计算机调查取证方式在目前的调查取证中新兴的技术模式，其在目前实践环境下得到相关调查机构的不断重视;计算机取证的方法就是计算机取证过程中涉及的具体措施、具体程序、具体方法。计算机取证的方法非常多，而且在计算取证过程中通常又涉及到证据的分析，取证与分析两者很难完全孤立开来，所以对计算机取证的分类十分复杂，往往难以按一定的标准进行合理分类。通常情况下根据取得的证据的用途不同进行分类，通常可以分为两类不同性质的取证。一类是来源取证，一类是事实取证。
 

　　1.来源取证

　　所谓来源取证，指的是取证的目的主要是确定犯罪嫌疑人或者证据的来源。例如在网络犯罪侦查中，为了确定犯罪嫌疑人，可能需要找到犯罪嫌疑人犯罪时使用的机器的IP地址，则寻找IP地址便是来源取证。这类取证中，主要有IP地址取证、MAC地址取证、电子邮件取证、软件账号取证等。
 

　　2.事实取证

　　事实取证指的取证目的不是为了查明犯罪嫌疑人。而是取得与证明案件相关事实的证据，例如犯罪嫌疑人的犯罪事实证据。在事实取证中常见的取证方法有文件内容调查、使用痕迹调查、软件功能分析、软件相似性分析、日志文件分析、网络状态分析、网络数据包分析等。
 

　　文件内容调查指的是在存储设备中取得文档文件、图片文件、音频视频文件、动画文件、网页、电子邮件内容等相关文件的内容。包括这些文件被删除以后、文件系统被格式化后或者数据恢复以后的文件内容。使用痕迹调查包括windows运行的痕迹(包括运行栏历史记录、搜索栏历史记录、打开/保存文件记录、临时文件夹、最近访问的文件等使用文件与程序调查)、上网记录的调查(缓存、历史记录、自动完成记录、浏览器地址栏下拉网址，Cookies，index.dat文件等等)、Office，realplay和mediaplay的播放列表及其它应用软件使用历史记录。
 

　　软件功能分析主要针对特定软件和程序的性质和功能进行分析，常见是对恶意代码的分析，确定其破坏性、传染性等特征。此类取证方法通常在破坏计算机信息系统、入侵计算机信息系统、传播计算机病毒行为中经常使用。
 

　　软件相似性分析是指比较两软件，找出两者之间是否存在实质性相似的证据。此类取证方法主要在软件知识产权相关案件中使用。日志文件分析，指通过系统日志、数据库日志、网络日志、应用程序日志等进行分析发现系统是否存在入侵行为或者其它访问行为的证据。网络状态分析指的是取得特定时刻计算机联网状态。例如网络中哪些机器与本机相连，本机的网络配置、开启了哪些服务、哪些用户登录到本机等信息。网络数据包分析指的是通过分析网络中传输的数据包发现相关证据的过程。网络数据包分析主要发生在实时取证中，是一种综合的取证方法。有时候网络数据包分析也称呼为“网络侦听”。在对网络犯罪实时侦查或“诱惑性”侦查时，往往采取网络侦听的方法发现犯罪嫌疑人的犯罪活动，掌握犯罪的线索，为抓获犯罪嫌疑人提供支持。