基于物理内存分析的在线取证模型与方法的研究

《基于物理内存分析的在线取证模型与方法的研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、万方数据分类号：TP391密级：单位代码：10422学号：2011110086博士学位论文DissertationforDoctoralDegree(同等学力申请博士学位)论文题目：基于物理内存分析的在线取证模型与方法的研究MODELANDMETHODSRESEARCHONCOMPUTERLIVEFORENSlCSBASEDONPHYSICALMEMORYANALYSIS作者姓名王蓬渔培养单专业名位过篁熟整堂皇蕉查堂堕称计算机应用技L合作导师2014年11月28日∥各删办～?幂一◆，／n，y眦⑧万方数据MoDELANDMETHoDSRESEARCHoN

2、COMPUTERLIVEFoRENSICSBASEDONPHYSICALMEMoRYANALYSISByWangLianhaiSupervisor：XuQiuliangForthedegreeofDoctorofPhilosophyShandongUniversity,JinanShandong，P．R．ChinaNovember,2014万方数据原创性声明本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独立进行研究所取得的成果。除文中已经注明引用的内容外，本论文不包含任何其他个人或集体已经发表或撰写过的科研成果。对本文的研究作出重要贡献的个人和

3、集体，均已在文中以明确方式标明。本声明的法律责任由本人承担。论文作者签名：关于学位论文使用授权的声明本人同意学校保留或向国家有关部门或机构送交论文的印刷件和电子版，允许论文被查阅和借阅；本人授权山东大学可以将本学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或其他复带lJT-段保存论文和汇编本学位论文。⋯糍：越新签缸副期碑以兰愆万方数据山东大学博士学位论文目录摘!12E．．⋯⋯．⋯．⋯．．⋯⋯．．⋯．⋯⋯⋯．⋯．⋯．⋯．⋯⋯⋯．⋯．⋯⋯．⋯⋯．⋯⋯⋯⋯．⋯．⋯．⋯⋯⋯．⋯I-dLl[；STRACT⋯．．⋯．⋯．⋯．⋯．⋯．⋯．⋯．⋯．

4、⋯⋯⋯．⋯⋯⋯．⋯⋯．⋯．．⋯⋯⋯．⋯．．⋯．⋯⋯．⋯．．．．IV第1章绪论⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯．11．1研究背景⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯l1．2本文的研究内容及意义⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯31．3研究现状⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯41．3．1计算机取证模型研究现状⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯．41．3．2物理内存的获取与分析研究现状⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯．61．3．2．1物理内存镜像获取⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯71．3．2．2物理内存镜像分析⋯⋯⋯⋯⋯⋯⋯⋯

5、⋯⋯⋯⋯⋯⋯⋯91．3．3物理内存镜像获取的可信性评估⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯121．4本文的贡献及创新点⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯．131．5本文的组织结构⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯．14第2章基于物理内存分析的在线取证模型⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯。162．1计算机在线取证面临的主要困境⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯一172．1．1计算机在线取证的主要任务⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯172．1．2面临的主要困境⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯一172．2数字证据可信性的构成⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯．182．3数字证据可信

6、性评估架构⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯．192．4基于物理内存分析的在线取证模型⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯一202．5基于物理内存分析的在线取证模型的优点⋯⋯⋯⋯⋯⋯⋯⋯⋯一212．6小结⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯22第3章在线证据的可信性评估⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯233．1内存获取过程中影响可信性的主要方面分析⋯⋯⋯⋯⋯⋯⋯⋯一233．2以测量理论的相关方法进行在线证据的可信性评估⋯⋯⋯⋯⋯⋯243．2．1方法概述⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯253．2．2相关概念和定义⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯

7、⋯⋯⋯一253．2．3实验方法⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯一283．2．3．1实验环境因素对实验结果的影响⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯28万方数据山东大学博士学位论文3．2．3．2实验环境及实验过程⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯303．2．3．2实验结果及分析⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯303．2．3．3系统误差的计算⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯313．2．3．4系统进程测量误差算法⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯．333．3取证工具的加载活动覆盖关键痕迹的概率⋯⋯⋯⋯⋯⋯⋯⋯⋯一383．3．1概率计算公式⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯

8、⋯一383。3．2实验分析⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯一403．4内存镜像文件提取