云计算取证

云计算取证

一．介绍：

云计算取证（Cloud Forensics）是云计算和数字取证交叉的一个概念，云计算的特点是整合计算资源,在保持低成本的状态下提供良好的计算服务质量,实现信息的自由分享。虽然云计算平台可以给广大用户提供高效服务,但是不法分子也可以在此平台上进行违法活动,取证技术是有效发现、证实违法行为的必要手段。但是传统以文件为基础的取证方式已经不适应云计算的服务模式,云计算环境主要由大量的分布式异构虚拟计算资源构成,这些复杂的结构给计算机取证工作的开展带来巨大的挑战。为了适应这些取证环境的变化,实现在云计算环境下进行取证工作成为一个重要的课题。

二．云计算：

计算资源虚拟化共用技术的一种商业模式

云计算所提供的服务：

1.软件即服务（SaaS）：用户使用软件，数据存放在云端，eg.Google App

2.科学计算云服务：提供超级计算服务器，处理相关数据https://www.360docs.net/doc/d616523925.html,

高性能科学计算平台

3.企业级云计算：为中小企业提供服务器服务，eg.Cloudware提供的数据中

心服务

4.软件和服务开发：为特定软件开发所需环境提供相应的资源和规模，

eg.Google的Web Search服务。

云计算现有的主要平台架构：

Google公司的MapReduce模型，微软的Dryad模型，Apache公司的Hadoop 模型，VMware公司的VCloud模型

云计算主要技术：系统虚拟化技术：主要通过操作系统与硬件设备中增加一个软件虚拟层（VMM），将运行环境与真实硬件环境进行隔离。

三．计算机取证

传统计算机取证层次：

证据发现层、证据固定层、证据提取层、证据分析层、证据表达层云计算平台下的计算机取证过程：

1．原始数据调查：在云计算环境中，主要针对云计算平台的虚拟机镜像，保证其不被修改。

2．现场数据记录：合理地对原始数据进行备份和记录。

3．监督层审核：收集现场数据记录生成的日志文件，使获得的证据具有法律效力。

4．收集迁移虚拟机证据：对虚拟机取证对象进行分析，通过对虚拟机镜像文件进行迁移处理。

5．收集系统信息证据：

6．云计算现场重构：重新搭建云计算环境的取证过程，重新进行原始数据的分析

四．主要采用技术

1.面向取证的现场迁移技术：

采用硬件抽象层虚拟机技术搭建云计算平台，在搭建的云计算平台中，通过对硬件配置的迁移和系统服务的迁移，实现了对操作系统的动态迁移技术的运用。然后具体描述了整个迁移过程中需要保存和重构的相关操作系统信息，包括

进程标识，文件系统信息重构，内存信息的迁移，网络连接信息监控，以及注册表信息重构的多个方面的具体实现。并且通过和反馈机制结合在一起，设计数据迁移的系统架构，使得数据迁移过程不会影响到整个云计算平台的服务请求。

2.镜像迁移数据的本地化取证

镜像的虚拟机文件只是复制了云计算中的虚拟机实例，为了分析其中的数据，建立了虚拟机重现的模型，借助磁盘虚拟化的动态迁移，动态硬件配置的迁移，以及动态服务和指令的迁移，可以在实际的主机环境中将镜像的虚拟机实例运行起来，实现了本地虚拟化技术。即让镜像的虚拟机直接从本地设备的操作系统启动。

对于虚拟机的本地化运行，关键是如何在本地服务器设备上加载迁移出来的虚拟机镜像文件。由于虚拟机镜像文件的加载需要本地操作系统能同步当时虚拟机镜像迁移时的系统信息，这样才能正确加载，所以本地操作系统需要一个能够和虚拟机镜像文件进行系统信息交互的场所，通过在本地磁盘中重新划分一个磁盘区域作为本地系统和虚拟机镜像系统的信息交互场所，可以让虚拟机镜像实现本地系统的顺利加载。