computer forensics：计算机取证

计算机取证（computer forensics）是指调查和分析从指定的计算机设备中收集保存的记录，以用于法律应用。计算机取证的目的是为了执行一个结构化的调查，同时保持证据的连续性，以准确找出计算机设备上到底发生了什么以及其使用者。

取证调查通常遵循一套标准的程序：在把原有设备进行物理隔离后，要确保其不被意外破坏，调查者要对此设备的存储介质做一个数字副本。一旦原始介质拷贝完，它就会被锁住或用其他安全措施保护起来以保持其原始状态。之后所有的调查都在这个数字副本上进行。

调查者会使用各种技术和专用的软件取证应用来检查这个副本，寻找隐藏的文件夹和未分配的磁盘空间来对已删除的、加密的或者被损坏的文件进行复制。从这个副本上找到的任何证据都会记录在“调查报告”上，然后再验证其真实性，以用于法律程序中的“证据”。