A Workflow Model Of Computer Forensics - 中国信息 ….docVIP

多维计算机取证模型研究?基金项目：中国科学院百人计划资助项目；国家自然科学基金资助项目(编号；中国科学院与英国皇家学会联合资助项目(编号；教育部留学回国人员科研启动基金资助项目(编号：教外司留[2003]406号) 作者简介：丁丽萍(1965－),女,山东青州人,博士生,副教授,主要研究领域为计算机取证学. 王永吉(1962-)，男，辽宁盖州人，研究员，博士生导师，中科院2002年引进海外杰出人才“百人计划”入选者，主要研究领域为实时系统、网络优化、计算机取证学、智能软件工程、优化理论、机器人、控制理论等。 丁丽萍1,2,3+,王永吉1 1 (中国科学院软件研究所 互联网软件技术实验室) 2 (北京人民警察学院 公安科技教研部) 3 (中国科学院研究生院) Study on Multi-Dimension Computer Forensics Model DING Li-Ping1,2,3+ , WANG Yong-Ji1 1(Laboratory for Internet Software Technologies, Institute of Software, Chinese Academy of Sciences, Beiing, 100080, China) 2(Institute of Police Affairs, Beijing People’s Police College, Beijing 100029, China) 3(Graduate School of the Chinese Academy of Sciences, Beijing 100039, China) Abstract: There are various computer forensics models now. But these models can not solve the problem of the computer evidence’s adoption. In this paper, based on the study and analysis of all the existing models, A new computer forensics model named MDFM (Multi-Dimension Forensics Model) is presented. MDFM not only is compatible with all the other models but also adds time and monitor for the whole computer forensics process. This makes it possible that the computer forensics policies can change with time and the monitor data can be a part of the presentation in court. Key words: computer forensics; model; multi-dimension model; time restriction; the whole process monitor 摘要：计算机取证的模型多种多样，但都没有从根本上解决计算机证据的可采用性问题。在对现有模型的深入研究和分析的基础上提出了一个多维计算机取证模型（Multi-Dimension Forensics Model, MDFM）,该模型既兼容了现有的模型，又增加了时间约束和对取证过程的全程监督，使得取证策略可以随时间变化并可以把取证过程的监督数据作为证据的一部分呈堂。 关键词：计算机取证 模型 多维模型 时间约束 全程监督 1.引言 由于电子证据的特殊性，计算机取证既涉及到技术问题又受相关法律法规的约束。因此，计算机取证必须遵循严格的过程和程序，否则，就会导致所获取的证据缺乏可靠性和合法性，从而不被采用。自上个世纪90年代以来，人们相继提出了很多计算机取证的模型，目前，有些研究人员提出应该通过分析网络取证的详细需求，建立包含犯罪行为案例、入侵行为案例和电子证据特征的取证知识库，还有的学者提出采用XML和OEM数据模型、数据融合技术、取证知识库、专家推理机制和挖掘引擎的取证计算模型，并开始着手研究对这些模型的评价机制。但这些模型普遍存在的问题包括注重细节，缺乏通用性；注重法律或技术的一个方面而没有很好地把二者结合起来；注重静态的取证分析而没有考虑取证模型随时间的变化。因此，导致了计算机取证的模型不实用、不适用。按照这样的模型开发出