ISO/IEC 27037:2012 数字证据识别、收集、获取与保存

一、ISO/IEC 27037:2012 数字证据概述

ISO/IEC 27037:2012 提供了关于数字证据识别、收集、获取和保存的指南。在数字证据支撑刑事调查、民事诉讼、事件响应和法规遵从的时代，本标准填补了一个关键空白——即需要一致且可辩护的数字证据处理方法，使其能够经受司法审查。本标准适用于任何可能需要收集和保存数字证据的组织，包括执法机构、企业安全团队、事件响应公司和取证服务提供商。

标准定义了四个关键过程：识别（定位潜在的数字证据源）、收集（收集可能含有证据的物理物品）、获取（创建数字数据的法证副本）和保存（维护证据的完整性和监管链）。每个过程都附有详细的程序要求和文档标准。

二、法证获取方法

标准描述了多种获取方法，并针对每种方法的适用场景提供了指导。当存在加密卷或易失性数据（RAM、网络连接、运行进程）时，需要进行实时获取，但这会改变系统状态，需要仔细记录。死机获取涉及关闭系统并在受控环境中创建存储介质的法证镜像，通常更有利于维护证据完整性。标准还涵盖了通过网络进行远程获取以及从移动设备和嵌入式系统获取数据，这些领域因多样化的硬件平台和操作系统而面临独特挑战。

选择何种获取方法取决于多种因素，包括证据的类型、设备的运行状态、可用工具和时间约束。标准强调，无论采用哪种方法，都必须确保获取过程的可重复性和可审计性。这意味着需要详细记录每一步操作，包括使用的工具版本、配置参数和所有观察到的异常情况。在移动设备取证方面，标准特别强调了网络隔离的重要性，防止远程擦除或数据篡改。

哈希验证与证据完整性

标准获取要求的基石是加密哈希验证。标准规定必须在获取前后计算哈希值（使用 SHA-256 或更强算法），以验证获取的副本与源数据完全一致。这些哈希值必须记录在获取报告中，并与证据一同保存。工程团队应在其取证工具集中实施自动化的哈希验证工作流，并维护安全的哈希注册表，以便在证据生命周期中实现快速验证。

三、监管链与文档记录

ISO/IEC 27037 高度重视监管链文档记录，将其作为连接数字证据与其原始上下文的机制，并证明证据未被篡改。每一次保管转移、每一次访问事件、每一项取证操作都必须记录时间戳、相关人员标识和操作描述。标准建议采用防篡改包装、具有访问控制的安全证据存储设施，以及提供防篡改审计日志的电子监管链系统。

对于工程团队而言，实施标准的要求意味着需要针对每种证据类型制定标准操作程序（SOP），投资能够维护监管链完整性的法证工作站环境，以及对人员进行技术取证技能和法律文档要求两方面的培训。标准还建议对数字取证从业人员进行定期能力评估和熟练度测试。电子监管链系统是实现大规模取证管理的关键基础设施，它可以自动记录所有证据处理事件，生成符合法庭要求的监管链报告，并与案件管理系统无缝集成。在涉及跨境数据调查时，还需考虑不同司法管辖区的法律要求，确保证据收集和处理方式符合当地法律规定。

常见问题