探析计算机取证技术

《探析计算机取证技术》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、探析计算机取证技术摘要：近几年来，随着计算机网络的普及，计算机网络病毒也愈来愈猖獗，依靠计算机网络系统的犯罪现象越来越突出，已成为较严重的技术问题。山于犯罪手段愈加隐秘，犯罪技术愈加先进，传统的破案方法己难以将其绳之以法,就必须依靠计算机取证技术，对犯罪现象进行有效打击。为此，本文对计算机取证技术进行相关研究，具有重要的实际意义。关键词：计算机；取证技术中图分类号：TP399-C2计算机犯罪是一种与时代同步发展的技术犯罪，加上计算机犯罪具有较强的隐蔽性及匿名性，使得侦查计算机犯罪具有较大困难。尤其随肴计算机网络技术的日益更新，对网络攻击水平也在不断提高，新的攻击手段及工具

2、层出不穷，对网络信息安全造成了极大威胁。鉴于此种现象，迫使我们必须改变传统的防御技术，变被动为主动，严厉打击犯罪分子的嚣张气焰，从根本上降低犯罪率。计算机取证技术作为一种先进技术，就能够解决这一问题，能够严厉打击犯罪分子。1计算机取证概述所谓计算机取证是指对计算机入侵、破坏及攻击等犯罪行为，依靠计算机硬软件技术，并遵循国家相关法律规范，对犯罪行为提取证据，并对其进行分析及保存。从技术角度看，计算机取证可对入侵计算机的系统进行破解及扫描，对入侵的过程进行重建。计算机取证也称之为电子取证、数字取证或计算机法医学，主要包括两个阶段，即获取数据、发现信息。英中获取数据是指取证人员

3、针对入侵现象，寻找相关的计算机硬件；而发现信息则是指从获取的数据屮寻找相关的犯罪证据，该证据与传统的证据一样具有较高的可靠性及真实性。计算机取证流程分为以下几个步骤：取证准备一一现场勘查一一数据分析一一证据呈递四大步骤，每一步骤都有自己的特点。如：数据分析是将与犯罪相关的申实数据相继找出来，与案件取得相关性。2分析计算机取证技术计算机取证技术主要分为蜜罐网络取证系统、数字图像边缘特性滤波取证系统、分布式自治型取证系统及自适应动态取证系统。2.1蜜罐网络取证系统从当前来看，蜜罐网络取证系统已受到很多计算机研究者的重视，并对其进行研究分析，通过布置安全的蜜网，就能够正确收集大

4、量的攻击行为。通过近儿年的研究，一种主动的蜜罐系统被提出来，该系统能够自动生成一个供给目的的匹配对象，并对入侵的信息研究较为深入。蜜罐取证系统结构中每一个蜜罐都是虚拟的，并配备有合法的外部的IP地址，可看成一个独立的机器，对不同的操作系统进行模仿，并能够收集相关日志数据，最终实现日志与蜜罐的分离。通过蜜罐系统可根据攻击者在蜜罐中的时间，获取更多有关攻击的信息，进而采取有效的防范措施，最终提升系统的安全性。2.2数字图像边缘特性滤波取证系统所谓的数字图像边缘特性滤波取证系统是指攻击者対图像的篡改，要想对图像进行止确的取证则需要对图像的篡改手段进行详细的掌握，最为主要的就是对

5、图像的合成及润饰的检测。对于图像的合成主要采用同态滤波放大人工的模糊边界，在一定频域中对图像的亮度进行压缩，并对图像的对比度进行增强，进而使得人工模糊操作中的模糊边界得到放大，提高取证的准确性。当图像采用同态滤波Z后，模糊边缘就能够得到方法，并利用腐蚀运算，除掉图像自然边缘，对其伪造区域进行止确定位。另一方面则是润饰的检测。利用形态学滤波的方式，构造合适的结构元素，包括结构元素的形状、大小等。结构元素大小适宜选择三像素的方形结构，其检测步骤为：首先，采取适当的同态滤波函数，对预取证图像的边缘进行扩展处理；然后，将经过滤波Z后的图像信息提取出来；最后，选取腐蚀运算将经过增强

6、处理的图像模糊拼接边缘提取出來，最终对图像的伪造区域进行定位。2.3分布式自治型取证系统管理的证据收集及集中式的处理是较为普遍的证据收集方式，具有复杂的层次结构，但该设计的缺点为网络宽带不足且单点失效，极易发生性能瓶颈，进而无法正确收集大量的攻击侍息。鉴于以上存在的缺点，特研究岀一种分布式自治型的取证系统，该系统采用三层的分布方式，通过各个取证字点能够独立地完成证据的收集。2.4自适应动态取证系统所谓口适应动态取证系统是指对网络数据流进行分析及捕捉，对网络运行状态进行实时的监控。当前，所使用的自适应取证系统是基于Agent的自治软件实体，在需要的时候能够被动或主动地从一个

7、网络结点向另一网络节点转移，在任意点都能够对执行过程进行中断。通过利用该软件构造检测取证的异构环境，有效将取证技术与网络安全系统相结合起来，实现自适应识别、分析及获取可疑网络信息，智能分析攻击者的入侵动机。此外，可确保系统网络安全的条件下，获取相应的证据。该取证系统最为重要的是能够根据攻击者的攻击手段而改变，随时调整防范对策。3计算机取证技术的发展方向尽管计算机取证技术在当前应用较为广泛，但仍存在一些局限性，如取证软件的局限性、反取证技术的局限性。其中反取证技术的局限性则表现以下三方面：其一，数据的擦除主要是采用Klismaf