网络犯罪是一种对存在于虚拟空间的信息进行侵犯的行为。尽管这种行为侵犯的只是肉眼见不到的比特,但犯罪分子在实施侵犯行为的过程中却必须使用电子计算机等物理设备,这些物理设备总是存在于一定的物理空间,因而网络犯罪同样有明显的犯罪现场,而且大多数网络犯罪现场是有勘查价值的。在我们发现网络犯罪线索后,只要有条件(知道用来实施犯罪行为的计算机等设备所在的空间)就应想方设法对犯罪现场进行勘查。
(一)临场初步处置
当具备赶赴现场的条件后,侦查人员应尽快行动。临场后具体应做好以下几方面的工作:
1、封锁现场,进行人、机、物品之间的隔离。
要对现场实行人、机隔离,人、物隔离。将现场内所有人员迅速带离现场,并立即检查他们随身携带的物品,重点是书面记录、通讯工具、磁卡类可以读写的卡片、磁介质(软盘、光盘等)。有关人员在滞留检查期间,不能与外界进行联系。
2、加强现场保护。
迅速派人看管配电室,避免发生突然断电导致系统运行中的各种数据结果丢失;看管现场上以及现场周围的各种电信终端设施(例如传真机、调制解调器等),检查现场上及周围有没有强磁场和可以产生强磁场的物品,妥善保管各种磁介质,避免被各种磁场消磁。
3、查明现场情况,确认事件性质。
通过对受害单位或个人基本情况的了解,结合对现场上各种情况的观察和检测,侦查人员应尽快召开现场会,综合各方面情况进行分析,判断所发生的事件是意外事故还是犯罪行为。对于事故,要及时向受害者讲明情况,移交有关部门进行处理;对于已经判定发生了犯罪行为的,要按程序办理立案审批手续,迅速进入侦查取证阶段。
(二)采取勘查措施
在临场初步处置的基础上,应进一步迅速采取措施获取证据。
1、实地勘验
通过实地勘验收集现场上遗留的原始资料、数据参数等。勘验过程中主要是针对“硬件、软件、管理制度和人员状况”等方面进行取证调查。这其中既包括传统意义上的取证(如:勘验手印、足迹、工具痕迹;拍摄现场照片、绘制现场图等),又包括对“网络证据”⑦的勘验。
在这里,我们不谈传统意义上的取证,而重点介绍“网络证据”的勘验问题。
“网络证据”,主要是指在硬件、软件、管理制度等方面可以反映网络犯罪行为真实情况的物证、书证及视听资料等。比如,在数据传送与接收过程中形成的电磁记录与命令记录;现场上各种系统硬件的连接状态、连接方式;屏幕显示的系统运行参数、运行结果;打印输出的结果;工作人员的日志记录等。对这些证据的勘验,常用的有记录、封存、备份、收集等手段。
记录,就是用适当的方式将现场上各种仪器设备的连接、配置状况和运行状态,各种电缆线的布线方式(串、并联方式、有无破损断裂),各种插头、插座、开关的工作状态等等情况记录下来。通过记录,保存案发当时的现场状况。进而通过综合电磁记录、命令记录,当事人、知情人、技术人员的回忆,工作日志记录等方面的证据,了解系统软硬件原始状态,并通过原始状态与现场遗留状况的比较,发现各种异常现象或者推断作案人使用的作案工具、作案手法。可用于现场记录的方法包括现场照相、笔录、绘图、录像等。这些工作,有的在临场处置时已经完成,进入实地勘验以后要力求将其细化、完备化。
如,应在临场处置的基础上,进一步审查监视器所显示的任何证据,如果有必要,拍摄下计算机屏幕上显示的内容,并在计算机专业人员的帮助下切断与计算机相连的电话线或闭路线,在不会造成数据丢失的情况下,拔掉墙上的电源,一般不能用起动开关去关闭计算机。拍摄下计算机尾部的线路结构。断电前标上线路系统(用遮蔽胶带或钢笔),将端口和插槽作上标记。如果所查获的不只一个系统,应将不同的零部件分别放置,并作标记。
封存,就是对现场上可能记录有犯罪行为过程和真实情况的物品、数据等证据,采取强制性手段维持其现有状态,以备进一步的分析。封存的对象主要包括:现场内的信息系统,各种可能涉及到的磁介质,上机记录,命令记录,内部人员使用的工作记录,现场上的各种打印输出结果,传真打印件,程序备份和数据备份等等。封存当中应当注意的是:封存正在运行的信息系统,要事先做好系统工作状态、系统运行参数的记录,以防关机以后无法恢复。
备份,主要是指侦查人员对不能停止运行而又没有备用应急措施的信息系统进行数据复制,以便尽快恢复系统正常工作。备份的对象主要是:系统中的相关数据、系统日志文件等。备份当中应注意的问题是:对于磁介质中所有的数据按照其物理存放格式进行全盘复制,而不是简单地拷贝文件。
收集,就是将现场上遗留的原始资料、数据参数等“网络证据”资料进行提取、包装。收集的对象主要是:计算机软、硬件,各种输入和输出设备,调制解调器,各种操作手册,各种连接线,同时还要注意收集计算机附近遗留的可能写有计算机指令的纸片等。在对网络犯罪的物证、书证及视听资料等进行包装运输时,要注意避免静电干扰。不能用塑料包装,并将其无线电设备远离磁场放置,避免电子储存的数据丢失。保管所缴获器材的房间应有空调装置。另外,还应将立体声喇叭之类的磁源保管好,不和上述器材放到一块。
2、实地访问
网络犯罪的现场勘查当中,实地访问是一种行之有效的获取证据、发现线索的手段。实地访问的对象主要是当事人和知情人。例如:计算机操作人员,分管领导,技术维护人员等。访问内容应当根据访问对象有策略地加以变化,概括起来包括以下内容:系统的运行状态,曾经进行过哪些操作和维修,操作人员和技术人员以及分管领导的思想表现;技术水平高低、分别能够接触哪些软硬件内容,如何发现系统出现的异常现象、采取过哪些处置措施等等。
(三)对证据资料进行技术分析
在前一阶段勘查取证的基础上,侦查人员可以对所得的相关证据资料(例如:磁介质、系统备份、数据备份)进行技术分析,从而发现作案人是在何时、采取何种手段、从哪些方面对网络系统进行了哪些侵害,从中选取有价值的侦查线索。目前,对相关证据资料进行技术分析的手段多种多样,其中常用的有以下几类:
1、对比分析技术。
这种技术主要是将收集到的程序、数据的备份与当前运行的程序、运行结果数据进行对比,从而发现异常状况,进而分析是否有被篡改的痕迹。
2、关键字查询技术。
这种技术主要用于对系统硬盘备份进行分析。在侦查人员所做的对现场系统硬盘的备份当中,以某些具有特殊功能的指令语句为关键字进行匹配查询,查询的结果将说明是否存在这一特殊功能的指令语句,侦查人员可以从中发现问题。
3、数据分析技术。
对于被作案人删除、修改的文件和磁盘数据,可以通过数据分析技术进行恢复,或者查明文件被修改移动的时间、修改前的状态和属性。这类技术包括:
(1)被删改、破坏数据的恢复技术。
这种技术通过磁盘操作技术和电磁学技术,将被删除、破坏的数据进行一定程度的恢复。这对于克服由于作案人故意毁灭证据而制造的困难有着重大意义。
(2)残留数据分析技术。
文件存盘以后,实际的长度要小于或等于所占用的簇的大小,空出来了这部分磁盘空间中会保存有原来存储的某些文件数据。对这些数据的分析,可以了解原来磁盘上存储的内容。
(3)文件“指纹特征数据”分析技术。
在每个文件的尾部均有一些记录该文件生成信息的数据,伴随着文件的修改而变动,这些数据也就是该文件的指纹特征数据。根据这些数据,可以判断文件的最后修改时间和修改次数,这可以帮助侦查人员判断作案时间。
4、文件内容分析技术。
在某些软件运行过程中,经常会产生一些记录软件运行状态和结果、数据操作过程的文件。例如:临时文件(.TMP)、备份文件(.BAK)、交换文件(.SWP);WIN95的“文档”菜单当中记录了使用过文件名称;IE、NETSCAPE等网络浏览工具的书签簿、地址簿当中记录了浏览过的网络站点地址和图片内容。这些文件内容可以为侦查工作提供线索和证据。
四、对付网络犯罪应采取的侦查措施
(一)深入调查
通过初查与现场勘查之后,如果确认所发生的事件为网络犯罪,那么就应进一步深入进行调查工作。顾名思义,深入调查是在实地访问的基础上展开的。深入调查的访问范围比实地访问的范围广,所采用的访问方法比实地访问更加多样化。在深入调查过程中,除应对实地访问中访问过的有关人进行更深入的访问外,还应根据案件的实际情况继续寻找访问对象,获取更多更全面的情况。这时的访问对象就不能局限于现场及其周围,有时可能要跨省、跨区或跨国对有关人进行询问。深入调查的方法更灵活,更多样。有时可以公开调查,有时可以秘密调查;有时可以以侦查人员的身份进行询问,有时则应化装前往某一地区、某一单位展开访问;有时可采用传统的调查法,有时则可以利用网络展开网上调查。
(二)利用网络耳目
为了对付网络犯罪,我们应在上网的人中物色对象,并把他们建为耳目。这些耳目同样可分为控制耳目和专案耳目。建立耳目的方法与在物理空间里建立耳目的方法相同。当发现网络犯罪时,一方面我们可以利用控制耳目获取情报,另一方面可动用专案耳目接敌,发现线索。
(三)化妆贴靠
即执法人员将自己扮成黑客、青少年或其他需要的假身份来接近罪犯,通过网上聊天、谈生意等方式贴靠犯罪嫌疑人,或诱其犯罪,或发现线索,收集证据并最终将其逮捕。如,为了对付网络犯罪,美国警察建立了“刺板”(stingboards)——由秘密警察运营的电子公告板。它采用的是与秘密警察抓获卖淫者或贩毒者非常类似的方式,在线警察扮成黑客、青少年或其他需要的假身份来引诱罪犯,收集有关的证据并最终将其逮捕。
(四)监控追踪
对于作案人在案发以后仍不断侵扰网络系统的案件,在做好重要数据隔离保护的前提下,采取“外松内紧”的方式,利用先进的工具,借助监视系统,监视犯罪嫌疑人的行踪。有的还可以设置“陷阱”,守候非法访问者自投罗网。有时还可在其他部门的配合下,在网络上进行跟踪、追查作案人。如,韩国网络犯罪应对中心设立了专门的举报电话并通过自己的网站接受被害人的举报。接到举报后,这个中心的警官通过内部搜索系统进行监视追踪调查,直到把罪犯捉拿归案,或采取防范措施,防止恶性电脑事故的发生。1999年7月,警方利用这种方法抓获了2名攻击网络证券公司、制造虚假股价、进行网络欺诈的黑客。9月,他们用同样的方法又将利用网络募集巨额原始股份、进行诈骗活动的犯罪分子缉拿归案。又如,2000年7月国际警察机构与一家位于硅谷的安全公司合作,创建一个监控预警系统。一方面通过这个系统搜集情报,向企业预警;另一方面利用系统对网络进行监控向警察提供侦查线索。
(五)以黑制黑
对于黑客犯罪,办案人员可以借助“黑客力量”去对付。以黑制黑是对付黑客犯罪的有效措施。这里有一个例子很能说明以黑制黑的运作方式及此项措施在对付黑客犯罪中的作用。2000年夏天,美国联邦调查局开始了一项计划:利用喜爱电脑的年青人来挖出那些藏于互联上的黑客,JOHN就是他们吸收的一员。JOHN,男,21岁,生活于宾夕法尼亚州小城BEAVER。十几岁时,他就创立了ANTIONLINE.COM网站,专门供黑客们发布其网上的攻击行为及技术。此网站一度很有名气。越来越多的黑客访问他的网站,并在此公布自已的行为。不久,JOHN就成为了黑客圈子中很有名气的人,甚至有了一定的权威性。他也由此对设备的使用,攻击目标的选择,代码名称及攻击手段等有了深入的研究,并以所实施的几次成功行动成为了黑客中的名人。数以千计的聊天室自动跟踪和保存着他与网友的对话与交谈。直到后来,当他看到了黑客行为的不良后果之后才幡然悔悟。
他决定把ANTIONLINE.COM变成一家计算机安全公司,从帮助那些黑客转向反对他们。99年,美国互联网零售公司的计算机系统被黑客攻破,300000多名客户的信用卡号被盗。美国联邦调查局也无法处理这类浪潮般的黑客行为,于是转而向JOHN求助。FBI经常需要持续几个月,有时甚至是几年的工作对于JOHN来说,一般在一些聊天室呆上几天就可以解决了。JOHN以自已特有的方式对付不同的黑客,通过熟人,在聊天室里开开玩笑,听取别人的议论,通过他那资料纷繁的数据库,能很轻易地发现那些使用假名的网络罪犯。⑧
(六)进行多方协作
对付网络犯罪的协作是个多层面的协作,它涉及到地区性与国际性的协作问题。地区性的协作问题与侦查其它类别的案件一样,这里不加叙述。而国际性的协作是侦查网络犯罪特有的东西,这里重点述之。
国际协作主要包括:通过生成一组定义良好的最小限度的法规来防范非法行为;通过生成一组定义良好的国际性最低限度的法规,来定义在全球范围内应被起诉并应受到惩罚的非法内容;鼓励各国为Internet访问提供商和网络服务商应负的责任制定相适应的规则;鼓励各国为有效起诉网络犯罪制定国内法,特别是关于对计算机系统和国际性网络的搜查和扣押、证人的职责、网络线上窃听以及计算机系统的访问;提交可能的网络匿名滥用情况、安装国际性系统以便在出现匿名滥用时将匿名者查出;鼓励司法机构互相合作,特别是在国际性搜查和扣押设备时为“冻结”数据而采取的紧急措施;处理跨国的及其他国际网络犯罪的司法管辖权问题的适宜措施;对执法人员就网络犯罪及其起诉进行教育和培训等内容,在这一系列的内容中涉及侦查的主要是跨国联合侦查、国际协查与域外取证等问题。
1、跨国联合侦查
跨国联合侦查是指两个或两个以上的国家就某个特定的跨国犯罪案件共同采取侦查活动,调查取证,缉捕犯罪人的一种侦查措施。因网络犯罪案件经常涉及多个国家,因而在侦查网络犯罪案件时常常要采取跨国联合侦查行动。联合侦查具有程序复杂和执法过程复杂的特点。从联合侦查的准备、实施过程到案件侦查终结,期间要经历许多环节。每一个环节都涉及到一系列的程序问题。每个步骤都要求当事国要互相紧密配合,方能收到良好效果。
2、国际协查
国际协查是国际侦查协助的简称。从国际司法协助角度来看问题,所谓国际协查,是指国与国之间根据国家主权和互惠原则,为了查明某些犯罪事实,获取犯罪证据而互相委托代为进行一定的侦查活动的一种司法协助制度。国际协查只能在国与国之间进行。跨国网络犯罪案件国际协查通常包括提出协查请求、协查请求的审查、协查的受理和执行等三道程序。
3、域外取证
域外取证是指当事国派人前往他国获取证据。在侦查网络犯罪案件过程中经常会遇到域外取证问题。对域外取证的要求十分严格,只有在特别情况下符合一定条件时才能进行。
【注释】
①对于网络犯罪的概念,国内外学者众说纷纭,莫衷一是。这里对网络犯罪概念的界定仅是笔者的一家之言。在此,我们排斥单机行为及对网络物理设备的侵犯于研究对象之外;这里指的犯罪为犯罪学上的概念,不以刑事法典规定的犯罪为限,而以一定的社会危害性和应受惩罚性为充分条件,刑事违法性为非必要条件。
②参见《计算机犯罪的定罪与量刑》赵廷光等人民法院出版社.2000.序。
③参见《中新网》,1999年7月2日
④参见《中新网》,1999年7月2日
⑤参见《FTC成立因特网诈骗研究室》.http://www.sina.com.com1999年6月30日11:39ChinaByte
⑥参见《新型互联网防黑客监视系统面世》.ttp://www.sina.com.com2000/04/0316:13新浪科技
⑦网络犯罪中所形成的新的证据形式,没有统一称谓,在此暂且称其为“网络证据”。
⑧参见《美国联邦调查局开展“以黑制黑”行动》.http://www.sina.com.com2000/06/1215:53eNet硅谷动力
【出处】
《公安大学学报》2001年第3期
【参考文献】
1、赵廷光,朱华池,皮勇.计算机犯罪的定罪与量刑[M]北京:人民法院出版社,2000.
2、(英)尼尔.巴雷特.数字化犯罪[M]沈阳:辽宁教育出版社,1998.
3、(美)韦恩W.贝尼特,凯伦M.希斯.犯罪侦查[M]北京:群众出版社,2000.
4、何德全.美政府成立互联网欺诈监督网站.http://www.sina.com.com2000/05/0919:51新浪科技.
5、国际警察利用高科技打击网络犯罪.http://www.sina.com.com2000/07/0811:44ChinaByte.
6、美国联邦调查局开展“以黑制黑”行动.http://www.sina.com.com2000/06/1215:53eNet硅谷动力.
7、赴永琛.跨国犯罪对策[M]长春:吉林人民出版社,2000.
8、新型互联网防黑客监视系统面世.http://www.sina.com.com2000/04/0316:13新浪科技
9、张小军.美国调查显示:网络犯罪大多与拍卖网站相关.2001年01月13日17:36:09新华网
《浅论网络犯罪侦查》来源于中华文秘网,欢迎阅读浅论网络犯罪侦查。
| 总结 三农 简历 毕业 心得 经验 普法 致辞 合同 庆典 贺词 竞聘 爱国 征文 演讲 论文 申请 经济 科技 县域 思想 文明 先进 和谐 党建 应聘 创新 廉政 效能 作风 荣辱 青少年 读后感 新农村 |
| 市长 厅长 县长 区长 局长 主任 镇长 乡长 科长 组长 村长 股长 主席 书记 处长 主管 董事 经理 学生 店长 社长 校长 教师 行长 班长 厂长 会计 律师 公务员 班主任 |
| 党委 法院 信访 检察 人大 政协 司法 计生 公安 公路 交通 财政 工商 税务 宣传 电力 行政 水利 财政 人事 妇联 机关 国土 规划 保密 档案 残联 老干 林业 农业 教育 烟草 卫生 药品 县域 消防 城建 稽查 统计 审计 招商 劳动 安监 质监 城管 监狱 驻村 体育 组工 物价 旅游 文化 综治 派出所 开发区 办公室 |
| 房产 银行 煤矿 工会 通信 电信 邮政 公司 石油 燃气 广电 学校 酒店 工厂 社区 保险 外贸 烟草 民营 幼儿 敬老 医院 共青团 信用社 |