第六十六条 Windows系列操作系统和UNIX是最常见也是应用最广的两种操作系统。鉴于操作系统使用之广泛性，本指引仅涉及Windows操作系统中，相关电子证据的固定采集。
第六十七条 从技术上说，几乎Windows操作系统中的每一项事务都可以在一定程序上被审计。因此，获取各种系统日志是确定电子证据的必要步骤。
第六十八条 访问Windows操作系统维护的各种日志可以获得以下信息：
1、确定计算机在某一时间段内被使用和登录系统的用户；
2、跟踪登录者对特定应用程序的使用；
3、跟踪审核策略的变更，看是否有防御性的策略变化；
4、跟踪用户权限（如非法提高的访问权限）的变化，以及用户和组的变更。
第六十九条 查看注册表是获得当前计算机中，可能具有电子证据性质的系统数据的有效途径。
第七十条 在固定采集系统数据及用户数据时，为保护原始数据，确保证据的有效性不被破坏，通常情况下，采取以下三种方法进行数据备份，对系统进行完整复制：
1、利用磁盘镜像工具对移交的证据介质进行复制。
2、通过添加一个硬盘驱动器的方法创建映象。
3、通过网络发送映象。
无论以上述哪种方式固定采集系统数据，创建数据副本，都需要对原始驱动器和最后的映象文件执行数据完整性校验。
第七十一条 数据完整性校验可以通过专用的校验工具软件进行。建议使用专用的电子取证硬盘复制机（如TALON、QUEST）进行硬盘复制。上述设备均支持MD5 256位校验功能，确保原始数据与复制数据的一致性。
第七十二条 在封闭的计算机系统中固定采集电子证据，尤其应注意检查并固定采集下列文件：
1、扩展名为.pst的Microsoft Outlook电子邮件文件。
Windows系列操作系统默认的存储路径为：Documents and Settings\\Local Settings\Application Data\Microsoft\Outlook ；
2、回收站中的文件；
3、扩展名为.tmp的检查临时文件；
4、恢复被删除的文件，有相当多的工具软件如Norton可以恢复系统中被删除的文件；
5、Internet历史记录；
第七节 来源于移动存储设备的电子证据
第七十三条 来源于移动存储设备的电子证据通常可分为两类：
1、保存在可移动的电磁或光学介质上的电子数据，如移动硬盘、CDROM光盘等。此外，数码设备中使用的格式卡如CD卡、CF卡、MS记忆棒、手机中的SIM卡等也可以归入此类。
2、保存具备一定计算机功能的移动数字设备中的电子数据，如手机、PDA、车载GPS等。
第七十四条 对保存在可移动的电磁或光学介质（载体）上的电子数据，应当提取原物并将之作为证物使用。
第七十五条 由于原物是以其记载内容而非其自身作为证据使用。因此，可利用相应的硬件设备或软件工具导出或读取有关介质（载体）中的数据，并对导出或读取的数据进行分析。
