計(jì)算機(jī)取證協(xié)同分析系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn).pdf

1、電子商務(wù)糾紛、計(jì)算機(jī)犯罪等涉及計(jì)算機(jī)調(diào)查的案件日益增多。日益增長(zhǎng)的計(jì)算機(jī)取證調(diào)查業(yè)務(wù)和當(dāng)前計(jì)算機(jī)取證分析模式的效率之間的矛盾成為時(shí)下影響計(jì)算機(jī)取證分析效率的主要矛盾。本文著重解決這一矛盾,完成了計(jì)算機(jī)取證協(xié)同分析系統(tǒng)的模型建立、系統(tǒng)實(shí)現(xiàn)與驗(yàn)證。證明計(jì)算機(jī)取證協(xié)同分析能有效縮減證據(jù)分析所消耗的時(shí)間,在快速完成證據(jù)分析的情況下提高證據(jù)分析的準(zhǔn)確性。
　　本論文進(jìn)行的研究工作如下:
　　1.本論文分析了計(jì)算機(jī)取證的歷史與現(xiàn)狀,研究

2、了當(dāng)前市場(chǎng)常見計(jì)算機(jī)取證分析工具的特點(diǎn),發(fā)現(xiàn)現(xiàn)有主流取證產(chǎn)品存在處理速度不理想、I/O吞吐率不高、軟件錯(cuò)誤多、無過程審計(jì)等方面的缺陷或不足。提出了通過多用戶跨地域、跨時(shí)域的協(xié)同分析,提高計(jì)算機(jī)取證分析效率,縮減海量數(shù)據(jù)分析時(shí)間的新一代取證分析產(chǎn)品解決方案。
　　2.本論文研究文件系統(tǒng)特點(diǎn)和常用文件系統(tǒng)數(shù)據(jù)恢復(fù)算法,提出文件系統(tǒng)數(shù)據(jù)的深度挖掘方法。論文整理了FAT文件系統(tǒng)和NTFS文件系統(tǒng)的數(shù)據(jù)恢復(fù)方法,研究了深度數(shù)據(jù)恢復(fù)技術(shù),綜合

3、整理反格式化數(shù)據(jù)恢復(fù)技術(shù)和文件挖掘技術(shù),通過整合兩個(gè)新技術(shù)的應(yīng)用,提出了文件深度挖掘方法。方法提高了計(jì)算機(jī)取證分析工具的數(shù)據(jù)恢復(fù)能力。
　　3.本論文對(duì)系統(tǒng)的需求進(jìn)行分析,完成了系統(tǒng)總體架構(gòu)設(shè)計(jì)。系統(tǒng)采用C/S多層結(jié)構(gòu)設(shè)計(jì),基于C++技術(shù)實(shí)現(xiàn)。系統(tǒng)由身份認(rèn)證、分析行為監(jiān)管、關(guān)鍵字搜索、證據(jù)管理、數(shù)據(jù)恢復(fù)、書簽及報(bào)告生成等模塊組成。系統(tǒng)還提供了和現(xiàn)有案件管理系統(tǒng)的外部接口。
　　4.本論文實(shí)現(xiàn)了計(jì)算機(jī)取證協(xié)同分析系統(tǒng)。完成了用

4、戶身份認(rèn)證模塊的設(shè)計(jì)和實(shí)現(xiàn),以及基于用戶身份的分析行為監(jiān)管模塊、計(jì)算機(jī)取證協(xié)同分析業(yè)務(wù)模塊的設(shè)計(jì)與實(shí)現(xiàn)。在協(xié)同分析業(yè)務(wù)模塊方面實(shí)現(xiàn)了虛擬文件系統(tǒng)支持的數(shù)據(jù)恢復(fù)、關(guān)鍵字搜索等協(xié)同分析模塊。論文還設(shè)計(jì)和實(shí)現(xiàn)了與案件管理系統(tǒng)的接口模塊。
　　5.最后本論文對(duì)系統(tǒng)的功能和性能驗(yàn)證進(jìn)行驗(yàn)證。驗(yàn)證了協(xié)同分析系統(tǒng)在計(jì)算機(jī)取證分析中的可用性。通過相同證據(jù)在不同系統(tǒng)進(jìn)行證據(jù)分析所消耗的時(shí)間對(duì)比,驗(yàn)證了計(jì)算機(jī)取證協(xié)同分析系統(tǒng)對(duì)于提高證據(jù)分析效率,縮短