網(wǎng)絡取證技術研究.pdf

1、作為計算機取證重要分支的網(wǎng)絡取證技術，無論是國外還是國內，目前都正處于起步階段，主要是集中于一些取證系統(tǒng)框架結構的研究，或一些局部問題的研究，還沒有形成系統(tǒng)的理論、方法與體系。本文將入侵檢測、入侵容忍與網(wǎng)絡取證技術相結合，系統(tǒng)完整地研究了網(wǎng)絡取證系統(tǒng)框架結構設計、反取證技術、取證數(shù)據(jù)特征選擇與關聯(lián)分析、協(xié)同取證以及取證數(shù)據(jù)擦除等關鍵技術問題，提出了問題的解決方法。本文的創(chuàng)造性研究成果主要有： 1. 提出了計算機取證的分類方法，系

2、統(tǒng)探討了網(wǎng)絡取證的過程、分析技術、系統(tǒng)實現(xiàn)技術和未來的發(fā)展趨勢，提出并分析了基于入侵容忍、網(wǎng)絡監(jiān)控等技術的取證系統(tǒng)設計思想。 2. 系統(tǒng)研究了反取證技術，首次明確提出了反取證技術的定義、方法與研究領域，全面歸納比較了反取證所采用的數(shù)據(jù)擦除、數(shù)據(jù)加密、數(shù)據(jù)隱藏、數(shù)據(jù)混淆和數(shù)據(jù)轉換等主要技術，研究指出，反取證技術也應是取證技術的重要研究方向。 3. 全面比較分析了入侵檢測系統(tǒng)與網(wǎng)絡取證系統(tǒng)相結合的可行性。針對現(xiàn)有的網(wǎng)絡取證系

3、統(tǒng)假設當發(fā)生入侵行為時系統(tǒng)仍然處于可靠的工作狀態(tài)，未考慮系統(tǒng)狀態(tài)變化對取證的影響這一重要缺陷，首次提出了將系統(tǒng)狀態(tài)作為證據(jù)的重要思想。結合入侵檢測技術和入侵容忍系統(tǒng)SITAR，設計了一個具有入侵容忍能力的網(wǎng)絡取證系統(tǒng)INFS，并分析了該系統(tǒng)的入侵容忍機制、基于SMP的取證控制機制和安全傳輸機制，以及取證agent、攻擊回溯agent的工作機理，討論了對應于不同系統(tǒng)狀態(tài)的取證分析方法。INFS具有正常狀態(tài)、易受攻擊狀態(tài)、攻擊狀態(tài)、功能退化

4、降級狀態(tài)和失效保護狀態(tài)五種狀態(tài)，既可實現(xiàn)根據(jù)反映系統(tǒng)被侵害程度的不同狀態(tài)進行取證控制的安全取證，大大減少證據(jù)的存儲量，而且取證時所處的不同狀態(tài)也可作為系統(tǒng)遭受破壞程度的重要依據(jù)。 4. 研究了如何在海量數(shù)據(jù)中發(fā)現(xiàn)電子證據(jù)的技術，從多元統(tǒng)計學的角度，提出了基于ANN-PCA的取證數(shù)據(jù)特征選擇方法。對數(shù)據(jù)挖掘的核心技術關聯(lián)規(guī)則挖掘進行了定性的分類分析，提出了外關聯(lián)規(guī)則挖掘的概念，并將關聯(lián)規(guī)則挖掘區(qū)分為正關聯(lián)規(guī)則、負關聯(lián)規(guī)則和外關聯(lián)規(guī)

5、則三大類，提出了一種基于ANN-PCA的外關聯(lián)規(guī)則挖掘算法IFAAR，該算法無須生成頻繁項集，能夠有效地進行海量證據(jù)的關聯(lián)分析，同時，這也是對關聯(lián)規(guī)則挖掘技術應用的擴展和豐富。 5. 提出了從目標系統(tǒng)所有可利用資源中發(fā)現(xiàn)、關聯(lián)、解釋、分析信息，以確定證據(jù)因果關系、再現(xiàn)網(wǎng)絡犯罪場景和形成證據(jù)鏈，從而支持法庭舉證的協(xié)同取證概念。并在深入分析入侵檢測最新發(fā)展的報警關聯(lián)技術的基礎上，將報警關聯(lián)技術、貝葉斯網(wǎng)絡學習方法、概率函數(shù)依賴理論相