课程

目标

学习电子数据取证的基础知识，涉及的主要设备和软件，并通过取证工具软件， 学习证据固定、数据校验、文件过滤、文件签名、数据恢复。

9:00-12:30 课程要点

要点1

电子数据取证技术概述

通过技术点和案例介绍电子数据取证相关知识国内外取证工具概述

要点2

取证计算机和软件准备，取证环境搭建、工具安装X-ways Forensics／Winhex软件基础

创建案件、软件设置、软件基本介绍

磁盘镜像

1.获取一个磁盘的物理镜像

要点3

2.Windows运行状态下获取Bitlocker加密磁盘逻辑镜像

3.获取目录和文件-创建证据容器

4.获取网络磁盘数据 5.挂载APFS文件系统磁盘镜像

午餐 午休

14:00-18:00 课程要点

文件类型与过滤

要点4

1.过滤指定名称的文件；2.过滤常用办公文档；

3.排除常用目录下的无用文件；4.利用时间属性过滤；

5.寻找加密的文件；6.保存组合过滤条件；

文件签名和签名验证

要点5

1.自动验证所有的文件签名；2.依据文件签名过滤所有不匹配的图片；

3.查找被人为修改扩展名的压缩文件；4.依据签名恢复Doc文件；

5.陌生格式文件的签名分析；6.文件签名库的维护；

哈希值与哈希库

1.计算和验证磁盘镜像哈希值；2.计算所有图片文件的哈希值；

要点6

3.创建哈希库；4.查找案件中关注的重要文档；

5.查找并隐藏无关的文件、重复的文件 ；6.导入第三方哈希库；

19:00-21:00 实战练习

课程

目标

温习第一天课程，对X-ways磁盘快照、数据恢复方法有一个基本的了解，通过练习加深理解文件类型、签名、过滤、哈希、搜索。深入理解文件时间和元数据， 不同状态的取证方法。能够开始利用所学知识进行完整案件的分析。

9:00-12:30 课程要点

物理搜索与逻辑搜索

要点7

1.搜索包含关键词“峰会”的文件；2.搜索iphone拍摄的照片；

3.搜索残留的网页邮件；4.搜索图片中的图片；

5.搜索残留的聊天记录；6.搜索手机号码、身份证号码；

时间属性（创建、修改、访问）

1.文件何时打开过？；2.磁盘是何时格式化的？；

要点8

3.文件和目录是何时删除的？；4.哪些文件可能是拷贝来的？；

5.文件是何时下载的？；6.系统是何时安装的？用户何时关机的？

要点9

数据恢复

1.XP与Win10回收站；2.Fat32删除数据恢复；

3.NTFS格式化恢复；4.丢失的分区恢复；

午餐 午休

14:00-18:00 课程要点

要点10

关机状态计算机的取证方法

1.获取Windows计算机硬盘；2.获取苹果计算机硬盘；

3.获取加密的Surface硬盘；4.获取TimeMachine备份硬盘；

元数据

要点11

1.Doc文件的编辑历史痕迹；2.Photoshop修改过的图片；

3.在武汉发出的电子邮件；4.所有在成都拍摄的照片；

5.Sprite编辑过的所有xls文件；6.AcrobatPDF1.x的所有文件；

运行状态的计算机数据获取

1.是否运行着加密程序？；2.拷贝所有的重要文档；

要点12

3.获取磁盘物理镜像和逻辑镜像4.远程获取监控硬盘；

5.拷贝所有的邮件；6.连接的加密磁盘；

19:00-21:00 实战练习

课程

目标

继续深入学习磁盘快照，理解压缩、邮件、嵌入的数据、缩略图、肤色图片、打印痕迹、注册表，设备使用痕迹，软件安装痕迹，互联网痕迹，全面分析用户行为，利用时间线索进行案件分析。

9:00-12:30 课程要点

快捷方式和跳转文件

要点13

1.什么时候第一次打开过”合同.doc”文件？

2.是否拷贝过服务器中文件？

3.是否在U盘编辑过文件？

4.何时安装了加密软件？

图片和缩略图

要点14

1.JPG中的缩略图；2.XP和Win10的缩略图库；

3.目录下删除了哪些照片？；4.破损图片都是什么内容？；

5.查找所有的黑白扫描文件；6.查找所有黄色图片；

要点15

后台打印文件

1.曾经打印过什么文件？；2.打印的时间；

3.打印的文件的原始位置在哪里？；

午餐 午休

14:00-18:00 课程要点

要点16

注册表

1.登陆用户，开关机时间；2.连接过的U盘；3.连接过的无线上网卡；

4.安装过的foxmail软件；5.F盘究竟是什么设备？；6.打开过哪些文件；

上传与下载

要点17

1.什么时间下载的百度云管家？；2.都关注什么？兴趣爱好；

3.上传过什么东西；4.云盘账户名称；

5.登陆过哪些网络邮箱？；6.安装的各种浏览器都下载过什么？；

电子邮件

1.是否使用过客户端软件？；2.网页邮件内容？；

要点18

3.Sprite有几个电子邮箱？；4.恢复删除的电子邮件；

5.《iOS取证分析》是谁写的？；6.文件都发送给了谁？；

19:00-21:00 实战练习

课程

目标

组合过滤、搜索、预览等方法，全面解析NTFS日志和隐藏的证据，在不同位置发现有价值的证据信息和痕迹。能够对Windows计算机进行分析。

9:00-12:30 课程要点

ADS数据流

要点19

1.如何将文件隐藏进数据流；

2.如何发现隐藏的数据流文件；

3.能否发现隐藏数据流的时间？；

USN日志

要点20

1.检查USN日志是否存在；

2.发现创建CCFC.LNK文件的时间；

3.发现删除CCFC文件的时间；

4.USN日志与MFT的协同分析；

要点21

$LogFile

1.X-Ways运行过的时间和临时文件；

2.印证doc文件编辑的时间；

午餐 午休

14:00-17:00 课程要点

特定区域中痕迹分析

要点22

1.文件残留区；

2.未分配空间；

3.Pagefile中的有价值信息；

要点23

数据库文件

1.访问过多少次链接；2.同一个地址的访问次数；

3.时间转换；4.分析一个陌生app的历史痕迹；

安卓手机镜像分析

要点24

1.操作系统和APP分析

2.手动分析联系人和短信息

3.EXT文件系统删除的照片

4.删除的视频

18:00-21:00 CISAW模拟考试

课程目标

备考CISAW认证考试

9:30-12:00 课程要点

明确考试大纲

讲解模拟试题

复习备考

复习考试重点

更多实战演练

午餐 午休

14:00-17:00

CISAW电子数据取证专业级认证考试