Windows注冊表取證分析技術研究.pdf

1、隨著計算機的發(fā)展和網(wǎng)絡的普及，計算機犯罪呈現(xiàn)日趨嚴重的趨勢，給國民經(jīng)濟帶來了嚴重的破壞。打擊和防范計算機犯罪已成為一個重大的難題。計算機取證技術正是在這種形勢下產(chǎn)生和迅速發(fā)展的。計算機取證是一門結合計算機領域和法學領域的交叉學科，它主要研究如何將犯罪者留在計算機及其相關的設備中的電子證據(jù)作為有效的訴訟證據(jù)提供給法庭的技術。
　　 Windows系統(tǒng)是國內(nèi)外使用最廣泛的操作系統(tǒng)之一，同時Windows系統(tǒng)的安全性也經(jīng)受著各個方面的

2、考驗。注冊表是Windows操作系統(tǒng)、各種硬件設備以及應用程序得以正常運行的核心“數(shù)據(jù)庫”，注冊表還記錄著犯罪者進行犯罪的大量證據(jù)，成為打擊計算機犯罪非常重要的線索和證據(jù)來源。Windows注冊表取證分析技術面臨的關鍵問題是如何把注冊表Hive文件從磁盤鏡像中恢復出來，以及如何存儲和分析大量的注冊表數(shù)據(jù)。
　　 本論文結合國內(nèi)外計算機取證的基本模型，提出了針對Windows注冊表的取證分析過程模型。Windows注冊表取證分析過

3、程分為三個階段：證據(jù)收集、證據(jù)分析和證據(jù)表示。本文還著重對取證過程中涉及的關鍵技術進行闡述。
　　 本文的主要貢獻在于：
　　 (1)提出了一種Windows注冊表取證分析的過程模型。該模型幫助取證人員有條理的進行注冊表的獲取和分析，并在很大程度上減少人工操作。
　　 (2)對Hive文件進行恢復。由于Hive文件在磁盤中存在著分片，而傳統(tǒng)的恢復軟件很難對分片文件進行有效的恢復。本文對Hive文件的內(nèi)部結構進

4、行分析，具體探討Hive文件在磁盤中的各種分片情況，并利用內(nèi)部結構和N-Gram算法來幫助取證人員恢復這些文件，具有較高的實用性和準確性。
　　 (3)利用注冊表數(shù)據(jù)之間的相關性特征對其進行壓縮存儲。由于注冊表數(shù)據(jù)冗余性，有必要對這些數(shù)據(jù)進行壓縮。壓縮后的數(shù)據(jù)的查詢的效率不會受到影響。
　　 (4)建立注冊表數(shù)據(jù)庫，進行關鍵字查詢和關聯(lián)分析，提高證據(jù)分析的效率?；赪indows注冊表取證分析技術研究，不僅能夠為注冊