信息安全技术教程清华大学出版社—第十三章.pptVIP

*;13.1 基本概念;13.2 计算机取证技术;13.2.1 计算机取证基本元素;13.2.2 计算机取证过程;证据恢复 尽可能将所有的证据都收集到，避免重回现场取证 对大容量硬盘中的证据，有必要在提取时使用压缩和复制的方式 对于每个项目中提取的证据，要分配一个唯一的标识号，并在每一个项目上写出简短的介绍 当所有证据都被收集并分类整理之后，就要将其存放在一个安全的位置，来保证证据的完好无损。 对加密证据可以借助借助各种工具进行解密;证据保存 将证据封装并进行归类，然后放置于无静电环境下。确保封装后的证据不会被过冷，过热或过湿的环境所影响。 将原始数据进行备份，对所有嫌疑存储介质做磁盘镜像。 条件允许情况下，要对证据数据进行加密。加密可同时被侦查员和罪犯所用。作为罪犯，一般利用加密进行内容隐藏；作为侦查员，一般利用加密保证证据的保密性和完整性。 存储证据时，要对证据执行可信的访问控制策略，以确保证据只能被授权人员使用。 证据传输 由于在传输过程中，可信的内部人员能够接触到证据，因此为保持监管，应该检查沿途所有处理过证据的人员的数字签名。 在传输过程中，要使用一些强大的数据隐藏技术，例如数据加密，信息隐藏，密码保护等对证据进行保护。 需要一些方法能够检测出信息证据在传输过程中是否出现过更改变动。;13.2.3 计算机证据分析;操作系统的证据分析 （1）Microsoft文件系统 在对硬盘信息进行映像之前，要对分析平台的所有文件进行病毒扫描； 在建立硬盘映像之后，继续运行病毒扫描，包括硬盘驱动器的复本； 恢复所有删除的文件，将其保管到一个安全的位置； 对所有恢复的证据进行分析和处理。 （2）UNIX和Linux文件系统 维护系统中正在运行的所有数据，保护系统中运行程序的状态 ;13.3 网络取证;13.3.1 入侵分析;三个部分 监视与警报：系统达到实时监控与报告的能力 修复与报告：快速识别入侵并修复所有已查明的弱点或及时阻止攻击并将该事件上报给责任主体 追捕与检举：对事件进行监控，当入侵发生时及时收集证据，并将证据直接上报给执法部门 最终产品 包括一系列的文档??记录系统的行为活动，事发前系统的配置信息，以及其他一些相关信息等，如接触系统的人员名单及人员行为，工具的使用及工具使用者;（二）应急响应;（三）入侵技术分析;（四）逆向追踪;13.4 取证工具;13.4.1 计算机取证工具;13.4.2 网络取证工具;*;*