TCOSOCC 006-2024 信息安全技術(shù) 電子數(shù)據(jù)收集提取技術(shù)要求

求Informationsecuritytechnology—Technicalrequirementsforelect 1 13術(shù)語和定義 14總體原則 14.1原件原則 14.2完整性 1 14.4保密性 2 2 26.1人員要求 2 3 3 3 3 3 3 3 4 48記錄 48.1基本要求 4 4 4 5 5 6 2本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定進、鄧建新、張德保、姜冰、熊凡凡、邱天、張紅艷、王新亮、段小莉。計算平臺等目標對象上收集提取電子數(shù)據(jù)提供技術(shù)要求與流程指導；規(guī)范公證機構(gòu)為核實調(diào)查所實施要依據(jù)；為電子數(shù)據(jù)收集提取工具生產(chǎn)廠商的產(chǎn)品研發(fā)、1信息安全技術(shù)電子數(shù)據(jù)收集提取技術(shù)要求本文件適用于非技術(shù)人員和技術(shù)人員開展部分或全部電子數(shù)據(jù)收集提取GB/T20985.1信息技術(shù)安全技術(shù)信息安全事件管理第1部分:事件管GB/T20985.1、GB/T2506源于可以顯示、識別的輸出介質(zhì)的電子數(shù)據(jù)，以上三類電子數(shù)據(jù)可視為電子數(shù)據(jù)的原件。數(shù)據(jù)的固定、收集提取過程；計算和比對電子數(shù)據(jù)的完整電子數(shù)據(jù)收集提取和分析具有可復現(xiàn)性，記錄電子數(shù)據(jù)收集提取和分析過程中的關(guān)鍵軟硬件設(shè)備的操作參數(shù)以及提取數(shù)據(jù)的完整性校驗值，其他電子數(shù)據(jù)收集提取和分析人員能夠復現(xiàn)收集提取和分T/COSOCC006—2024.4保密性a)準備階段：包括人員要求、環(huán)境要求、設(shè)備與設(shè)施要求和制定方案。b)收集提取階段：包括原始介質(zhì)封存提取、現(xiàn)場提取、網(wǎng)絡(luò)在線提取、電子數(shù)據(jù)凍結(jié)和打印拍照c)記錄階段：包括執(zhí)法與司法機關(guān)記錄信息、鑒定機構(gòu)記錄信息和電子數(shù)據(jù)持有機構(gòu)記錄信息。準備階段收集提取結(jié)結(jié)取取記錄階段圖1電子數(shù)據(jù)收集提取流程圖6準備階段36.2環(huán)境要求全要求。應(yīng)準備電子數(shù)據(jù)收集提取所需的軟硬件設(shè)備和設(shè)施。6.4制定方案a)根據(jù)事件的影響范圍、危害程度確定，確定事件響應(yīng)級別、事件響應(yīng)小組，選擇并啟動對應(yīng)的b)根據(jù)識別出的電子數(shù)據(jù)位置和類型，確定應(yīng)使用的收集提取方法；c)形成方案后獲得發(fā)起電子數(shù)據(jù)收集提取活動的主體機構(gòu)授權(quán)。7收集提取7.1原始介質(zhì)封存提取對計算機硬盤、移動硬盤、U盤、光盤、安全數(shù)字存儲卡(SD卡)和細小快閃儲存卡(TF卡)等存儲介質(zhì)，采用原始存儲介質(zhì)封存、提取方法，數(shù)據(jù)提取遵循以下步驟：a)在有條件的情況下，應(yīng)對原始存儲介質(zhì)進行單獨封存；b)獲取原始存儲介質(zhì)及相關(guān)應(yīng)用系統(tǒng)的信息，應(yīng)包括數(shù)據(jù)備份與加密、網(wǎng)絡(luò)拓撲與系統(tǒng)架構(gòu)、管d)若不具備復制條件，對原始存儲介質(zhì)進行數(shù)據(jù)提取的過程中，應(yīng)啟動數(shù)字攝像機或屏幕錄像軟e)對封存的原始存儲介質(zhì)或者提取的電子數(shù)據(jù)，可通過恢復、破解、統(tǒng)計、關(guān)聯(lián)、比對等方式進7.2現(xiàn)場提取信息系統(tǒng)或應(yīng)用程序以及需立即提取數(shù)據(jù)等情形，采用現(xiàn)場提取的方法，應(yīng)遵a)對可能被遠程控制的本地計算機信息系統(tǒng)，應(yīng)及時切斷信號、斷開網(wǎng)絡(luò)連接；b)保護電源，防止其它可能破壞現(xiàn)場電子數(shù)據(jù)的行為發(fā)生；c)獲取本地計算機信息系統(tǒng)、手機和應(yīng)用程序等相關(guān)信息，如用戶名、密碼；d)對于開機狀態(tài)下的計算機信息系統(tǒng)，應(yīng)按照數(shù)據(jù)易失性程度由高到低依次收集提?。籪)對于具備寫保護條件的原始存儲介質(zhì)、本地計算機信息系統(tǒng)等，應(yīng)將原始存儲介質(zhì)、本地計算機信息系統(tǒng)通過寫保護設(shè)備接入到數(shù)據(jù)收集提取工具上；g)對于不具備寫保護條件的將原始存儲介質(zhì)、本地計算機信息系統(tǒng)，數(shù)據(jù)提取的過程中應(yīng)啟動數(shù)h)對獲取的數(shù)據(jù)計算完整性校驗值；i)將提取的電子數(shù)據(jù)存儲到其它介質(zhì)，不應(yīng)存儲在原始存儲介質(zhì)中。4