Windows注冊表取證分析技術(shù)研究.pdf

1、隨著計算機(jī)的發(fā)展和網(wǎng)絡(luò)的普及，計算機(jī)犯罪呈現(xiàn)日趨嚴(yán)重的趨勢，給國民經(jīng)濟(jì)帶來了嚴(yán)重的破壞。打擊和防范計算機(jī)犯罪已成為一個重大的難題。計算機(jī)取證技術(shù)正是在這種形勢下產(chǎn)生和迅速發(fā)展的。計算機(jī)取證是一門結(jié)合計算機(jī)領(lǐng)域和法學(xué)領(lǐng)域的交叉學(xué)科，它主要研究如何將犯罪者留在計算機(jī)及其相關(guān)的設(shè)備中的電子證據(jù)作為有效的訴訟證據(jù)提供給法庭的技術(shù)。
　　 Windows系統(tǒng)是國內(nèi)外使用最廣泛的操作系統(tǒng)之一，同時Windows系統(tǒng)的安全性也經(jīng)受著各個方面的

2、考驗(yàn)。注冊表是Windows操作系統(tǒng)、各種硬件設(shè)備以及應(yīng)用程序得以正常運(yùn)行的核心“數(shù)據(jù)庫”，注冊表還記錄著犯罪者進(jìn)行犯罪的大量證據(jù)，成為打擊計算機(jī)犯罪非常重要的線索和證據(jù)來源。Windows注冊表取證分析技術(shù)面臨的關(guān)鍵問題是如何把注冊表Hive文件從磁盤鏡像中恢復(fù)出來，以及如何存儲和分析大量的注冊表數(shù)據(jù)。
　　 本論文結(jié)合國內(nèi)外計算機(jī)取證的基本模型，提出了針對Windows注冊表的取證分析過程模型。Windows注冊表取證分析過

3、程分為三個階段：證據(jù)收集、證據(jù)分析和證據(jù)表示。本文還著重對取證過程中涉及的關(guān)鍵技術(shù)進(jìn)行闡述。
　　 本文的主要貢獻(xiàn)在于：
　　 (1)提出了一種Windows注冊表取證分析的過程模型。該模型幫助取證人員有條理的進(jìn)行注冊表的獲取和分析，并在很大程度上減少人工操作。
　　 (2)對Hive文件進(jìn)行恢復(fù)。由于Hive文件在磁盤中存在著分片，而傳統(tǒng)的恢復(fù)軟件很難對分片文件進(jìn)行有效的恢復(fù)。本文對Hive文件的內(nèi)部結(jié)構(gòu)進(jìn)

4、行分析，具體探討Hive文件在磁盤中的各種分片情況，并利用內(nèi)部結(jié)構(gòu)和N-Gram算法來幫助取證人員恢復(fù)這些文件，具有較高的實(shí)用性和準(zhǔn)確性。
　　 (3)利用注冊表數(shù)據(jù)之間的相關(guān)性特征對其進(jìn)行壓縮存儲。由于注冊表數(shù)據(jù)冗余性，有必要對這些數(shù)據(jù)進(jìn)行壓縮。壓縮后的數(shù)據(jù)的查詢的效率不會受到影響。
　　 (4)建立注冊表數(shù)據(jù)庫，進(jìn)行關(guān)鍵字查詢和關(guān)聯(lián)分析，提高證據(jù)分析的效率?；赪indows注冊表取證分析技術(shù)研究，不僅能夠?yàn)樽?/p>