计算机取证的新难题
专栏
电脑报：你作为计算机取证方面的权威人士，能否为我们介绍一下目前计算机取证的应用情况？
许榕生：计算机上的调查取证，国外有很多应用，国内的例子，如熊猫烧香，是国内公开的第一个，瑞星的官司，也是媒体都报道过的。我们取证的方法是，在不开机的情况下（一开机电脑中信息会改变），用硬件设备插入电脑，可以镜像硬盘中内容，克隆硬盘后，用软件分析。像美国FBI都用了20多年的分析软件，如EnCase、Access DATA ，就是常用的工具。
为了取证，一般还会在操作系统里采取一些措施，电脑运行时定时捕捉数据，或者是将监控程序做到硬件里，否则会被检测对象检测出来删掉。我的一个学生就试图把监控程序做到BIOS里。
电脑报：对于一些被删掉的文件或邮件，还有覆盖掉的图片，有什么办法恢复？
许榕生：如何恢复删除文件也在研究，我们称为碎片恢复。比如，Foxmail 中国人用得多，邮件删除后怎么办，我们的研究成果可以恢复90%左右，图片的恢复，需要特征统计，即使图片文件被覆盖掉，也可以恢复原来图像的大部分，可以清晰看到原有内容。我们的这套程序运行在红旗Linux下，同样可以恢复Windows下的文件，对UNIX下的内容同样适用。
电脑报：云计算时代，连上网的终端不仅是PC，还有智能手机，是否也在取证范围内？
许榕生：的确，以后手机、汽车都是一个个数据点，所以我们研究的下一步是从汽车取数据。关于汽车的GPS数据，外国已做得很好。十几秒就能把GPS数据导出，映射到Google地图上，马上就可以标出车主的行车路线，放大时间刻度，可以看到这辆车在某个点的停留时间有多长，有多少次，很容易发现车主的“窝”在哪里。S、Y、T三个像素一下就把这个人的行踪展现得清清楚楚。
云计算数据存储量很大，传统的取证方法不够用，因此在构建云计算框架时，就要预留空间。人才的问题才是现在最大的问题。培养这方面的人才成本很高，像我们这样的一个云计算节点，系统管理员一开始要送到国外，到欧洲这些节点去培训，以后每年都得到世界各地参加相关会议进一步获得新的知识和经验，确保节点运行的畅通，如果出错3次，这个节点就会被取消。
中国计算机法证技术研究会会长、中科院高能物理研究所研究员/博导、网络安全实验室首席科学家