一種基于痕跡分析的自動取證系統(tǒng)的設(shè)計與實現(xiàn).pdf

1、當前，隨著計算機智能設(shè)備的普及，計算機取證技術(shù)也開始發(fā)展，但以encase、xways、FTK為代表的計算機取證軟件都是針對文件系統(tǒng)的內(nèi)容進行分析的軟件，取證分析的結(jié)果基本上依靠調(diào)查取證人員的專業(yè)知識和取證經(jīng)驗，不同的調(diào)查取證人員產(chǎn)生的調(diào)查取證結(jié)果差異很大。由于計算機軟件與使用者交互產(chǎn)生的痕跡定位在相同的操作系統(tǒng)上具有一致性。本文通過對Windows系統(tǒng)和Mac OS系統(tǒng)的使用痕跡廣泛而深入的分析，盡可能多的完成分析項目，讓取證軟件的自

2、動化處理結(jié)果符合大多數(shù)取證人員的要求，使得計算機取證的結(jié)果大體上產(chǎn)生一致性，將調(diào)查取證人員自身專業(yè)經(jīng)驗的影響降到最低。
　　首先，論文研究了各種產(chǎn)生Windows系統(tǒng)使用痕跡的提取技術(shù)。注冊表包含著豐富的使用痕跡，是研究的重點之一。還研究了使用痕跡的另一重要組成部分網(wǎng)絡瀏覽器的歷史記錄。最后，介紹了Windows事件日志、打印信息、Windows應用程序使用痕跡等。其次，研究了各種產(chǎn)生Mac OS系統(tǒng)使用痕跡的提取技術(shù)所涉及到的用

3、戶重要數(shù)據(jù)存儲位置分析、瀏覽器歷史記錄、鑰匙圈分析、事件日志等相關(guān)核心技術(shù)，分析了在鑰匙圈、PropertyList屬性列表文件和SQLite數(shù)據(jù)庫的相關(guān)痕跡信息的結(jié)構(gòu)和字段定義，然后重點分析了網(wǎng)絡瀏覽器等歷史記錄存儲位置和數(shù)據(jù)庫的表結(jié)構(gòu)。最后，論文介紹了系統(tǒng)的基本目標、主要功能模塊及系統(tǒng)開發(fā)環(huán)境;其次重點分析了系統(tǒng)架構(gòu)、業(yè)務模型、靜態(tài)結(jié)構(gòu)、流程及部分痕跡分析模塊間的相互關(guān)系，依次分析設(shè)計了系統(tǒng)的核心模塊即自動取證模塊;還采用對比分析的