計算機取證中關(guān)鍵技術(shù)研究.pdf

1、近年來,計算機犯罪帶來的問題日益嚴重。自“熊貓燒香”案發(fā)以來,社會對于計算機犯罪的關(guān)注度越來越高。與此同時,計算機取證技術(shù)作為打擊計算機犯罪的重要手段也逐漸成為業(yè)內(nèi)研究的熱點。其中中國計算機法證技術(shù)研究會的CCFC計算機取證技術(shù)峰會和高峰論壇自2005年來舉辦了三次大型活動,成為業(yè)內(nèi)技術(shù)人員交流的重要途徑。本文從實際計算機取證的需求出發(fā),研究計算機取證中的如下幾項關(guān)鍵技術(shù)。第一,數(shù)據(jù)恢復技術(shù)。數(shù)據(jù)恢復技術(shù)是計算機取證中使用頻率最高的技術(shù)

2、之一。本文從FAT32和NTFS系統(tǒng)的結(jié)構(gòu)出發(fā),分析了在上述兩種文件系統(tǒng)下文件刪除以及磁盤格式化操作的原理,提出了文件數(shù)據(jù)恢復和格式化恢復的通用方法和流程。第二,磁盤全文搜索技術(shù)。在現(xiàn)有工具不能很好滿足計算機取證需求的背景下,本文提出了一種通過磁盤全文搜索來進行取證的方法。同時,對該取證方法底層所采用的模式匹配算法進行了對比實驗分析并加以改進,找出高效取證的最佳環(huán)境。此方法與數(shù)據(jù)恢復相結(jié)合,可以實現(xiàn)按文件類型、文件名或者文件關(guān)鍵字等進行

3、取證,有效提高了取證的效率。第三,典型文件類型格式分析。針對計算機取證中經(jīng)常遇到的文件格式,如郵件(EML、DBX、PST、BOX等)、打印假脫機文件(SPL和SHD)等,本文進行了文件格式分析以及研究了提取其中數(shù)據(jù)元素的方法;針對接入系統(tǒng)的USB設備,給出具體的痕跡取證過程。第四,計算機取證模型研究以及取證可信度的證明。本文針對以往的一些經(jīng)典計算機取證模型加以分析,提出了一種基于瀑布流模型的計算機取證過程模型;針對計算機取證流程抽象網(wǎng)