网络取证系统设计关键技术研究
种 ：１ 控 Ｃ Ｕ和 Ｍｅ ｒ 使 用 状 态 ； ）监 ）监 Ｐ ｍｏｙ的 ２ 控 操 作 系 统 Ｒ志 文 件 ，包括 系统 日志 、安 全 审 计 日志 、应 用程序 日志 ； ） 控 系统的 注册表 使用 情 ３监 况 ，包 括注 册 表 的创 建 、打 开 、修 改 ，删 除 操作 ， 可 以根据 需要 进行过 滤 ； ） ４ 监控 文件 系统 的详 细使 用情 况 ，包括文 件及 目录 的创建 、打 开 、修 改 、删
数 据 服 务器 加 以妥 善 保 存 。在 计 算 机 犯 罪 案 件 发 生 后 ，取 证 调 查 人 员 可 以通 过 记录 在 数 据 库 中 系
统 事 件数 据 对 犯 罪 现 场 模 拟 重 现 ， 进 行 取 证 分 析 ‘
工 作 ，提 交 分 析 结 果 ，保 证 计 算 机 犯 罪 案 件 诉 讼
不 同 的 权 限 ，很 难 管 理 ，防火 墙 对 内部 职 员 没 有
作 用 ，入 侵 检 测 也 经 常 发现 不 了 问题 。有 些 计 算 机犯 罪活 动并 不需要 很高 的权 限 Ｉ２ ｔ］ ，。
鉴 于事 后取 证 的缺 陷 以及 内部 职 员 的 安 全 威
中 心 管理 ，取 证 分 析 。鉴 于 这 四 个 方面 在 功 能 上
来配 置和 管理 系统 的取证和 监控 过程提 供一 个分 析
平 台来辅助 分析获 取 的证 据 ，提供分 析报 告 ｐ 】 。 出系 统 的 设 计 目标 可 以 直 接 导 出 系 统 主 要 功 能 包 括 四 个 方 面 ， 即主 机 取 证 ， 网络 取 证 ，取 证
是 内 部 网络 的合 法 使 用 者 ，不 同 的 内部 职 员 拥 有
从 对 系 统 环 境 的 分 析 ， 采 用 Ａ ｅ ｔ 构 建 系 ｇｎ 来 统 能 够 更 真 实 的反 映 系 统 环 境 ， 系统 的 构 架也 更 清 晰 。Ｇ ｉ Ｋ．Ｋｉｎ ｙ等 人于 ２ ０ 提 出 的基于 ａａ ｎｅ ０ ０年 Ａｇｎ 的 系统分 析 与设 计方 法 。该方 法提 供 了一条 ｅｔ 系统 化 的 道 路 让 用 户 能 够 从 需 求 开始 分 析 ，最 终 得 出足够 具 体 的设 计 方 案 。 因此 本 文选 择 Ｇ ｉ 方 ａａ 法 来进 行 系统 分 析 ，其 步骤 如下 ：
分析 ， 最终给出了一个 网络取证系统的设计方案 ， 网络安全发展 具有 一定能帮助作用。 对于 关键词 ： 算机 取证 ；电子证据 ；网络监控 ；系统设计 中图分类号 ：Ｔ ９ Ｐ３ ３ 文献标识码 ：Ｂ 文章编号 ：１ ０—０ （ ０ ２ ３ 下） １ ６ ０ ９ １ ４ ２１ ） （ 一０ ２ — ３ ０ ３
１ 取证分析子系统 ． ４ 取 证 分 析 子 系统 在 获 取 证 据 后 ，对 证 掘 进 行 分析 ，最终 提交 分析 结果 。它的主 要 功能 有 ：
Ｉ ｌ 化 Ｉ ３
网络取证 系统设计关键技术研究
Ｓｔ ｄｙ ｏｎ ｄ ｉ ｆｎｅ ｗ ｏｒ ｏｒ ｓｉ ｓ ｓ ｓｔ ｕ ｅｓ ｇｎ ｏ ｔ ｋ ｆ ｅｎ ｃ ｙ ｅｍ
朱亚 东
ＺＨＵ 、ａ ｄ ｎ ｒ— ｏ ｇ
摘
（ 江苏联合职 业技术 学院 南京工程分院 ，南京 ２ ０ ３ ） １０ ５ 要 ： 计算机取证的主要 目的就是要收集 电子证据 ，重构犯罪现场 ， 诉讼案件提供有效的证据。本 为 文通过研究计算机取证的相 关理论及技术 ，在 电子证据的获取 ，保存 、分析方 面进行 了探讨和
相 对 独 立 而 在 网络 物 理 环 境 下 处 在 不 同 的 位 置 ， 因 此 每 一 个 方 面 可 以 设 计 成 一 个 独 立 的 子 系统 。 各个 子 系统具 体功 能说 明如 下 ：
胁 ，在 可 能 发 生 网 络 安全 事 故 或 者 需 要 高 安 全 保
护 的 环 境 进 行监 控 将 是 十 分 必 要 的 。动 态 取 证 是 计算 机 取证 技 术 的一个 发 展 趋势 。在 这 一背 景 下 ， 本 文 设 计 了 一个 网络 动 态 取 证 系 统 ，该 系统 的基 本 思 路 是 ：确 定 可 能 发 生 网络 安全 事 故 或 者 需 要 高安 全 保 护 的环 境 （ 机或 网络 ） 主 ；为 计 算机 现 场 环 境 建 模 ，即 为 现 场 活 动 的主 体 （ 户 、 操 作 系 用 统 、设 备 ） 置监 控 Ａ ｅ ｔ 设 ｇ ｎ ，进 行 实 时监 控 ，最 大 限 度 获 取 真 实地 、完 整 地 数 据 ，并 建 立 系统 事 件
日志 数 据 库 ，把 现 场 获取 的数 据 发 送 到 远 程 安 全
１１ 主机取 证 子系统 。
主机 取证 子系统 主要功 能 ：实时 监控被 取证 主 机 的行为 ，记录 用户 、 系统 ，应 用程 序的重 要状 态 和行 为 。系统 启动时 ，具有 向取证 管理 子 系统登 记
注册 的职 责 。在 运行 过程 中接 受取证 管理予 系统 的
１ 取证管理子系统 ． ３
取 证 管 理 子 系统 主 要 配 置 系统 信 息 ，管 理 和 控 制 其 他 子 系 统 来 完 成 取 证 任 务 。具 体 包括 如 下 功 能 ： ）管理取 证 Ａ ｅｔ 系统 监控 事件 列 表 ，包 １ ｇｎ 及
括 加 入 ，删 除 豁控 操 作 ； ）管理 系 统 管 理 员 的添 ２ 加 ，修 改 ，删 除操 作 ； ）管 理被 取 证 主 机 的添 加 ， ３
１ 网络取证子系统 ． ２ 网 络 取 证 子 系 统 的 主 要 功 能 ： 完 整 地 、 真 实 记 录 网 络 中数 据 包 ， 对 每 个 数 据 包 按 协 议 栈 进 行 解 析 ， 目前 系统 能 够 对 Ｅｈｒｅ，Ｉ ，ＡＲ ｔｅｎｔ Ｐ Ｐ， Ｒ Ｐ Ｃ ＡＲ ，Ｉ ＭＰ，Ｉ ＧＭＰ，Ｔ Ｐ ｃ ，ＵＤ Ｐ以 及 部 分 应 用
１ 系统的设计 目标 与功 能分析
系 统 的设 计 目标 是 实 现 一 个 网 络 取 证 系统 ，
该 系统 能 够 自动 、动 态 收 集 网 络 和 主 机 的 证 据 ，
并 对能 够 证据 进 行保 护 、存 储 、分 析 。具 体 来讲 ，
系 统 的 目标 包 括 ：动 态 监 控 主 机 活 动 ，获 取 事 件 数据并 加 以保护 ，存储 到远 程服 务器 ；动 态监控 网 络数 据 ，保 存 网络数据 包数 据 ；提 供一 个管理 平 台
１） ２ 监控 用户 的 Ｗ ＷＷ访 问 同志 。
为 多个 对 象 及其 相 互 之 间 的 交互 行 为 。如 下 图 ３ ．
１ 示 ，原始 的计 算机 现场 环境 模 型可 以描述 为用 所 户 、操 作 系 统 、 系统 设 备 和 应 用 程 序 等 多 个 对 象
之 间 的交 互 场 景 。 在计 算机 犯 罪现 场 ，用 户通 过
修 改 ，删 除操作 ； ）实施 对被取 证 主机 的更 新 ，关 ４
闭 ，重 启 ，锁 定 操 作 ， 包括 对 被 取 证 主 机 上 取 证 Ａ ｅ ｔ 信 息 更 新 ； ）与 网络 取 证 Ａ ｅ ｔ 配 合 ， ｇｎ 的 ５ ｇｎ 的
心智 、承诺 等 。这 样从现 实 出发 ，更加容 易将 系统 分解 成 以 Ａ ｅｔ ｇｎ 为单 位 的灵活 、强 交互 的系统 。通 过 为 计算 机现 场 环境 中的每 类对 象设 置取 证 Ａ ｅｔ ｇｎ
过 程 顺利进 行 。
收稿 日期：２ １－ ２ ０ ０２ ０－ ６ 作者简介：朱亚东 （９ ６ １７ 一），男，江苏阜宁人 ，讲师 ，本科 ，研究方向为计算机网络。
［ ２ ］ 第３ 卷 １６ ４
第３ 期
２１— （ ） ０２ ３下
Ｉ 匐 似 违
除操 作 ，也 包括文 件及 目录 属性 的修 改 ； ） ５ 监控 文 件 系统 的一般 使用 情况 ，包 括文件 创 建 ，修 改 ，删 除 ，但 不能确 定 是哪个 进程 操作 该文 件 ； ） ６ 监控 系 统 的端 口使 用 情 况 ，包括 Ｔ Ｐ和 ｕ Ｃ ＤＰ端 口 ； ）监 ７ 控 系统进 程 的创建 与销 毁 ； ） ８ 监控 用 户的键 盘使 用 记 录 ： ）监控 用 户 的 登 陆和 退 出时 间 ； Ｏ 监 控 用 ９ １） 户 的打 开和关 闭的窗 口；１）监控 用户 的命 令记 录 ； １
来 实现 计算机 犯罪 环境的 动态获 取 。
对 过 滤 规 则 列 表 的添 加 ，删 除 ，修 改 管 理 ； ） ６ 查 询 管 理 员 登 陆 ，主 机 登 陆 ，系统 目志 记 录 ； ）管 ７
理 取证 分析 员 的添加 、修 改和删 除操 作 。
２２ 基 于Ｇａａ 法 的面 向Ａｇ ｎ系统 分析 ． ｉ方 ｅｔ
Ｄ ｉ１ ．９ ９ ｊｉ ｎ １０ －０ ３ ．０ ２３ 下 ） ４ ｏ ： ３ ６ ／ ． ｓ ．０ ９ １ ４ ２ １ ．（ ．Ｏ Ｏ ｓ
０ 引言
电 子 证据 是 计 算机 取 证 技 术 的核 心 ，计 算 机
取证 的过程 主 要就 是 围绕 电子证 据 的保 护 、获取 、 传输 和 存 储 工作 开 展 的。 与 传 统 证 据一 样 ， 电子 证 据 必 须 是 ：可 信 的 、准 确 的 、完 整 的、 符 合 法 律 法 规 的 ， 即可 为 法 庭 所 接 受 的 。 另外 ，根 据 计 算机 犯 罪年 度 报 告 显 示 ，病 毒 和 内部 职 员 成 为 计 算机 安 全 的最 大 威 胁 。并 且 内部 职 员 的威 胁 正 在 持 续 扩 大 ，其 危 害 程 度 也 在 不 断加 强 。 内部 职 员
系统 的控 制 、 请 求 ，也 会 执 行 一 些 动 作 。这 些 动
计算机取证系统的研究与设计
还可以重新定位根 目录和使用 Ｆ ＡＴ的备份副本 ， 另＃ ｂ Ｆ ＡＴ３ ２ 分区 的启动记录被包含在一个含有关键数据 的结构 中， 减少 了计算机系 统崩 溃的可能。 ２ ． ３ Ｅ ＸＴ２ ／ ３ 文件 系统 分析 Ｅ ｘ ｔ ２ ／ ３ 是Ｌ ｉ ｎ ｕ ｘ 系统 的标准文件系统 ， 其优点为存取文件的性 能好 ， 由线形排列 的数据块组成 ， 每个数据块具有相同的大小 ， 所有 块又被划分为若干个块组， 每个块组都包含了一份文件系统关键控 制信息 的拷 贝， 以及描述组 内数据存储与控制信息的位示 图， 节点 位 图和节点表 。 Ｅ Ｘ Ｔ ３ 文件系统 比Ｅ Ｘ Ｔ ２ 更加完整 ， 增加了 日志容量 ， 避免了意 外宕机对文件 系统的破坏， 以便文件系统在 出现问题后进 行恢复 和修复。 ２ ． ４ ＮＴＦ Ｓ 文件 系统 分析 Ｎ ＴＦ Ｓ 是一个基于安全性 、 可靠性、 先进性的文件系统 ， 它通过 使用标准 的事务处理 日志和恢复技术来保证分区的一致性 。 发生系 统失败事件时 ， ＮＴ Ｆ Ｓ 使 用 日志文件和检查点信息来恢复 文件 系统 的一致性 。 ＮＴ Ｆ Ｓ 采用了更小 的簇 ， 可以更有效率地管理磁盘空间 ， 簇的大小都 比相应 的Ｆ Ａ Ｔ１ ６ ／ ３ ２ 簇小 ； ＮＴ Ｆ Ｓ 可 以比Ｆ Ａ Ｔ３ ２ 更有效 地管理磁盘 空间 ， 最大限度地 避免 了磁盘 空间的浪费 。 ２ ． ５数 据 流 隐藏数 据 的发 现技 术 数据 流隐藏技术源 Ｍａ ｃ ｉ ｎ ｔ ｏ ｓ ｈ 分级文件系统ＮＴ Ｆ Ｓ， 它可 以 把任何文件作为某个文件 的另一个实例 附在其中， 而Ｗｉ ｎ ｄ ｏ ｗ ｓ ￣源 管理器无法显示 。 另外如果将数据文件隐藏在磁盘Ｓ ｌ ａ ｃ ｋ 闲散空间 、 交换 空间或未分配空间中， 这使得查找隐藏文件有很大难度 。 因此， 解读ＮＴ Ｆ Ｓ 文件 系统的镜像 文件 时 ， 检查标 准的文件属性类别 即可 识别 出隐藏的文件 ， 同时在进行证据分析 时可 以读取ｓ ｌ ａ ｃ ｋ ｓ ｐ ａ ｃ ｅ 中文件碎片 的二进 制数 据。 ２ ． ６删 除数 据 的恢 复技 术
基于千兆以太网的高清电子警察取证系统设计
Ｄ ｅ ｉ ｎ ｏ ｖ ｄ ｎ ｅ ｇ ｔ ｅ ｉ ｇ ｓ ｓｅ ｙ ｈ ｇ ｄ ｆｎ ｔｏ ｓｇ ｆ ｅ ｉ ｅ ｃ ａ ｈ ｒｎ ｙ ｔ ｍ ｂ ｉ ｈ－ ｅ ｉｉ ｎ ｉ
ｅｅ ｔ ｏ ｉ ｏ ｉｅ ｂａ ｅ ｎ ｇ ｇ ｂ ｔｅ ｈｅ ｎ ｔ ｌｃ ｒ ｎ ｃ ｐ ｌｃ ｓ ｄ ｏ ｉ ａ ｉ ｔ ｒ ｅ
ＨＥ Ｗ ｅ ，ＺＨＡＯ ｉ ｉ Ｈａ ，ＺＨＡＮＧ ｉ ｇ Ｌｎ
（ ｃ ｏｌ ｆ ｏ Ｓｈ ｏ ｍｍｕ ｉ ｔ ｎＥ ｇｎｅｉｇ Ｃ ｏ ｇｉｇＵｎｖｒｉ ， ｈ ｎ ｑｎ ０ ０ ０ Ｃ ｉａ ｏＣ ｎｃ ｉ ｎ ｉｅｒ ， ｈ ｎ ｑｎ ｉｅｓｙ Ｃ ｏ ｇ ｉｇ４ ０３ ， ｈｎ ） ａｏ ｎ ｔ
ｉ ｇ ａａ ａ ｄ ｇｇ ｂ ｔ Ｅ ｈ ｒ ｅ ａａ ｐ ｃ ｉ ｇ ｉ ｒ ｅ ｏ ａ ｈ ｅ ｅ ｒ ｐｄ ｐ ｏ ｅ ｓ ｇ ａ ｄ ｔａ ｓ ｓ ｉｎ ｏ ｉｈ ｍａ ｅ ｄ ｔ ｎ ｉａ ｉ ｔ ｅｎ ｔ ｄ ｔ ａ ｋｎ ｎ ｏ ｄ ｒ ｔ ｃ ｉｖ ａ ｉ ｒ ｃ ｓ ｉ ｎ ｒ ｎ ｍｉｓｏ ｆ ｈｇ — ｎ ｄ ｆ ｉ ｏ ｒ ｅｃ ｌｒｉ ｇ ． ｔ ｆ ｃ ｉｅｙ ｓ ｌｅ ｎｏ ｃ ｍｅ ｔｄｓ ｕ ｅｗ ｉｈ ｉ ｃ ｕ ｅ ｙ ｌｃ ｆ ｖｄ ｎ ｅ ｄ ｅｔ ａ ｅ ｎ ｔ ｎ ｔｕ ｏｏ ｉ ｉ ｍａ ｅ Ｉ ｅｆ ｔ ｌ ｏｖ ｓｅ ｆｒ ｅ ｎ ｉｐ ｔ ｈ ｃ ｓ ａ ｓ ｄ ｂ ｋ ｏ ｉｅ ｃ ｕ ｏｂ ｄ ｅ ｖ ａ ｅ
基于区块链技术的电子证据取证系统设计
基于区块链技术的电子证据取证系统设计近年来，随着网络技术的飞速发展，网络犯罪案件屡屡发生，电子证据的取证问题也日益凸显。
传统的电子证据取证方式效率低下、易被篡改，在实践中存在诸多问题。
为了更好地保障公民的网络安全，提高电子证据取证的效率和可信度，基于区块链技术的电子证据取证系统应运而生。
一、区块链技术概述区块链是一种去中心化、分布式记账技术，由比特币的发明人中本聪提出。
它通过数据加密、区块链连接、共识机制等技术实现了信息的不可篡改性和公开透明性。
各节点参与者的共同维护构成了区块链生态系统，保证了信息的安全性和一致性。
二、基于区块链技术的电子证据取证系统设计1. 系统架构设计基于区块链技术的电子证据取证系统采用分布式架构，系统包含证据采集、证据存储、证据鉴定、证据审批等环节。
证据采集模块采集相关证据信息，并以哈希值的形式上传至区块链网络；证据存储模块将证据文件保存在分布式文件系统中，确保证据的可访问性和可扩展性；证据鉴定模块通过多种技术手段对证据进行认证鉴定，避免造假和篡改；证据审批模块负责对证据进行审批和归档等工作。
2. 系统功能设计为了确保电子证据的取证效率和可信度，基于区块链技术的电子证据取证系统具备以下功能：（1）证据采集功能证据采集功能支持多种证据类型的采集，包括文本、图片、音频、视频、数据库日志等。
证据采集模块采用哈希算法对证据信息进行加密，保证证据的不可篡改性。
（2）证据存储功能证据存储功能采用分布式文件系统进行存储，在多个节点之间实现数据备份和冗余，确保了证据的可访问性和可扩展性。
（3）证据鉴定功能证据鉴定功能采用多种技术手段对证据进行认证鉴定，包括数字签名、时间戳、指纹识别等技术，避免证据被篡改和伪造。
（4）证据审批功能证据审批功能负责对采集、存储、鉴定的证据进行审批和归档等工作，确保证据的合法性和可信度。
三、系统实现效果将基于区块链技术的电子证据取证系统应用于实际案件中，取证效率得到了明显提高，证据的可信度也得到了进一步保障。
计算机犯罪取证中数据恢复的设计与应用
计算机犯罪取证中数据恢复的设计与应用应用一《数据恢复帮警方找回被盗游戏账号密码》嘿，说起计算机犯罪取证里的数据恢复，那可真是有不少有趣的事儿。
就拿我朋友老林碰到的一件事儿来说吧。
老林的表弟是个游戏迷，成天沉浸在一款超火的网络游戏里。
那游戏里的角色装备可是花了他不少时间和精力去积攒，可没想到，有一天这账号突然被盗了。
表弟那叫一个急啊，差点没哭出来，这就跟自己的宝贝被人抢走了一样。
表弟赶紧报了警。
警方介入之后，就开始忙活这事儿。
他们发现，这盗号的家伙挺狡猾，把账号密码改得干干净净，还把游戏里的装备转走了不少。
不过，警方有个厉害的技术手段，就是数据恢复。
首先，他们得找到可能残留有账号密码信息的地方。
经过一番侦查，发现表弟之前用的那台电脑里可能藏着线索。
这台电脑各种文件、软件装得乱七八糟的，就跟个大杂烩似的。
警方的技术人员可不怕麻烦，他们一点点地排查，通过专业工具去寻找那些可能被删掉但还没彻底消失的数据。
就好比在一堆杂乱的垃圾里找一颗宝贵的珍珠，这过程可不容易。
他们分析硬盘的存储结构，查看各种临时文件、缓存文件啥的。
运气还不错，在一个角落里，找到了一些残留的加密数据，经过解密后，发现里面就有原来账号密码的片段。
接着，他们又通过对游戏服务器日志的恢复分析，追踪到了盗号者的一些操作记录和IP地址。
顺着这些线索，很快就把盗号者给揪出来了。
表弟的账号和装备也都顺利地找了回来。
表弟高兴得不得了，又能继续在游戏世界里驰骋啦。
通过这事儿就可以看出，数据恢复在计算机犯罪取证里那可真是起着关键作用，能帮咱把那些被坏人偷走的东西给找回来。
应用二《数据恢复让失而复得的重要文件成为可能》要说数据恢复有多神奇，我自己还亲身经历过一回呢。
前段时间，我在公司负责一个重要的项目。
忙乎了好几个月，各种资料、文件、设计图纸啥的都存放在我的电脑里。
有一天，我像往常一样准备打开文件继续干活儿，没想到，电脑突然抽风了，死机不说，重启之后那些重要文件竟然全都不见了。
一种网络取证分析系统的设计
关键 词 ： 网络攻 击监测 ； 网络 取证 分析 ；报文采 集存 储；流 量统 计 ；应 用还 原
Ａ ｓｇ ｆＮｅ ｗｏ ｋ ｒ ｎｓｃ ｎｄＡｎａ ｙ ｉ Ｄｅ ｉ ｎ ｏ ｔ ｒ Ｆｏ ｅ ｉ ｓａ ｌ ｓｓ
Ｓ ｔｍ ｙｓｅ
Ｓ ｉｏ ｎ， Ｈ ＮＧ Ｑｉ Ｚ Ｏ ａ ｉｇ ＨＩ ａ Ｚ Ａ Ｈ Ｕ Ｄ ｎ ｎ Ｘ Ｍｉ ， Ｐ
记 录 ，这 种方 式能 保证系 统不 丢火任 何褙 在 的信 息 ，能最 大 限度地恢 复 黑客攻 时的现 场 。 寄 另一 种是 “ 卜 ，观察 并监听 ”系统（ Ｓｏ ｌｏ ｎ ｓ ｎｓｓ ｍ”） 刚 某种过滤 机制 排 除 停 米 “ ｔ ｏ ｋａ ｄｌ ｔ ｔ ｐ， ｉｅ ｙ ｅ ，采 不相 关 的网络报 文 ，只存储 和 网络安全 事件 分析相 关 的 网络报 文 。这种 方 式可 以减少 系统 的存 储 容 量需求 ，但 有可 能丢 火一些淋 在 的信息 。这 两种方 式都 需要 引入淘 汰机 制米 控制存 储 空 问
２ １ 息 技术 与应 用 学 术 会 议 ０ ０信
一
种 网络 取 证 分 析 系统 的设 计
史晓敏 张琦 周丹平 。
（ 江南 计算技术研究所 无锡 ２４ ８ ） ０ ３ １
摘
要 ：随着 网络攻 击监测 技术的发 展 ，迫切 需要加 强 网络 取证 分析 系统 的研 究 。
本 文介绍 了网络取证 的基本概 念和研 究现 状， 出 了一种 网络 取证分 析 系统的设 计 提 方 案。该 方案 具有 良好 的实 践性 。
丰 富的分析 素材 、线索和 依据 ，用 于对 网络 攻 事件 的发现 、确 认和评 仙 。
ห้องสมุดไป่ตู้
１ 网络 取证 分 析 概 述 、
安卓取证系统的设计与实现
文章编号:1007-757X(2021)01-0107-04安卓取证系统的设计与实现王德广，倪怀乾(大连交通大学软件学院，辽宁大连116028)摘要：为了取证人员快速提取分析安卓系统的数据信息，利用ADB和Python等工具在Windows系统中开发针对于安卓系统取证的桌面应用程序°并利用数据挖掘技术获取嫌疑人的微信好友信息，通过时间序列图、网络拓扑图的方式显示联系人之间的亲密度，使用词云显示浏览文本，获得重要信息°此程序具有较高的可行性和普适性，为取证人员提供较大的便利°关键词：安卓系统；手机取证；数据分析中图分类号：TP391文献标志码：ADesignandImplemen)a)ionofAndroidForensicsSys)emWANG Deguang,NI Huaiqian(College of software,Dalian Jiaotong University,Dalian116028,China)Abstract:In order to quickly extract and analyze data information of forensic system,this paper uses ADB and Python to develop deskGop applicaGions for Android forensics,uses daGa miningGechnologyGo obGainGhe WeChaGfriend informa ion ofGhe sus-pecG,displaysinimacybeGweenconGacGsbymeansofimeseriesgraphsandneGworkGopologymaps,useswordcloudGodisplay browsing text and obtain important information.The program has high feasibility and universality,and provides greater con-veniencefortheforensicpersonnel.Key words:Android system；mobile forensics；data analysis0引言智能手机已不止于通讯，而具备了一台电脑的重要功能&与此同时，不少犯罪分子也利用智能手机进行犯罪活动。
网络实时取证模型的研究与设计
０ 引言
随着 Ｉｔｒｅ 的飞速发 展 ， ｎｅ ｔ ｎ 计算机 网络 犯罪层 出不穷 。 但由
于 大量计算机 网络犯罪 的取证工作 都需要提 取存在于计 算机 系统 中的数据 ， 甚至需 要从 已被删除 、 密或 破坏的文件 中重 加
２１ 电子 证 据 的 完 整 性 问 题 ．
网络 中的数据一直处于流动的状态 中， 从发出数据的主机
经过若干 中间设备 ， 最后 到达接收 数据的主机 ， 并被接 受主机
处理 ， 这时候原始的网络数据就消失 了。另一方面 ， 网络环境 在
获信息 ， 导致很 多涉及 网络犯罪的案件 因无法提供有 效的证据
网络实时取证一般要经过三个阶段 。
３１原 始 数 据 的获 取 ．
数据 获取是 网络 实时取证 的第一步 。原 始证 据的 来源包
括： 网络 数据 ， 系统信息 ， 硬盘 、 盘 、 优 光盘以及服务器上的记录
间的任何变化 ， 当然最好是没有任何变化 。
（）保持数据在分析和传递过程 中的完整性 。即分析软硬 ３
查 判断证据时必须遵循如下原则 ： （）保持数据的原始性 。即取证分析的数据 是被 分析机器 １ 上数据的原始比特 流的复制。 （）保证证据 的连续性 。即在证据被正式提交给法庭时 ， ２ 必 须能够说 明证 据在从最初 的获取状 态到在法庭 上 出现状 态之 罪行为。
３ 网络 实 时取证 模型 的设 计
网络 实时取证 又称 网络 动态取证 ， 指结合防火墙 、 是 入侵 ２２ 电子 证 据 的 可 靠 性 － 检测 以及 网络 陷阱技术 ， 对所有可能 的网络 犯罪行为进行实时 网络上 电子证据的来源主要有两个 ， 一是直接 截获的网络 数据 获取和分析 ， 能分析入 侵者的 企图 ， 智 采取措施 切断连接 数据流记录 ， 二是从受 害主机或者 中问网络设备提取的各种 日 或诱 敌深入 ， 确保 网络系统 安全的情况 下获取 、 在 鉴定 、 保全 、 志记录 ，通常情况下这两种记录都以普通文件的形式存在 ， 可
计算机网络实时取证系统的设计
中 图分 类 号 ： Ｐ １ Ｔ ３
文 献 标 识 码 ： Ａ
文 章编 号 ： ６ ３ ９ （ ｏ ０ ｌ （） ０ １ — ｌ １ ７ － ７ １ ２ ｌ ） ２ｃ一 ０ ０ ２ ９
网 络 实 时 取 证 是 在 网络 上 跟 踪 、 揭露 件 日志 ， 络监 控 流 量 ，ｍａｌ完 成 特 定 功 密 手段 以及 相 应 的 认证 机 制 来 确 保 接 收 到 网 ｅ ｉ， 已经 发 生 的 利 用 网 络 犯 罪 的犯 罪 分 子 ， 以 能 的 脚本 文件 ， ｂ 览 器数 据缓 冲 ， 签 、 ｗｅ 浏 书 的信 息 的 机 密 性 。 及 通过 犯 罪分 子在 犯 罪 的过 程 中遗 留 网络 历史 记 录 或 会话 日志 、 时 聊 天 记 录 等 等 ， 实 取证 分析 机 是通 过对 取证 机搜 集到 的 网 从 里的通信数据 信息资料获取证 据的技术 。 将 这 些 海 量 的 历 史 数 据 和 实 时 数 据 ， 行 络 数 据 以及 网络安 全 日志信 息 进行 分 析 ， 进 收 集 ， 析 ， 出 与 犯 罪 有 关 的 数 据 记 录 ， 而 得 出相 关 的 数据 信 息 。 分 提 网络实 时 取证 分 析 是 一 个 相 当 费 力和 耗 时 的工 作 。 此 ， 要 的 主要过 程 是 当系统 接到 了从外 部 发送来 的 因 需 １ 网络 实时取证 先收集原始犯罪数 据 入 收 集 原 始 犯 罪数 据 是 网 络 实 时 取 证 系 将 数 据 挖 掘 技 术 引 入 数 据 的 分 析 ， 提 高 数 据 包 的时 候 ， 侵 检测 系 统就 会将 数 据 包 来 统 的第 一 步 。 始 犯 罪 数据 的 来 源包 括 ： 原 网 犯 罪 数 据 提 取 的 效 率 。 以 及与 系统预 存 的攻 击特 征数据 库 中的信 息 络 中存 在 的数 据 ， 罪 嫌 疑 人 使 用 过 的 电 犯 进 行 对 比 匹配 ， 而 来判 断 入侵 特征 是 否 吻 从 脑 里 存 留 的 系 统 信 息 ， 盘 数 据 、 盘 数 ３ 网络 实时取证 犯罪 的电子证据的保全 合 ， 果发现 有可 以 的链接 以及攻 击 行为 ， 硬 优 如 则 据 、 盘 数 据 以 及 网 络 服 务 商 服 务 器 上 的 和提交 光 将 攻 击信 息 反馈 到 防火 墙 中 。 火 墙这 时 的 防 记 录 等 。 些 存 留的 犯 罪 数 据 存 在 的 形 态 这 犯 罪 的 电 子证 据 的 保 全 和 提 交 是 网络 主 要功能 是将 接 收到 的数据 分流 到预 先设 定 各异 ， 要根 据 它 们 的特 点 来 进 行 收 集 。 需 网 取 证 系统 的 第 三 步 。 的 网络 陷 阱 机 中 ， 并将 接 收 到的 可疑 攻 击服 ３ １对 于 数据 证物 的保 存 络 实 时 取 证 犯 罪 数 据具 有 以 下 特 点 。 务 器 的数 据 向 陷阱 机进 行 反 馈 ， 陷阱 机 模 使 （ ） 时 的 数 据 ： 网 络 上 从 源 地 址 传 １实 在 在 提 取 了犯 罪 数 据 后 ， 了 保 证 犯 罪 拟 出 受到 攻 击时 所 应表 现 出 的服 务 器状 态 ， 为 输 数 据 包 ， 由传 输 介 质 至达 目的 地 址 后 数 据 证 据 不 被 非 法 破 坏 和 窃 取 ， 如 主 要 由此 可以 使攻 击行 为继续 并 能够 在监 控范 围 经 Ⅱ 例 就 不 再 属 于 网 络 流 ， 个 传 输 的 过 程 是 有 的 犯 罪 的 日期 和 时 间 、 盘 的 分 区情 况 、 这 硬 操 之 内 ｌ 与此 同时 并将攻击行 为反馈￣ａｍｉ ｓ ｄ ｒ— ｉ ｆ 时 间限制的 。 ｒ ｉ 以及预先 设计的响应 系统 中去 ， ａｏ 并发送 作 系 统 的版 本 、 行 取证 工 具 时 数 据 和 操 ｔ ｔ ｎ 运 （） ２ 海量 的 数 据 ： 网络 带 宽的 不 断 增加 ， 作 系统 的 完 整 性 、 件 种 类 、 件 许 可 证 以 到远 程 服 务 器进 行备 份 。 证 机 上 的数 据获 文 软 取 以及 网 民 的 数 量 成 倍 发 展 ， 上 传 输 的 数 及取 证 专 家对 电子 证 据 的分 析 结 果 和 评 估 取模 块除 了通 过对 于远 程服 务器 以及 系统文 网 据越来越 多， 形成 了 海 量 网络 数 据 。 周边 数据 、 网络数 据包等 安全 报 告 ， 该 用 加 密 、 字 签名 等 技 术 安 全 传 件和 日志文 件 、 应 数 （） 态 的 数 据 ： ３动 网络 数 据 是 在 网 上 传 送 给 司 法 机 构 ， 整 理 取 证 分 析 的结 果 提 依 法 提 供数 据 外 ， 需 要 从 防 火墙 、 侵检 将 还 入 输 的 动 态数 据 ， “ 动 ” 是 流 的数 据 ， 同 于 存 供 给 法 庭 作 为 诉 讼 证 据 。 不 测、 陷阱机 上接 收到 报警 数据 ， 将数据 处理 并 储 在 硬 盘 等 存 储设 备 中 的 数 据 。 成复 合 数 据库 存 储 格式 后 存人 数 据 库 中。 ３． 陷阱和 取证 ２ 信 息的采 集 主要是 通过 远程 服 务器 来执 取 证 分 析 机 时 将 传 送 过 来 的 数 据 进行 （） 态 的 数 据 ： ４多 网络 上 传 输 的 数 据 流 有的是文 本 ， 的是视频 ， 的是音频 ， 有 有 数 行 的 ， 远 程 服务 器 中存 放 大量 数 据 以及 备 实 时 分 析 ， 要 作 用是 通 过 对 于 提 取 某 一 在 主
计算机取证系统的设计
文章编号 100426410(2007)S120028203计算机取证系统的设计罗衡郴,周晓辉(广西工学院计算机工程系,广西柳州 545006)摘 要:在网络技术不断发展的今天,攻击入侵使得网络防护防不胜防,网络安全已经成为了人们最为关注的问题。
针对网络攻击入侵,建立了一个动态取证的计算机取证系统模型,并对各功能模块进行了分析论述,解决了动态取证中的实时性、有效性和可适应性问题。
关 键 词:网络入侵;计算机取证;系统模型中图分类号:TP311152 文献标识码:A收稿日期252作者简介罗衡郴(8),男,湖南衡阳人,广西工学院计算机工程系助教,华东师范大学在职研究生在读。
图1 计算机取证系统架构图 随着计算机及网络的普及,安全问题日益成为人们关注的焦点。
解决安全问题不仅仅从防御的角度来处理,还应该从法律的角度来考虑,而取证问题是网络诉讼的核心。
在本文中,所设计的计算机取证系统正是从技术的角度出发,提出安全取证的解决方案,为网络法律的执行提供强有力的保障。
1 系统模型设计111 逻辑架构这是一个基于主机和网络的计算机取证模型。
这个模型包括被取证机(各个服务器或工作站)、取证机和分析机。
其中取证机配备双网卡,其中一张网卡与被取证机接入同一个网络,另一张网卡则通过专线连接到分析机上。
取证机是需确保安全的机器,未经认证绝对不能发送或者接收数据,并且存储在这台机器上的数据具有不可修改的属性,确保它一定是原始数据;分析机则是在需要的时候才工作。
取证系统架构如图1所示。
计算机取证系统与被取证机(服务器、工作站等)处于同一网络上,实时监控、获取被取证机上的系统数据,以及以被取证机为源/目的地址的网络通信数据。
一旦被取证机系统中产生新的数据,就立即以安全的方式(如数字签名、数据加密等)将数据传输到取证机上。
当取证机获取到原始数据后,即刻使用MD5和RSA 等算法对原始数据进行数字签名,以保证其不可更改性,同时,取证机拷贝一份原始数据的副本发送给分析机以供分析,不对原始数据进行直接分析是为了防止原始数据在分析过程中受到破坏,对原始数据的操作可能使其完全丧失做为证据的可信性[1]。
Bloom filter在网络取证中的应用研究
Ａｂ ｔ ａ ｔ Ａｉ ｎ ｔ ｔｃ ｎ ｃ ｌ ｃ ａ ｌｎ ｅ ｏ ｒ ｄ ｔ ｎ ｌ ｎ ｔ ｒ ｏ ｅ ｓｃ ，ｈ ｓ ｐ ｐ ｒ ｒ ｓ ａ ｃ ｅ ｈ ｒ ｉ ｏ ｌ ｏ ｆ ｔ ｒ ｅ ｏｋ ｓｒ ｃ ： ｍｉｇ ａ ｅ ｈ ｉ ａ ｈ ｌ ｇ ｓ ｆ ｔ ｉ ｏ ａ ｅ ｅ ａ ｉ ｗｏ ｋ ｆｒ ｎ ｉｓ ｔ ｉ ａ ｅ ｅ ｅ ｒ ｈ ｓ ｔ ｅ ｔａｔ ｆ Ｂ ｏ ｍ ｌ ． ｎ ｔ ｒ ｉ ｅＡ ｗ ｆｒ ｎ ｉｓ ｙ ｔ ｍ ａ ｅ ｎ Ｂｌｏ ｆ ｔ ｒ ｉ ｐ ｏ ｏ ｅ ａ ｄ ｅ ｉｎ ｄ Ｍａ ｉｇ ｕ ｅ ｏ ｈ ｃ ａ ａ ｔ ｒ ｔ ｓ ｏ ｌｏ ｆ ｔｒ ｄ ｔ ｔ ｃｕ ｅ ｏ ｅ ｓｃ ｓ ｓｅ ｂ ｓ ｄ ｏ ｏ ｍ ｌ ｓ ｒ ｐ ｓ ｄ ｎ ｄ ｓｇ ｅ ． ｋ ｎ ｓ ｆ ｔ ｅ ｈ ｒ ｃ ｅｉ ｉ ｆ Ｂ ｏ ｍ ｌ ａａ ｓ ｕ ｔ ｒ ， ｉ ｅ ｓｃ ｉ ｅ ｒ ｔ ｅ ｙ ｔ ｍ ｃ ｎ ｏ ｌｃ ， ｏ ｒ ｓ ａ ｄ ｔｒ ｔ ｅ ａ ｎ ｔ ｏ ｋ ａａ Ｓ ｔ ａ ｔｅ ｔｒ ｇ ｓ ａ ｅ ｓ ｆ ｃｅ ｔ ｓ ｖ ｄ ｎ ｐ ｓ — ｖ ｎ ｈ ｓ ｓｅ ａ ｃ ｌ ｔ ｃ ｍｐ ｅ ｓ ｎ ｓ ｅ ｈ ｒ ｗ ｅ ｒ ｄ ｔ ， Ｏ ｈ ｔ ｈ ｓｏ ａ ｅ ｐ ｃ ｉ ｅ ｏ ｗ ｅｆ ｉｎ ｌ ａ ｅ ａ ｄ ｏ ｔ ｅ ｅ ｔ ｉ ｙ ｑ ｅ ｙ ｎ ｎ ｎ ｌ ｚｎ ｓ ｓ ｐ ｏｔ ｄ Ａｔ ｌｓ ｏ ｄ ｉ ｅ ｂ ｕ ｕ ｕ ｅ ｗ ｒ ｓ ａｅ ｇｖ ｎ ｕ ｒ ｉ ｇ ａ ｄ ａ ａ ｙ ｉ ｇ ｉ ｕ ｐ ｒ ． ａ ｔ ｓ ｍｅ ａ ｖ ｃ ｓ ａ ｏ ｔｆ ｔｒ ｏ ｋ ｒ ｉｅ ． ｅ