計(jì)算機(jī)取證中關(guān)鍵技術(shù)研究.pdf

1、近年來(lái),計(jì)算機(jī)犯罪帶來(lái)的問(wèn)題日益嚴(yán)重。自“熊貓燒香”案發(fā)以來(lái),社會(huì)對(duì)于計(jì)算機(jī)犯罪的關(guān)注度越來(lái)越高。與此同時(shí),計(jì)算機(jī)取證技術(shù)作為打擊計(jì)算機(jī)犯罪的重要手段也逐漸成為業(yè)內(nèi)研究的熱點(diǎn)。其中中國(guó)計(jì)算機(jī)法證技術(shù)研究會(huì)的CCFC計(jì)算機(jī)取證技術(shù)峰會(huì)和高峰論壇自2005年來(lái)舉辦了三次大型活動(dòng),成為業(yè)內(nèi)技術(shù)人員交流的重要途徑。本文從實(shí)際計(jì)算機(jī)取證的需求出發(fā),研究計(jì)算機(jī)取證中的如下幾項(xiàng)關(guān)鍵技術(shù)。第一,數(shù)據(jù)恢復(fù)技術(shù)。數(shù)據(jù)恢復(fù)技術(shù)是計(jì)算機(jī)取證中使用頻率最高的技術(shù)

2、之一。本文從FAT32和NTFS系統(tǒng)的結(jié)構(gòu)出發(fā),分析了在上述兩種文件系統(tǒng)下文件刪除以及磁盤(pán)格式化操作的原理,提出了文件數(shù)據(jù)恢復(fù)和格式化恢復(fù)的通用方法和流程。第二,磁盤(pán)全文搜索技術(shù)。在現(xiàn)有工具不能很好滿足計(jì)算機(jī)取證需求的背景下,本文提出了一種通過(guò)磁盤(pán)全文搜索來(lái)進(jìn)行取證的方法。同時(shí),對(duì)該取證方法底層所采用的模式匹配算法進(jìn)行了對(duì)比實(shí)驗(yàn)分析并加以改進(jìn),找出高效取證的最佳環(huán)境。此方法與數(shù)據(jù)恢復(fù)相結(jié)合,可以實(shí)現(xiàn)按文件類型、文件名或者文件關(guān)鍵字等進(jìn)行

3、取證,有效提高了取證的效率。第三,典型文件類型格式分析。針對(duì)計(jì)算機(jī)取證中經(jīng)常遇到的文件格式,如郵件(EML、DBX、PST、BOX等)、打印假脫機(jī)文件(SPL和SHD)等,本文進(jìn)行了文件格式分析以及研究了提取其中數(shù)據(jù)元素的方法;針對(duì)接入系統(tǒng)的USB設(shè)備,給出具體的痕跡取證過(guò)程。第四,計(jì)算機(jī)取證模型研究以及取證可信度的證明。本文針對(duì)以往的一些經(jīng)典計(jì)算機(jī)取證模型加以分析,提出了一種基于瀑布流模型的計(jì)算機(jī)取證過(guò)程模型;針對(duì)計(jì)算機(jī)取證流程抽象網(wǎng)