分布式动态计算机取证技术的研究与实现-信息与通信工程专业论文.docxVIP

万方数据 万方数据 本人声明所呈交的学位论文是本人在导师指导下进行的研究 工作及取得的研究成果。据我所知，除了文中特别加以标注和致谢 的地方外，论文中不包含其他人已经发表或撰写过的研究成果，也 不包含为获得电子科技大学或其它教育机构的学位或证书而使用 过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论 文中作了明确的说明并表示谢意。 签名： 日期： 年 月 日 关于论文使用授权的说明 本学位论文作者完全了解电子科技大学有关保留、使用学位论 文的规定，有权保留并向国家有关部门或机构送交论文的复印件和 磁盘，允许论文被查阅和借阅。本人授权电子科技大学可以将学位 论文的全部或部分内容编入有关数据库进行检索，可以采用影印、 缩印或扫描等复制手段保存、汇编学位论文。 （保密的学位论文在解密后应遵守此规定） 签名： 导师签名： 日期： 年 月 万方数据 万方数据 摘 要 摘 要 随着互联网应用和信息技术的高速发展，在极大的便利了人们的工作及生活 的同时，网络安全问题也日益突出。在计算机犯罪手段层出不穷，与传统网络安 全防御技术的较量日趋激烈的形式下，仅仅依靠单一、传统的网络安全防御技术 来对抗计算机犯罪已不现实。因此需要尽快完善相关的法律法规，进一步提高人 们的计算机安全意识，借助法律和社会的力量来对抗计算机犯罪，正是在这种形 势下诞生了计算机取证技术。对计算机取证技术进行研究，对维护网络安全、预 防和打击计算机犯罪行为，具有极强的现实意义。 本文在研究计算机取证发展动态的基础上，介绍了计算机取证技术的相关概 念，对比分析了传统的静态取证技术和动态取证技术，总结了这两者的优点与不 足。在此基础上提出了一个分布式动态计算机取证系统(Distributed Dynamic Forensics System, DDFS)的设计思想。该系统结合了静态取证和动态取证的优点， 借助 Rootkit 技术完成对取证代理的隐藏保护和相关监控功能的实现。利用取证 代理完成分布式的证据收集，并具有能根据配置的策略对非法行为采取灵活应对 方式的特点，能有效的提升搜集证据的能力，更有利于保障证据的准确性、完整 性、安全性。深入剖析了分布式动态计算机取证系统的设计需求，明确了设计目 标，给出了系统的总体框架结构及系统处理流程，并着重针对系统五大功能模块: 取证管理平台、证据存储中心、转发中心、取证节点以及取证代理进行了详细的 设计。 本文针对分布式动态计算机取证系统涉及的关键技术进行了较深入的研究。 将重点放在系统最关键的功能模块——取证代理的研究与实现上，围绕取证代理 实际取证的需求，给出了利用 Rootkit 技术完成自身隐藏、实时监控以及证据搜 集的具体实现方法。同时也给出了其他四个功能模块的实现方法和工作流程。经 过实际的测试运行，本系统能有效的运行于网络环境之下，完成对目标主机的监 控，高效的获取相关电子证据，安全的传输证据，基本完成了最初的设计目标。 关键字：分布式取证，Rootkit，动态取证，主机监控 I ABSTRACT ABSTRACT With the wide application of internet and rapid development of information technologies, people are enjoying a much more convenient life, and meanwhile, facing a significant serious network security situation. Computer crime and insecure internet environment greatly affect the development of economy and politics. Computer crime is a kind of high-tech crime, it is intelligent and hidden and the traditional internet security technologies cannot be survived with. Therefore, relevant laws and regulations need to be establishing and people’s security awareness should be enhance as soon as possible. This is how computer forensics comes is born. Computer forensics is a combination of technologies including obt