“黑匣子”中获取。说到这里您可能就猜到了，计算机的黑匣子就是自身的日志记录系统。从理论上讲，计算机取证人员能否找到犯罪证据取决于：有关犯罪证据必须没有被覆盖；取证软件必须能找到这些数据；取证人员能知道这些文件，并且能证明它们与犯罪有关。但从海量的数据里面寻找蛛丝马迹是一件非常费时费力的工作，解决这一难题方法的就是切入点，所以说从日志入手才是最直接有效的手段。
这里还需要指出，不同的操作系统都可以在“Event Viewer Security”(安全事件观察器)中能够检查到各种活动和日志信息，但是自身的防护性能都是非常低，一旦遭受到入侵，很容易就被清除掉。从中我们可以看到，专业的日志防护与分析软件在整个安全产品市场中的地位之重，无需置疑。
我国有关计算机取证的研究与实践尚在起步阶段，在信息技术较发达的美国已有了30年左右的历史。现在美国至少有70%的法律部门拥有自己的计算机取证实验室，取证专家在实验室内分析从犯罪现场获取的计算机（和外设），并试图找出入侵行为。
在国内，公安部门打击计算机犯罪案件是近几年的事，有关计算机取证页码：[1] [2] [3] [4] [5] 第4页、共5页 |
