基于网络协议电子证据获取研究.docVIP

基于网络协议电子证据获取研究 　　摘要：互联网的快速发展促进了电子信息时代的到来，这是一个全球信息网络共享及肆意传播的互联网系统上的时代，如此开放性、包容性、广泛性极强的网络系统必然会隐藏着巨大的威胁――信息安全问题，将会给国家、社会乃至大量的网友带来不可估量的损失。因此，建立健全保障信息安全的法律法规势在必行，保障信息安全、网络取证或者是电子证据获取的技术也应运而生，电子证据获取的技术发展将直接影响计算机技术的发展以及引发高端科技犯罪行为。文章基于网络协议的分析进行了电子证据获取的研究。 　　关键词：网络协议；电子证据获取；入侵检测 　　1 电子证据概述以及获取的难度 　　1.1电子证据概述 　　电子汪据由于其表面的多样性以及内在的无形的特点，加之当今电子信息技术的快速发展，以致于一度无电子证据的一个准确定义。我国对电子证据的定义也不统一，大致分为广义和狭义两种，广义上的电子证据认为其功能主要是作为证据使用的一切电子形式的材料或者文本，而狭义上认为电子证据不过是高端科技犯罪分子在计算机亦或是网络中留下的犯罪记录。电子证据具有以下几个特点：（l）易破坏性，因为其在虚拟的互联网系统中非常容易由于修改、丢失、设备故障、病毒等破坏形式而导致电子证据的毁灭。（2）无形性，仍然是处于虚拟的互联网体系中，人们不能很直观地直视电子证据，并且一些高端科技犯罪，其电子证据都不是以某一种形式存在，必须通过一定的技术才可以进行获取。（3）高科技性，互联网技术相关的人才永远都是最匮乏的，黑客预防永远处于警惕状态等，无不反映出其高科技性质。正基于此3个特点，笔者认为，电子证据就是在互联网领域犯罪分子留下的一切能够证明其犯罪的一切电子形式的材料[1]。 　　1.2电子证据获取的几点难度 　　1.2.1网络犯罪难以发现并证据难以找到 　　随着计算机技术的快速发展，犯罪分子的技术水平直接决定了电子证据获取的难度，高科技的网络犯罪可以通过互联网相对隐蔽的方式进行或者只是在网络内部进行盗取、窃听信息等，此类的犯罪行为十分恶劣，但却不会对本身的网络系统或者是硬件造成影响，因而很难被发现，即使发现后犯罪分子也可以及时销毁证据。 　　1.2.2电子证据与犯罪场地直接联系 　　即使解决了犯罪分子的犯罪事实，很多时候却无法进行犯罪分子的及时抓捕，因为他们的犯罪只是在网上，这与其本身所处的位置没有任何关系，他只需要一台电脑和互联网就可以操作一切，这也是高科技犯罪的特点之一，就算是通过一些高端科学技术定位到犯罪分子所处位置，但由于地理环境及各种条件的限制，实施抓捕的时间有限，等找到作案地点时候，犯罪分子早己逃之天天。 　　1.2.3技术障碍与相关经验不足 　　公安警官是人民的守卫者，但大多数不可能十分熟悉电子证据获取的高端技术，这也给公安警官造成了很大麻烦，有了丰富的经验却没有技术，而有技术的人员却很少有过抓捕网络犯罪分子的经验，网络公安警察队伍的建设难度大、过程慢与当前的公安警官差别很大，电子证据获取技术是建立在计算机网技术的基础之上的。因此，电子证据获取技术永远都是落后于计算机网络技术的发展，这也就间接导致了电子证据获取技术很难有大的突破。 　　2 电子证据获取技术 　　电子证据的获取技术主要是指对犯罪分子在互联网领域犯罪时留下的一切电子形式的证据的获取，一般分为两种：计算机取证和手机取证。计算机取证主要包含移动存储介质的数据获取、电子邮件存储数据获取、在线数据的获取和计算机硬盘数据获取；而手机取证主要包括当前流行的普通手机取证和智能机取证。电子证据的获取技术方法主要有数据获取技术（即对数据的篡改、修复和提取）和反取证技术（即对电子证据进行删除、毁灭的方式使得取证工作失去意义）[2]。 　　2.1数据获取技术 　　数据获取技术主要是指通过应用并行技术对犯罪分子的证据数据以及被毁灭亦或是被篡改的证据进行高效而准确地获取。并行技术主要是采用串行工作方式提高计算机硬盘的读写效率以及计算机的静态数据分析，而电子取证难度较大一方面很重要的原因就是随着计算机内存逐渐变大，取证的过程、效率变得越来越慢，只有在静态数据分析完成以后才可以进行计算机的动态取汪过程，而且取证过程非常复杂而繁琐，人为干扰的因素太多。同时，数据获取技术分为两路方向即解决硬盘数量多、内存大、复制慢等诸多硬件问题的分析与多路硬盘复制并行技术，以及可以降低分析时间的关键字搜索与复制并行技术，多路硬盘复制并行技术主要是通过结合软硬件，实现多路硬盘复制同步进行并且多路硬盘相互不关联、不干扰，总是处于高速运行的状态下，解决了复制工作慢的问题。而取证过程慢还有一个原因就是在硬盘中或者是网络系统中搜索关键字的速度慢，关键字在硬盘的搜索并不是有规律而是按部就班地全盘搜索，这样会浪费大量的时间在搜索