取证计算模型的研究与实现

是 肉 眼 直 接 可 见 的 。传 统 证 据 的 获 取 方 法 ，如 笔 迹 鉴定 、 人 体 测 量 和 指纹 鉴 定 法 、足 迹 鉴定 、 牙 痕 鉴 定 、声 纹 鉴 定 、 唇
ＨＩ Ｓ 事 件 、ＮＩ Ｓ 事 件 、网 络 流 量 、 物理 磁 盘 、 文 件 备 份 、 Ｄ Ｄ 文 件 片 断 等 。一 是 有些 数 据 是 非 结 构 化 的 ， 如物 理 磁 盘 和 文 件 片断 ， 只能 看 作 是二 进制 流 ；二 是 在 整 个 攻 击 链 路 上 取证 时 ， 数 据 集 中存 在 时 钟 不 同步 和事 件 不 一 致 ， 得基 于时 间的 分 析 使 和 基 于 事 件 的 分 析失 觌 三 是 取 证 可 能 会 对 原始 数 据 造 成 很 严 重 的修 改 ，因 为 打 开文 件 、打 印文 件 等 一 般 都 不 是 原 始操 作 ， 即 Ｈｅ ｅ ｂ ｒ ｉ ｎ ｅｇ的不 确 定 性 原 理 。 ｓ （ ）如何 针 对 取 证 的 需 求 ， 究 有效 的取 证 挖 掘 算 法 ， ２ 研 特 别 是 从 多媒 体 （ 图像 ／音 频 ／视 频 ）中 挖 掘 相关 证 据 的挖 掘 算 法 和 技 术 。另 外 ，目前 取 证 计 算 从 工具 和单 个攻 击事 件 研 究较 多 ，但 从 计 算 模 型 上 研 究 较 少 。
战斗实力 ，同时消耗 了敌方的战斗资源 ，如 ９ 年海湾战争伊 １
拉 克成 功 实 施 的 目标 伪 装 。诱 骗 资 源 （ｅｏ ｅ ｖｃｓ ｄ ｃ ｙ ｓｒ ｉ ）用 于 ｅ
“ 示假” ，吸引攻击者 ， 从而获得更多的攻 击流量， 使得数据集
Ｃ 足 够 大 。但 网 络 诱 骗 目前 没 有 成功 的 经 验 ， 相关 的 研 究 如
维普资讯
取证计算模 型的研 究与实现
湖北省公安厅公共信息 网络 安全监察 总队 徐 云峰
摘
要 计算机取证 （ｏｐｔｒｆｒ ｓｓ 目前正逐渐成 为人 们研 完－ ｃｍ ｕ ｏ ｎｃ） ｅ ｅｉ ５关注的焦点。该文对取证 计算（ ｒ ｓｓｃｍｕｎ） ｆ ｅ ｉ ｏ ｐ ｉ ． ｏ ｎｃ ｔｇ￣
探 测和 被 攻 击 的 特 征 ， 制 假 目标 以 “ 假 ” 这 些 伪 装 保 存 仿 示 ，
掘 、 算 模 型 、 工 智能 （ 器 学 习 ） 自然 语 言 处 理 （ 解 ） 计 人 机 、 理 、 多媒体理解 （ 处理 ） 等 科 学 领 域 ，而 且 涉 及 到 法 律 科 学 、统 计 学 、心 理 学 等 相 关 学 科 。
（ ）电子 伪 装 ，除 对 目标 的 “ 真 ”外 ，可 模 拟 目标 的 可 ３ 隐
纹 鉴 定 、 模 鉴 定 、 于 ＤＮＡ的 遗 传 基 因 鉴 定 等 不 能 用 于 电 虹 基 子 证 据 的 获 取 。 电 子 证 据 的 获 取 从 传 统 的 计 算 机 取 证 （ ｏ ｕｅ ｏｅ ｓｃ 发 展 到 网络 取 证 （ ｔ ｒ ｏ ｅ ｓ ） Ｃ ｍｐ ｔｒＦ ｒｎ ｉ） Ｎｅｗｏ ｋ Ｆ ｒｎ ｉ ， ｃ 从静 态取证 发展为动 态取证 ，从单点取 证发展 到多点取 证 ，
行 了定 义 ， 并提 出 采 用 Ｘ Ｌ ＯＭ ｇ Ｍ ／ Ｅ ／ Ｍ数 据 模 型 、数 据 融 合技 术 、取 证知 识 库 、专 家 系统 推 理 机 和挖 掘 引 擎 的取 证 计 算模
型 。最终 实现取证计算模型的原型 系统 ，为网络取证提 供理论、方法、技 术和 系统的支持 ，填补 网络取 证的部 分研 究
到 目前 ，对 电 子 证 据 获 取 的 研 究 极 有 可 能 成 为 一 种 新 的 计 算
学 科 ，即 取 证 计 算 （ ｏ ｅ ｓｃ Ｃ ｍｐ ｔ ｇ 。取 证 计 算 不 仅 涉 Ｆ ｒｎ ｉ ｏ ｕｉ ） ｎ
及 到 计 算 机 取 证 、网 络 取 证 、 网络 诱 骗 、 网 络 追 踪 、数 据 挖
二 取证计算的定义
取 证 计 算 是指 从 大 量数 据 集合 Ｃ中发 现 隐 含的 电 子 证据 链 Ｐ 如 果 电 子 证 据 的 特 征 集 为 ｑ， Ｃ， 作 输 入 ，Ｐ为 输 出 ， 。 将 ｑ看
ｔｏ ｅ ｎ ｔ ｛ ｎ ｙ ｅ 、Ｈｏ ｅ ｄ、Ｖｍｗ ａ ｅ ＢＯＦ、 Ｓ ｅ ｔ ｒ Ｈｏ ｍ ａ ｅ ｎｙ ｒ、 ｐ ｃｅ 、 ｍｅ ｄ 、
— —
目前 在取 证 计 算 中存 在 的 关 键 问 题 ：
（ ） 据 源 中数 据 的异 构 性 和 复 杂性 。 些数 据 包括 系统 １数 这 日志 、 用 系统 日志 、 应 ＡＡＡ 日志 、 由器 日志 、 火 墙 日志 、 路 防
取证计算
电子 证 据 （ 字 证 据 ） 对 传 统 证 据 “ 器 库 ”的补 充 ， 数 是 武 它 起 源 于 上 个世 纪 ８ 代 ，自 ９ 年 代 中 后 期 开 始 服 务 于 法 庭 。 ０年 ０ 与 传 统 证 据 一 样 ，电子 证 据 必 须 是 可 信 的 、准 确 的 、完 整 的 、 使 法 官 信 服 的 和 可 为 法 庭 所 接 受 的 。 同 时 ，电 子 证 据 是 以数 字 方 式 存 储 的 二 进 制 代 码 ， 因此 电子 证 据 容 易 被 改变 ，且 不
Ｄ ＴＫ和 Ｍ ａ ｔａ ｎｒｐ等 。但 如 何 优 化 网络 诱 骗 资源 是吸 引攻 击 者
空 白 ， 为保 证 网络 社 ห้องสมุดไป่ตู้ 的 安 全提 供 技 术 支持 。
关键词
取 证计算 数据融合 推理 机 隐 马尔可夫模 型 Ｐｔ 网 ｅｉ ｒ
用取 证 挖 掘 （ ｏ ｅ ｓ ｎｎ ） 来 获 得 的 证据 或证 据 链 。 Ｆ ｒｎ ｉ Ｍｉｉｇ ｃ
一
研 究获取 电子证据的新学科