第2章 计算机取证基础.pptVIP

第2章 计算机取证基础 2.1 存储介质 2.2 文件系统 2.3 数据加密 2.4 数据隐藏 2.5 数据恢复 2.6 入侵与入侵检测信息源 2.7 小结 2.1 存储介质 2.1.1 存储介质基础 2.1.2 磁盘阵列 2.1.3 网络存储系统 2.1.1 存储介质基础 按照使用的方式和存储规模，分为移动存储设备和非移动存储设备； 按照存储介质和存储技术的不同，又可分为磁盘存储、磁带存储、光存储、磁光存储，其中磁带是最为便宜的存储介质，而磁盘是存取速度最快的存储介质； 按照存储的介质分类，具体可以分为硬盘、软盘、光盘、内存、Flash盘(u盘、rap3、数码相机的存储卡等均属于此类)。 硬盘的发展历史 世界上的第一款硬盘是由IBM于1956年设计并制造的。 1968年，IBM研发成功了“温盘”技术，即Winchester技术。(密封、固定并高速旋转的镀磁盘片，磁头沿盘片径向移动，磁头悬浮在高速旋转的盘片上方，不与盘片直接接触。） 1986年，推出IDE接口。 1996年，昆腾(Quantum)与英特尔(Intel)联合制定了Ultra DMA 33(UDMA33)标准，将接口速度提升到33MBps。 1998年，IBM推出了GMR(Giant Magneto Resistance，巨磁阻磁头)磁头技术，能够读取更高密度的磁介质，同时SMART技术应用到磁盘产品上，可以对硬盘全面检测，及时警告用户。 1999年，IBM在硬盘产品上使用2MB缓存。 2001年Seagate发布的产品采用了Seagate独有的FDB液态轴承马达，工作噪音非常小，时至今日仍然是最安静的硬盘之一。 2003年，Seagate推出采用原生SATA控制芯片的产品。 2005年日立推出第一款支持SATA产品。 硬盘的类型 根据硬盘的发展历程，硬盘性能、速度都得到了很大提高，在接口上分别得以体现： 1、IDE接口 IDE接口使用一根40芯或80芯的扁平电缆连接硬盘与主板，每条线最多连接2个IDE设备（硬盘或者光储）。目前，最新的IDE接口硬盘为UDMA/133 ，表示数据传输率为133MB/s 。 2、SCSI接口 SCSI硬盘转速快、传输率高 ，价格高、安装不便。发展时间较短。 3、SATA接口 外部接口传输速度快、数据校验措施更为完善，初步的传输速率已经达到了150MB/s 。是目前硬盘的主流。 IDE接口 硬盘的工作原理 硬盘存储数据是根据电、磁转换原理实现的。硬盘由一个或几个表面镀有磁性物质的金属或玻璃等物质盘片以及盘片两面所安装的磁头和相应的控制电路组成，其中盘片和磁头密封在无尘的金属壳中。 硬盘工作时，盘片以设计转速高速旋转，设置在盘片表面的磁头则在电路控制下径向移动到指定位置然后将数据存储、读取出来。 当系统向硬盘写入数据时，磁头中“写数据”电流产生磁场使盘片表面磁性物质状态发生改变，并在写电流磁场消失后仍能保持，这样数据就存储下来了；当系统从硬盘中读数据时，磁头经过盘片指定区域，盘片表面磁场使磁头产生感应电流或线圈阻抗产生变化，经相关电路处理后还原成数据。 2.1.2 磁盘阵列 磁盘阵列，是廉价冗余磁盘阵列(Redundant Array of Inexpensive Disks，RAID)的简称。 根据组成磁盘阵列的不同方式，RAID分为不同的级别。从RAID概念的提出到现在，有明确标准级别的分别是0、1、2、3、4、5、6、7、10、30、50等。 RAID的优点： 通过把多个磁盘组织在一起作为一个逻辑卷提供磁盘跨越功能。 通过把数据分成多个数据块（Block）并行写入/读出多个磁盘以提高访问磁盘的速度。 通过镜像或校验操作提供容错能力 。 NRAID 硬盘连续使用。NRAID(Non-RAID)意思是不使用RAID功能。它使用硬盘的总容量组成硬盘组。此外，NRAID不提供资料的冗余。 JBOD JBOD(Just Bundle Of Disks，简单磁盘捆绑或磁盘簇)是控制器将机器上每个硬盘都当作单独的硬盘处理。此外，JBOD并不提供资料备份的功能。 RAID0 RAID0(Disk Stripping without parity)又称数据分块，即把数据分成若干相等大小的小块，并把它们写到阵列上不同的硬盘上，这种技术又称“Stripping”，即将数据条带化。 RAID1 RAID1又称磁盘镜像。它的宗旨是最大限度的保证用户数据的可用性和可修复性，其操作方式是将用户写入硬盘的数据全部自动复制到另外一块磁盘上。即每个工作磁盘都有一个镜像盘，每次写数据时必须同时写入镜像盘，读数据时只从工