多维计算机取证模型研讨.pdfVIP

·224· 第二十次全国计算机安全学术交流会论文 多维计算机取证模型研究 丁丽萍 王永吉 中国科学院软件研究所互联网软件技术实验室 中国科学院软件研究所互联网软件技术实验室 北京人民警察学院公安科技教研部 中国科学院研究生院 摘要：计算机取证的模型多种多样，但都没有从根本上解决计算机证据的可采用性问题。在 对现有模型的深入研究和分析的基础上提出了一个多维计算机取证模型(Multi- DimensionForensics Model，MDFM)，该模型既兼容了现有的模型，又增加了时间 约束和对取证过程的全程监督，使得取证策略可以随时间变化并可以把取证过程的 监督数据作为证据的一部分呈堂。 关键词：计算机取证 模型 多维模型 时间约束 全程监督 约束和对取证过程的全程监督，使得取证策略可以随 1、引言 时间变化并可以把取证过程的监督数据作为证据的 一部分呈堂。 由于电子证据的特殊性，计算机取证既涉及到技 文章其他部分的安排如下：第二部分是相关研究 术问题又受相关法律法规的约束。因此，计算机取证 工作，介绍了一些典型的计算机取证模型；第三部分 必须遵循严格的过程和程序，否则，就会导致所获取 提出了一个多维计算机取证模型；第四部分是对提出 的证据缺乏可靠性和合法性，从而不被采用。自上个 的模型的形式化描述；第五部分是结论。 世纪90年代以来，人们相继提出了很多计算机取证 的模型，目前，有些研究人员提出应该通过分析网络 2、相关研究工作 取证的详细需求，建立包含犯罪行为案例、入侵行为 案例和电子证据特征的取证知识库，还有的学者提出 计算机取证的早期模型包括基本过程模型(Ba— sicProcess 采用XML和OEM数据模型、数据融合技术、取证知 Model)、事件响应过程模型(IncidentRe． 识库、专家推理机制和挖掘引擎的取证计算模型，并 Process sponse Model)、法律执行过程模型(Law EnforcementProcess Ab— 开始着手研究对这些模型的评价机制。但这些模型普 Model)、过程抽象模型(An stractProcess 遍存在的问题包括注重细节，缺乏通用性；注重法律 Model)。后来，在总结前面这些模型的 基础上，形成了综合模型(The In． 或技术的一个方面而没有很好地把二者结合起来；注 Integrated Digital 重静态的取证分析而没有考虑取证模型随时间的变 Model)等【3】。文献venan vestigation 化。因此，导致子计算机取证的模型不实用、不适用。 在总结前边的几种模型的基础上提出了一种增强的 按照这样的模型开发出来的取证产品和工具很难满 计算机取证模型。基于需求的计算机取证模型和计算 足计算机取证工作的实际需求，从而