網(wǎng)絡(luò)取證技術(shù)研究.pdf

1、作為計算機取證重要分支的網(wǎng)絡(luò)取證技術(shù)，無論是國外還是國內(nèi)，目前都正處于起步階段，主要是集中于一些取證系統(tǒng)框架結(jié)構(gòu)的研究，或一些局部問題的研究，還沒有形成系統(tǒng)的理論、方法與體系。本文將入侵檢測、入侵容忍與網(wǎng)絡(luò)取證技術(shù)相結(jié)合，系統(tǒng)完整地研究了網(wǎng)絡(luò)取證系統(tǒng)框架結(jié)構(gòu)設(shè)計、反取證技術(shù)、取證數(shù)據(jù)特征選擇與關(guān)聯(lián)分析、協(xié)同取證以及取證數(shù)據(jù)擦除等關(guān)鍵技術(shù)問題，提出了問題的解決方法。本文的創(chuàng)造性研究成果主要有： 1. 提出了計算機取證的分類方法，系

2、統(tǒng)探討了網(wǎng)絡(luò)取證的過程、分析技術(shù)、系統(tǒng)實現(xiàn)技術(shù)和未來的發(fā)展趨勢，提出并分析了基于入侵容忍、網(wǎng)絡(luò)監(jiān)控等技術(shù)的取證系統(tǒng)設(shè)計思想。 2. 系統(tǒng)研究了反取證技術(shù)，首次明確提出了反取證技術(shù)的定義、方法與研究領(lǐng)域，全面歸納比較了反取證所采用的數(shù)據(jù)擦除、數(shù)據(jù)加密、數(shù)據(jù)隱藏、數(shù)據(jù)混淆和數(shù)據(jù)轉(zhuǎn)換等主要技術(shù)，研究指出，反取證技術(shù)也應(yīng)是取證技術(shù)的重要研究方向。 3. 全面比較分析了入侵檢測系統(tǒng)與網(wǎng)絡(luò)取證系統(tǒng)相結(jié)合的可行性。針對現(xiàn)有的網(wǎng)絡(luò)取證系

3、統(tǒng)假設(shè)當發(fā)生入侵行為時系統(tǒng)仍然處于可靠的工作狀態(tài)，未考慮系統(tǒng)狀態(tài)變化對取證的影響這一重要缺陷，首次提出了將系統(tǒng)狀態(tài)作為證據(jù)的重要思想。結(jié)合入侵檢測技術(shù)和入侵容忍系統(tǒng)SITAR，設(shè)計了一個具有入侵容忍能力的網(wǎng)絡(luò)取證系統(tǒng)INFS，并分析了該系統(tǒng)的入侵容忍機制、基于SMP的取證控制機制和安全傳輸機制，以及取證agent、攻擊回溯agent的工作機理，討論了對應(yīng)于不同系統(tǒng)狀態(tài)的取證分析方法。INFS具有正常狀態(tài)、易受攻擊狀態(tài)、攻擊狀態(tài)、功能退化

4、降級狀態(tài)和失效保護狀態(tài)五種狀態(tài)，既可實現(xiàn)根據(jù)反映系統(tǒng)被侵害程度的不同狀態(tài)進行取證控制的安全取證，大大減少證據(jù)的存儲量，而且取證時所處的不同狀態(tài)也可作為系統(tǒng)遭受破壞程度的重要依據(jù)。 4. 研究了如何在海量數(shù)據(jù)中發(fā)現(xiàn)電子證據(jù)的技術(shù)，從多元統(tǒng)計學(xué)的角度，提出了基于ANN-PCA的取證數(shù)據(jù)特征選擇方法。對數(shù)據(jù)挖掘的核心技術(shù)關(guān)聯(lián)規(guī)則挖掘進行了定性的分類分析，提出了外關(guān)聯(lián)規(guī)則挖掘的概念，并將關(guān)聯(lián)規(guī)則挖掘區(qū)分為正關(guān)聯(lián)規(guī)則、負關(guān)聯(lián)規(guī)則和外關(guān)聯(lián)規(guī)

5、則三大類，提出了一種基于ANN-PCA的外關(guān)聯(lián)規(guī)則挖掘算法IFAAR，該算法無須生成頻繁項集，能夠有效地進行海量證據(jù)的關(guān)聯(lián)分析，同時，這也是對關(guān)聯(lián)規(guī)則挖掘技術(shù)應(yīng)用的擴展和豐富。 5. 提出了從目標系統(tǒng)所有可利用資源中發(fā)現(xiàn)、關(guān)聯(lián)、解釋、分析信息，以確定證據(jù)因果關(guān)系、再現(xiàn)網(wǎng)絡(luò)犯罪場景和形成證據(jù)鏈，從而支持法庭舉證的協(xié)同取證概念。并在深入分析入侵檢測最新發(fā)展的報警關(guān)聯(lián)技術(shù)的基礎(chǔ)上，將報警關(guān)聯(lián)技術(shù)、貝葉斯網(wǎng)絡(luò)學(xué)習(xí)方法、概率函數(shù)依賴理論相