基于Windows日志的电子证据获取与分析方法研究Studyon.PDFVIP

第33 卷第Z2 期 通 信 学 报 Vol.33 No. Z2 2012 年11 月 Journal on Communications November 2012 doi:10.3969/j.issn.1000-436x.2012.z2.016 基于Windows 日志的电子证据获取与分析方法研究 1 1 1 2 董晓梅 ，刘旭东 ，李晓华 ，费雅洁 (1. 东北大学 信息科学与工程学院，辽宁沈阳 110004；2. 沈阳工程学院信息工程系，辽宁 沈阳 110136) Windows 2 摘 要：为解决 日志的实时获取问题，针对 种日志文件格式，分别提出了相应的日志实时获取方法。 在实时获取日志的基础上，提出了将日志文件与原子攻击功能关联的方法，将对日志文件的分析转换成对原子攻 击功能的分析，大大减少了日志文件分析的时间。提出了一种基于时间的日志关联分析和事件重构方法，实现对 计算机犯罪场景的还原。实验结果表明，提出的方法可以有效获取日志证据，重构犯罪过程。 关键词：计算机取证；Windows 日志；获取；分析；事件重构 中图分类号：TP 309 文献标识码：A 文章编号：1000-436X(2012)Z2-0125-10 Study on electronic evidence acquisition and analysis method over Windows logs 1 1 1 2 DONG Xiao-mei , LIU Xu-dong , LI Xiao-hua , FEI Ya-jie (1. College of Information Science and Engineering, Northeastern University, Shenyang 110004, China; 2. Department of Information Engineering, Shenyang Institute of Engineering, Shenyang 110136, China) Abstract: In order to collect logs in real time, two methods to acquire Windows logs in real time were proposed respectively according to the two types of log file formats. Based on acquiring logs, an approach for correlating log files with atomic attack functions was proposed. After the correlation, atomic attack functions can be analyzed instead of log files, which can greatly decrease the time of analysis. A time based log correlation and event reconstruction method was proposed to recon