刑事侦查学论文

您当前的位置:学术堂 > 法学论文 > 法律论文 > 刑事侦查学论文 >

网络取证体系结构及相关技术的研究

来源:学术堂 作者:韩老师
发布于:2014-04-16 共1536字

  2 网络取证体系结构及相关技术的研究
  
  网络取证是计算机取证的一个重要分支,国内外在该领域的研究尚都处于起步阶段。本章首先介绍静态取证和动态取证的概念,并对文献中提到的几种的网络取证体系结构进行描述和分析,然后对证据分析技术、证据保全技术以及其他取证相关技术的研究进行详细介绍。

  2.1 静态取证和动态取证
  
  传统的计算机取证方法通常都是在收到关于计算机犯罪的报告之后,才开始调查现场,从遭受计算机犯罪的计算机磁盘、内存临时文件等处查找证据,查找的证据包括系统现存的正常文件、已被删除但尚未被覆盖的文件、未被分配的磁盘空间和已分配但未被覆盖的空间中可能存留的信息,以及系统有关的日志信息等。DIBS、F1ightserver等工具都是按照这种方式进行磁盘镜像和数据恢复。由于这种方法是在入侵发生之后才开始取证工作,而且是针对目标系统的静态信息进行恢复、收集和分析,因此这种取证方法通常被称为静态取证或者事后取证。文献给出了静态取证的状态转移图,如图2一1所示。
  
  就目前的研究进展来看,静态取证在事后证据的恢复、数据搜索、提取、提交等方面已有不少成熟的方法和工具。但随着网络入侵技术的不断发展,静态取证方法暴露出越来越多的不足。首先,入侵者在入侵成功之后,完全可以把留在系统中的有关痕迹擦除或篡改,这样静态取证方法就无法获得关于入侵完整、准确的信息;其次,静态取证方法没有对入侵行为进行实时监视和记录,不能从主动防御的角度对入侵提供有效的响应;另外,未实施成功的攻击通常不会引起用户的注意,也就不会去收集与之有关的证据,或者无从收集与之有关的证据。随着对取证的实时性、有效性、可适应性等问题的要求的增强,动态取证技术逐渐引起了重视。动态取证也称为实时取证,通常是指利用相关技术,实时获取网络数据,并加以分析,获得关于入侵者和入侵行为的证据。实时性、有效性是动态取证的特点,即能够从实时动态的海量数据中提取有效数据,进行智能化分析,对入侵的行为具有高度判别力。文献同样给出了动态取证的状态转移图,如图2一2所示。
  
  从图中可以看出,取证的过程贯穿于始终,从攻击发生之前就收集证据,这样可以弥补事后取证遗漏证据的问题。但该模型存在一个不容忽视的问题:从一开始就收集证据,此时根本无法判别哪些是信息是取证分析所需要的,只能将所有信息全部收集,导致数据量巨大,且其中无关数据会占很大比重,给后续的取证分析造成很大的困难。
  
  黑客入侵的通常步骤如图2一3所示。

  由图2一3可见,入侵者对计算机系统的入侵过程,通常可以划分为三个阶段。
  
  1.入侵前的准备阶段
  入侵者在入侵目标系统之前,通常会通过踩点、扫描等方法收集与目标系统有关的信息,了解目标系统存在哪些漏洞可以进行利用,为下一步真正实施攻击做准备。此时,入侵者还没有获得目标系统的权限,目标系统此时相对而言还是处于安全状态。
  
  2.入侵中的实施阶段
  入侵者根据第一阶段获取的关于目标系统的漏洞信息,利用对应的攻击技术及工具来对目标系统实施入侵。入侵者可能会获得系统的管理员权限,实施破坏数据、窃取数据、控制系统进程等活动,或者以该系统为跳板实施对网络中其他主机的入侵活动。如果入侵者无法进入系统,也许会利用拒绝服务攻击来使得系统无法继续提供服务。

  3.入侵后的善后阶段
  入侵者对目标系统入侵成功之后,为了防止被管理员发现,会采用清除日志、删除临时文件等方法隐藏自己的踪迹,还会设置后门及木马程序,方便以后能再次顺利进入系统。从入侵的全局过程来看,我们的取证技术应该考虑这些阶段的特点,采取相应的取证技术及方法,避免盲目性。同时也应该充分结合和利用其他类型的信息安全技术,对整个取证过程进行保护和辅助。


返回本篇论文目录查看全文    上一章:论文的研究目标创新及组织结构   下一章:网络取证的体系结构
相关内容推荐
相关标签:
返回:刑事侦查学论文