3.多维计算机取证模型（Multi—Dimension-中国信息安全测评中心.docVIP

多维计算机取证模型研究* 丁丽萍1,2,3+,王永吉1 1 (中国科学院软件研究所 互联网软件技术实验室) 2 (北京人民警察学院 公安科技教研部) 3 (中国科学院研究生院) Study on Multi-Dimension Computer Forensics Model DING Li-Ping1,2,3+ , WANG Yong-Ji1 1(Laboratory for Internet Software Technologies, Institute of Software, Chinese Academy of Sciences, Beiing, 100080, China) 2(Institute of Police Affairs, Beijing People’s Police College, Beijing 100029, China) 3(Graduate School of the Chinese Academy of Sciences, Beijing 100039, China) Abstract: There are various computer forensics models now. But these models can not solve the problem of the computer evidence’s adoption. In this paper, based on the study and analysis of all the existing models, A new computer forensics model named MDFM (Multi-Dimension Forensics Model) is presented. MDFM not only is compatible with all the other models but also adds time and monitor for the whole computer forensics process. This makes it possible that the computer forensics policies can change with time and the monitor data can be a part of the presentation in court. Key words: computer forensics; model; multi-dimension model; time restriction; the whole process monitor 摘要：计算机取证的模型多种多样，但都没有从根本上解决计算机证据的可采用性问题。在对现有模型的深入研究和分析的基础上提出了一个多维计算机取证模型（Multi-Dimension Forensics Model, MDFM）,该模型既兼容了现有的模型，又增加了时间约束和对取证过程的全程监督，使得取证策略可以随时间变化并可以把取证过程的监督数据作为证据的一部分呈堂。 关键词：计算机取证 模型 多维模型 时间约束 全程监督 1.引言 由于电子证据的特殊性，计算机取证分析网络取证的详细需求，建立犯罪行为案例、入侵行为案例和电子证据特征的取证知识库，有学者提出采用XML和OEM数据模型、数据融合技术、取证知识库、专家推理机制和挖掘引擎的取证计算模型，并开始着手研究对模型的评价机制。’s Toolkit） 事件响应过程模型（Incident Response Process Model） Chris Prosise 和 Kevin Mandia在其著作《应急响应——计算机犯罪调查》（Incident Response：Investigating Computer Crime）中把计算机取证的事件响应过程模型分为如下阶段： 取证准备阶段（Pre-incident Preparation） 事件侦测阶段（Detection of the Incident） 初始响应阶段（Initial Response） 响应策略确定（Response Strategy Formulation） 备份（Duplication） 调查（Investigation） 安全方案实施（Secure Measure Implementation） 网络监控（Network Monitoring） 恢复（Recovery） 报告（Reporting） 补充（Follw—up） 法律执行过程模型 （Law Enforcement Process Model） 法律执行模型的典型模型代表是