)連接；b)保護(hù)電源，防止其它可能破壞現(xiàn)場(chǎng)電子數(shù)據(jù)的行為發(fā)生；c)獲取本地計(jì)算機(jī)信息系統(tǒng)、手機(jī)和應(yīng)用程序等相關(guān)信息，如用戶名、密碼；d)對(duì)于開(kāi)機(jī)狀態(tài)下的計(jì)算機(jī)信息系統(tǒng)，應(yīng)按照數(shù)據(jù)易失性程度由高到低依次收集提??；f)對(duì)于具備寫(xiě)保護(hù)條件的原始存儲(chǔ)介質(zhì)、本地計(jì)算機(jī)信息系統(tǒng)等，應(yīng)將原始存儲(chǔ)介質(zhì)、本地計(jì)算機(jī)信息系統(tǒng)通過(guò)寫(xiě)保護(hù)設(shè)備接入到數(shù)據(jù)收集提取工具上；g)對(duì)于不具備寫(xiě)保護(hù)條件的將原始存儲(chǔ)介質(zhì)、本地計(jì)算機(jī)信息系統(tǒng)，數(shù)據(jù)提取的過(guò)程中應(yīng)啟動(dòng)數(shù)h)對(duì)獲取的數(shù)據(jù)計(jì)算完整性校驗(yàn)值；i)將提取的電子數(shù)據(jù)存儲(chǔ)到其它介質(zhì)，不應(yīng)存儲(chǔ)在原始存儲(chǔ)介質(zhì)中。4