三、计算机取证

计算机取证是数字取证的一个主要分支，主要用于计算机终端设备和存储设备上的数字证据的保存、获取、检查、分析和报告等环节。计算机取证的数字证据主要存在于文件系统中，包括操作系统数据和日志、数据库文件和日志、应用程序数据和日志、安全日志、各种配置文件和注册表、Internet访问日志（特别是浏览器）、休眠文件和交换文件（分区）等。

另外，计算机内存取证的重要性也日益突出，对物理内存的保存和分析（内存取证）可以得知信息安全事件发生时的重要状态信息，包括进程表、打开的文件，已经加载的库文件、当前登录的用户、网络连接表、DNS信息、路由表、ARP表，另外可能存在加密的文件、程序的解密密钥。这些数据和信息利于后期的计算机取证分析和研究。(https://www.daowen.com)

计算机取证