计算机取证-2-计算机取证基础PPT.ppt

第二章 计算机取证基础;内容提要;存储介质; 存储介质基础;除了单独使用存储介质外，很多场合下是将各种存储介质有机地组合起来，形成性能更好的存储设备 如将多个磁盘组合在一块的磁盘阵列， 将存储介质和网络结合起来的网络存储系统等。存储设备与服务器的连接方式通常有三种形式：DAS、NAS、SAN;下图是磁盘上的盘片的磁化效果。 ;磁盘阵列;根据组成磁盘阵列的不同方式，RAID分为不同的级别。从RAID概念的提出到现在，有明确标准级别的分别是0、1、2、3、4、5、6、7、10、30、50等。下面分别对一些具有代表性的磁盘阵列进行说明。;NRAID 硬盘连续使用。NRAID（Non-RAID）意思是不使用RAID功能。它使用硬盘的总容量组成硬盘组。此外，NRAID不提供资料的冗余。 JBOD JBOD（Just Bundle Of Disks，简单磁盘捆绑或磁盘簇）是控制器将机器上每个硬盘都当作单独的硬盘处理。此外，JBOD并不提供资料备份的功能。 RAID0　 RAID0（Disk Stripping without parity）又称数据分块，即把数据分成若干相等大小的小块，并把它们写到阵列上不同的硬盘上，这种技术又称“Stripping”，即将数据条带化。当系统有数据请求时，多个磁盘并行执行属于自己那部分的数据请求。 ;相比其他类型的磁盘阵列，RAID0理论上拥有最高的数据存储效率，其容量和数据传输率是单个硬盘的N倍，N为构成RAID0的硬盘总数。当然，若阵列控制器有多个硬盘通道时，对多个通道上的硬盘进行RAID0操作，I/O性能会更高。因此常用于图像、视频等领域，RAID0 I/O传输率较高，但平均故障时间MTTF只有单盘的N分之一，因此RAID0可靠性最差，数据一旦损坏将无法恢复。 ;RAID0是无冗余、无校验的磁盘阵列，实现RAID0至少需要两个以上，它将两个以上的硬盘合并成一块，数据按一定的规律同时分布在每块硬盘中，如图所示，图中纵向代表的是单个磁盘，每个字母代表一块数据。 ;RAID1 RAID1（Disk Mirroring），又称磁盘镜像。它的宗旨是最大限度的保证用户数据的可用性和可修复性，其操作方式是将用户写入硬盘的数据全部自动复制到另外一块磁盘上。即每个工作磁盘都有一个镜像盘，每次写数据时必须同时写入镜像盘，读数据时只从工作盘读出，一旦工作磁盘发生故障，立即转入镜像盘，从镜像盘中读出数据。当更换故障盘后，数据可以重构，恢复工作磁盘上的正确数据，这种阵列具有最高的数据安全性能，但磁盘利用率过低，成本高，其有效容量减小到总容量的一半以下，因此RAID1常用于对容错要求极严的应用场合，如财政、金融等领域。 ;RAID1至少需要两个硬盘共同构建，如图所示，是RAID里实现最为简单的一种方式。;结合RAID0和RAID1的功能，即并行读写的同时使用镜像操作，可以形成一种叫做RAID（0+1）的磁盘阵列。RAID（0+1）允许多个硬盘损坏，因为它完全使用硬盘来实现资料备份。如果有超过两个硬盘做RAID1，系统会自动实现RAID（0+1）。 ;RAID2 又称位交叉，它采用汉明码作盘错校验，采用按位交叉存取，运用于大数据的读写，但冗余信息开销太大（校验盘为多个），已被淘汰。 RAID3 RAID3（Parallel Disk Array），为单盘容错并行传输。即采用Stripping技术将数据分块，对这些块进行异或校验，校验数据写到最后一个硬盘上。例如，在一个由4个磁盘组成的RAID3系统中，3块磁盘用来保存数据，第四块磁盘专门用于存放校验信息。它的特点是有一个盘为校验盘，数据以位或字节的方式存于各盘（分散记录在组内相同扇区的各个硬盘上）。当一个硬盘发生故障，除故障盘外，写操作将继续对数据盘和校验盘进行操作。而读操作是通过对剩余数据盘和校验盘的异或计算重构故障盘上应有的数据来进行的。;RAID3的优点是并行I/O传输和单盘容错，具有很高可靠性。缺点则是每次读写要牵动整个组，每次只能完成一次I/O操作。与RAID0相比，RAID3在读写速度方面相对较慢。 RAID4 与RAID3相似，区别是RAID3是按位或字节交叉存取，而RAID4是按块（扇区）存取，可以单独地对某个盘进行操作，无须像RAID3那样，哪怕每一次小I/O操作也要涉及全组，只需涉及组中两块硬盘（一块数据盘，一块校验盘）即可，从而提高了小量数据I/O速度。缺点是对于随机分散的小数据量I/O，固定的校验盘又成为I/O瓶颈。例如事务处理，作两个很小的写操作，一个写在drive2的stripe1 上，一个写在drive3的stripe2上，它们都要往校验盘上写，所以发生争用校验盘的问题。 ;RAID5 RAID5（Striping with floating pa