UNIX系统下的计算机取证证据收集与分析.pdfVIP

UNIX系统下的计算机取证证据收集与分析 周 敏 ，龚 箭，付国瑜 (重庆工学院 计算机科学与工程学院，重庆 400050) 摘 要：针对UNIX系统下的计算机取证工具难 以及时收集所有现场证据的问题，对基于uNlx系统的计算机取证关键技术—— UNIX证据收集、UNIX证据分析进行深入研究。提出用UNIX系统命令对现场证据进行收集与分析。实验证明，该方法能为实时取 证提供更完整、更及时的数据 ，从而更有效地打击计算机犯罪。 关键词：计算机取证；证据收集；证据分析；UNIX The Evidences Collection and Analysis forComputerForensics ofUNIX System ZHOU Min，GONG Jian FU GuO～yU (DepartmentofCom,oul；e／Sc／enceandYng／：Teer~g,Chong~~gn／sl／tuteofTechnology,ChongQ#／g400050,ch．／a) Abstract：It isdifficultt0 gather allthe sceneevidenceswith the forensicstoolsforUNIX system attheprecise momentthat intruderactivity isoccurring．Thefurtherstudy iscarried outonthekey forensicstechnologies— theevidence collectionandanalysisofUNIX．How togather and analyze the scene evidenceswith UNIX system commands is presented in thispaper． In the field of real--time forensics， more complete and moretimely data isofferedby usingthismethod，which isvalidatedby thesimulated experiments，SO itismoreeffectivet0bring thecomputer criminalstojustice． Key words：ComputerForensics；EvidencesCollection；EvidencesAnalysis；UNIX 1引言 有多种类型的数据需要采集 ，如：正在运行的进程有关 在重要的计算机应用领域中，UNIX系统起着主导作 数据、内存的 内核数据结构、交换空 间的数据、网络数 用。 目前 ，UNIX覆盖了大多数银行、电信、保险、证 据、文件系统及其缓存中的数据、用户空间及其堆栈中韵 券、铁路等系统应用 ，即使在 Internet应用方面 ，使用的 数据等等 ，要在入侵发生的第一时间就完整、准确地将现 绝大多数也是各计算机厂商提供的各种 UNIX系统，可 场 的所有数据收集起来十分困难，为了在入侵痕迹被掩盖 以说 UNIX无处不在。据有关资料显示，近年来，中国 或修改之前及时采集到有价值的数据，有效的证据收集方 的计算机网络受到了越来越多的黑客有意识的袭击，维护 法是至关重要的。防止数据被修改的最简单方法是关闭可 网络 的安全性已经具有越来越重要的现实意义。随着计 疑计算机 。除了磁盘数据外 ，可疑计算机在关机前的状 算机取证工具研究的深入，国外推 出了一些 UNIX系统 态也是十分重要的证据，这些证据是易失的，在关机后立 下的商业取证软件，如：TheCoronerST0Olkit(TCT)、 即消失，因此必须在关机前进行收集。收集易失性数据必 ForensicX等 ，这些产品虽然能收集到绝大多数数据 ，但 须做到：不改变可疑计算机硬盘上的数据 、不使用可疑计 3 —t