计算机取证-2-计算机取证基础

《计算机取证-2-计算机取证基础》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第二章计算机取证基础内容提要存储介质文件系统数据恢复数据加密数据隐藏入侵与入侵检测信息源2存储介质存储介质基础磁盘阵列网络存储系统3存储介质基础计算机数据的载体是电脉冲和磁性材料等。数据存放地点相对复杂计算机内或外围存储设备（计算机的硬盘、备份介质如磁带）网络上的某台或数台服务器中数据的隐藏和防护，保存为隐藏文件、存放在隐藏分区中、对数据进行加密。存储按照使用的方式和存储规模，分为移动存储设备和非移动存储设备；按照存储介质和存储技术的不同，又可分为磁盘存储、磁带存储、光存储、磁光存储，其中磁带是最为便宜的存储介质，而磁盘是存取速度最快的存储介质；按照存储的介质分类，具体

2、可以分为硬盘、软盘、光盘、内存、Flash盘（U盘、mp3、数码相机的存储卡等均属于此类）。4除了单独使用存储介质外，很多场合下是将各种存储介质有机地组合起来，形成性能更好的存储设备如将多个磁盘组合在一块的磁盘阵列，将存储介质和网络结合起来的网络存储系统等。存储设备与服务器的连接方式通常有三种形式：DAS、NAS、SAN5硬盘的工作原理硬盘存储数据是根据电、磁转换原理实现的。硬盘由一个或几个表面镀有磁性物质的金属或玻璃等物质盘片以及盘片两面所安装的磁头和相应的控制电路组成，如图所示，其中盘片和磁头密封在无尘的金属壳中。6硬盘工作时，盘片以设计转速高速旋转，设置在盘片表面

3、的磁头则在电路控制下径向移动到指定位置然后将数据存储读取出来。当系统向硬盘写入数据时，磁头中“写数据”电流产生磁场使盘片表面磁性物质状态发生改变，并在写电流磁场消失后仍能保持，这样数据就存储下来了；当系统从硬盘中读数据时，磁头经过盘片指定区域，盘片表面磁场使磁头产生感应电流或线圈阻抗产生变化，经相关电路处理后还原成数据。7下图是磁盘上的盘片的磁化效果。8磁盘阵列磁盘阵列，是廉价冗余磁盘阵列（RedundantArrayofInexpensiveDisks，RAID）的简称。1987年，美国柏克莱大学提出RAID理论，作为高性能的存储系统，得到了越来越广泛的应用。RAID

4、是一种把多块独立的硬盘（物理硬盘）按不同方式组合起来的一个硬盘组（逻辑硬盘），提供比单个硬盘更高的存储性能和数据冗余的技术。它既保证了存取数据的快捷方便和管理客户端的简捷，也解决了存储海量数据的问题，同时提供了容错性（FaultTolerant）。它可以在不需停机的情况下自动检测故障硬盘、进行硬盘替换，还可以扩充硬盘容量、重建故障硬盘上的数据。9根据组成磁盘阵列的不同方式，RAID分为不同的级别。从RAID概念的提出到现在，有明确标准级别的分别是0、1、2、3、4、5、6、7、10、30、50等。下面分别对一些具有代表性的磁盘阵列进行说明。10NRAID硬盘连续使用。N

5、RAID（Non-RAID）意思是不使用RAID功能。它使用硬盘的总容量组成硬盘组。此外，NRAID不提供资料的冗余。JBODJBOD（JustBundleOfDisks，简单磁盘捆绑或磁盘簇）是控制器将机器上每个硬盘都当作单独的硬盘处理。此外，JBOD并不提供资料备份的功能。RAID0RAID0（DiskStrippingwithoutparity）又称数据分块，即把数据分成若干相等大小的小块，并把它们写到阵列上不同的硬盘上，这种技术又称“Stripping”，即将数据条带化。当系统有数据请求时，多个磁盘并行执行属于自己那部分的数据请求。11相比其他类型的磁盘阵列，R

6、AID0理论上拥有最高的数据存储效率，其容量和数据传输率是单个硬盘的N倍，N为构成RAID0的硬盘总数。当然，若阵列控制器有多个硬盘通道时，对多个通道上的硬盘进行RAID0操作，I/O性能会更高。因此常用于图像、视频等领域，RAID0I/O传输率较高，但平均故障时间MTTF只有单盘的N分之一，因此RAID0可靠性最差，数据一旦损坏将无法恢复。12RAID0是无冗余、无校验的磁盘阵列，实现RAID0至少需要两个以上，它将两个以上的硬盘合并成一块，数据按一定的规律同时分布在每块硬盘中，如图所示，图中纵向代表的是单个磁盘，每个字母代表一块数据。13RAID1RAID1（Dis

7、kMirroring），又称磁盘镜像。它的宗旨是最大限度的保证用户数据的可用性和可修复性，其操作方式是将用户写入硬盘的数据全部自动复制到另外一块磁盘上。即每个工作磁盘都有一个镜像盘，每次写数据时必须同时写入镜像盘，读数据时只从工作盘读出，一旦工作磁盘发生故障，立即转入镜像盘，从镜像盘中读出数据。当更换故障盘后，数据可以重构，恢复工作磁盘上的正确数据，这种阵列具有最高的数据安全性能，但磁盘利用率过低，成本高，其有效容量减小到总容量的一半以下，因此RAID1常用于对容错要求极严的应用场合，如财政、金融等领域。14RAID1至少需要两个硬盘共同