第2s卷第6期2005年6月-计算机应用.pdfVIP

第25卷第6期 计算机应用 Vo1．25 No．6 2005年6月 Computer Applications June 2005 文章编号：1001—9081(2005)06—1290—04 分布式计算机动态取证模型 梁昌宇，吴 强，曾庆凯 (南京大学计算机科学与技术系，江苏南京210093) (cyliangzy@bbs．nju．edu．an) 摘 要：提出一个分布式计算机动态取证模型，在被保护系统中进行实时动态的证据采集，将证 据及时、完整地存储到安全的证据中心，为证据分析和提取工作提供可信的原始证据数据。 关键词：计算机取证；动态取证；证据完整性 中图分类号：TP309．2 文献标识码：A Distributed and dynamic computer forensic model LIANG Chang—Yu，wU Qiang，ZENG Qing-Kai (Department of Computer Science and Technology,Nanjing Unwe~hy,Na ng Jiangsu 210093，China) Abstract：The new forensic model was proposed here，Camparing with traditional computer forensic model，the major differenced between these two models lies on the distributed structure and the mechanism of dynamical data gathering．With this two characteristics，forensics system based on the new model could gather real-time evidences dynamically in a distributed system，and save this evidences in a safe place in time．So unauthorised deletion，change to evidences could be detected and prevented．Then the stored evidences could be used for further analysis and review． Key words：computer forensics；dynamic forensics；integrality of evidence 除但仍存在于磁盘上(即还没有被新文件覆盖)的文件、隐藏 0 引言 文件、受到密码保护的文件和加密文件等等。这些文件包含 随着信息技术的发展与深入应用，与计算机相关的案件， 了系统日志信息与应用日志信息。静态分析也对位于磁盘特 如电子商务纠纷、计算机犯罪等也不断出现，计算机犯罪已成 殊区域中的所有相关数据进行分析、提取，包括未分配的磁盘 为刑事案件的一个新方向‘’]。目前的信息安全技术，如防火 空间以及分配给文件的最后一簇中未被文件使用的剩余空 墙 ]、数据加密 )、入侵检测 等大多着眼于对入侵的防 间，其中可能包含先前磁盘操作或者文件系统遗留下来的信 范。但是，这些安全技术和手段并不能够防止所有入侵。计 息。国内外已经开发了不少静态取证的工具，包括数据硬拷 算机取证是将计算机调查和分析技术应用于对潜在的、有法 贝和恢复工具，如Safe Back、SnapBack DatAr