计算机取证技术总结.docVIP

计算机取证技术总结 　　摘 要 随着计算机信息技术的不断发展与成熟，计算机网络逐渐成为了各行各业在开展工作时不可缺少的重要工具，各种依托计算机信息而实施的计算机网络犯罪现象也日益猖狂起来。本文围绕几种常见的计算机取证技术介绍、计算机取两个证技术的发展方向以及未来展望两个方面展开讨论，对计算机取证技术进行了综述，并提出了一些笔者自己的见解，希望能够对今后计算机取证技术的研究提供一些理论建议。 　　关键词 计算机 取证技术 数据信息可靠性 　　中图分类号：TP309 文献标识码：A 　　1几种常见的计算机取证技术介绍 　　在美国地区，至少有百分之七十的法律部门都已经设置了专门的计算机取证实验室，取证专家在实验室内对各种从犯罪现场收集的数据信息进行分析，从中提取中与作案相关的信息。 　　由于取证时刻上具有一定的潜在属性，因此我们可将计算机取证分为两组不同的模式，分别为静态取证模式以及动态取证模式。其中，静态取证指的是对各种潜在证据进行提取，如存储在各种未运行状态媒介中的证据；而动态取证指的是对各种存储有网络以及运行媒介中的证据进行提取。由于网络数据以及计算机系统数据在属性上具有本质区别，因此人们在取证过程中使用的取证方式往往也会分为两种，分别为依托计算机系统的取证以及依托网络数据的取证。 　　1.1预备取证技术 　　一般情况下，计算机系统以及网络系统中存在的数据在使用后均会被删除，即使是各种潜在数据也可能面临被黑客删除的风险，所以说在事发后从受害者计算机中获得的数据并不一定真实可靠，这就使得事发前的预备取证能力越来越得到关注。预备取证的目标在于构建一个科学可靠的系统，对于各种可疑数据进行自动搜索、识别、汇集以及过滤，同时对于各种可靠数据进行自动存储、保留以及分析。预备取证系统的建立能够确保安全事件发生后的证据数量、真实度、可靠度同时实现最大化。 　　布拉德等学者针对企业构建预备取证技系统的基本原理进行了总结，具体如下：（1）小安全漏洞原理：一个极小的安全漏洞便可以导致系统的安全防护完全失效；（2）小用户世界原理：对于一些特殊的用户而言，个别的设备以及系统便可满足他们的使用需求；（3）安全策略行为违反递减原理：随着用户对于系统知识的不断了解以及掌握，各种完全违反行为的发生频率也逐渐增加。 　　通常情况下，安全审计系统能够结合相应安全策略，并通过对历史操作事件的处理以及分析来识别出系统中可能存在的安全隐患，在此基础上进行相应的改善。同时还能够实现对个体用户行为的实时跟踪，给用户施加相应压力，要求其对自己所作出的行为负责，对各种攻击人员发出警告，最大程度降低入侵行为的发生，从而提高系统的安全性。安全审计系统在部分特性上与预备取证相似，但是在数据存储安全性以及可靠性、自动分析等方面却缺乏有效的考虑。赵小敏在原有安全审计系统的基础上进行了优化，设计了一种能够支持计算机取证的安全审计系统，能够保障系统遭到入侵之前的?稻菪畔⑹贾沾τ诒；ぷ刺?下，并能够一直完整地保留下来，从而为取证人员提供关键的线索。 　　1.2计算机证据获取与分析技术 　　在进行计算机取证时必须严格遵循下述基本原则：（1）应在不损坏原有证物的基础上进行取证；（2）必须通过有效方式来证明获得证据与原有数据之间的吻合性；（3）应在确保数据不发生改变的情况下展开进一步分析与研究。 　　数据获取与分析技术的重点在于确保数据获取的同时原始介质不发生损坏，因此通常情况下不主张对原始介质进行取证分析。最常使用的数据获取技术主要包括以下几种：确保计算机系统以及文件安全性的获取技术，预防原始介质遭到损坏；确保数据以及软件安全收集的获取技术；对已删除文件进行重新恢复的获取技术；对长期未使用磁盘文件进行挖掘的获取技术；针对网络系统数据的获取技术。 　　目前所使用的取证技术基本是依托物理存储介质而实现的，主要作用在于对已删除数据的恢复以及重新显示等。现阶段大部分取证软件的功能均体现在磁盘的处理方面，不支持深入的分析功能，除此之外的其它工作基本都是依靠取证专家的人工操作来实现，基本上形成了一种错觉，即计算机取证软件与磁盘分析软件相同的错觉。 　　计算机证据分析主要是基于获取信息的基本含义、特征、关系等内容来还原事件发生的真实场景，从而寻找出各种与案件相关的信息，这些信息主要包括犯罪的具体行为、犯罪嫌疑人的具体动机以及犯罪嫌疑人的作案手法等等。 　　其中，在已经取得的数据流当中识别出各种匹配的关键词，是现阶段数据分析中使用频率最高的一种技术，它主要由以下几种技术构成：文件特征分析技术、文件关键词分析技术、日志分析技术、逻辑关系挖掘技术、被保护信息的访问技术等。 　　现阶段， 人们对于各种自动分析技术的探索步伐逐渐加快，如试图于挖掘问题产生的潜在规则，同时研究其中存在的程