并行技术在取证工作中的应用.docx

??

?

??

并行技术在取证工作中的应用

?

?

?

?

?

??

?

?

?

张雪峰

（厦门市美亚柏科信息股份有限公司，福建厦门361008）

摘要：随着计算机技术的不断发展，硬盘容量的不断提升。目前的取证方式针对大容量硬盘与突发群体性案件中的海量数据无法实现快速而高效的取诬分析工作。无法满足高速、高效地为信息研判提供支持，为此需要一种高速、高效的并行取证分析方式与相关技术，加快目前针对大容量硬盘或海量硬盘数提的取证分析工作。

关键词：并行取证；高效取证分析；并行分析

TP393.08：A

随着计算机技术与网络技术的快速发展。尤其是近几年来随着人们对媒体应用需求的不断扩展。个人计算机存储容量急剧上升。从2005年一般硬盘容量平均为80-120GB。到目前硬盘容量为1-2TB。短短几年的时间个人计算机主流的硬盘容量已经增长了10-20倍。这无疑为取证调查工作增加了难度，原来需要1-2小时可以搜索一遍的硬盘。现在需要10-20个小时才能完成一个硬盘的完整搜索与分析工作。如何有效利用目前计算机并行技术。在有限的时间里通过并行方式执行更多的任务。这就是接下来取证工作中软硬件相结合的技术发展的趋势。

1复制与分析并行执行技术名词解释

静态数据分析工作：在硬盘复制完成后，针对硬盘中的数据开始调查工作。在调查工作中一部分工作是调查对方未被删除的用户数据先进行调查，例如：对上网历史记录的调查、邮件记录、聊天记录、各种文档文件调查等。而另一部分是对被删除数据展开调查。例如：通过关键字信息进行全盘搜索与扫描。这两部分的工作所耗费的时间在调查工作中所占有的比例是比较高的。在该工作中针对全盘进行关键字搜索工作需要搜索整个硬盘中的存储单元，即需要将硬盘数据流从头到尾过一遍，这与硬盘复制工作中数据流过程相类似，但对数据仅进行读取，未进行写入工作。这一流程与硬盘复制往往都需要较长的时间。硬盘数据动态仿真取证分析工作：通过虚拟仿真技术，在分析计算机中建立一个虚拟的操作系统运行环境，该环境模拟被调查硬盘的计算机运行环境，最终为调查人员提供一个与被调查计算机完全相同的虚拟运行环境，调查人员可以像被调查的人员一样操作其计算机。通过这一技术获取受计算机操作系统环境保护的各种敏感数据甚至是加密数据，如EFS加密文件、浏览器自动完成表单等。

2硬盘复制并行技术分析

目前取证工作都采用串行工作的方式执行，即先进行硬盘复制，然后再连接只读设备进行静态数据分析。静态数据分析完成后再连接该硬盘到动态仿真取证设备上进行动态数据取证工作，在这样的工作过程中人工干预的次数比较多，需要在硬盘数据复制机，只读锁，分析计算机之间多次插拔硬盘，整个分析工作复杂而繁琐，往往需要耗费大量的时间。

在静态数据分析工作中如果针对整个硬盘进行关键字搜索，则几乎占满硬盘的I/O操作，并耗用相当的CPU资源。此时若有需要大量执行磁盘I/O操作的取证工作进行并行工作是很困难而且是无法提高工作效率的。

目前的工作方式在设备与人员上都存在很多闲置情况。而且存在很多资源浪费、因操作繁琐造成对操作人员素质要求比较高，不利于取证技术普及等多方面缺点。如何提高取证工作设备使用效率，减少工作中人工干预次数、提高设备的自动运行能力。围绕着这两个方面需求，通过研究证实，可以通过并行取证技术得以实现。

在研究发现通过对取证调查工作中的工作序列重新排序，执行并行操作等方式，充分[来自wwW.lw5U.coM]利用计算机资源，可以有效提高工作效率，如图2所示。研发具有高速并行工作能力的硬件系统，一次性自动完成原来复杂而重复性比较强的操作步骤。整个取证分析工作过程中减少人工干预的次数，从而实现高速高效的目的。在取证或鉴定工作流程中，将调查人员的工作重心放在对取证结果的分析上，而不是在不同功能设备间的设备插拔等重复操作上。并行模式下的取证工作流程与模式分析，在并行工作方式中，主要的技术实现思路是：

1)为了将复制、分析等工作流程进行有效整合，将复制机与分析计算机由原来各自独立的工作设备调整为一体化的可实现并行取证工作的设备。从而为优化工作流程提供了可靠的硬件平台。

2)充分利用可并行工作的一体化取证计算机所提供的多个不同功能的处理器并行工作技术。合理安排工作中人员的工作时序，数据流的合理利用，提高整个工作效率。

3)研发与硬件配套的取证复制、分析软件。通过业务调研等形式针对工作流程进行归纳与总结并提取取证工作中相对规律化与模式化的工作通过软件来实现任务的自动执行，通过此方式可以有效减少人工干预次数。可以将调查工作人员的注意力更多地集中在案件数据内容本身的分析上。

“取证魔方”是一款专门设计用于取证工作的多功能一体化设备。该产品综合了高速硬盘复制(SAS/SATA/IDE)、取证分析（取证大师