基于虛擬化技術(shù)的在線取證系統(tǒng).pdf

1、隨著計算機(jī)科學(xué)與技術(shù)的飛速發(fā)展,無形之中也滋生了驚人規(guī)模的計算機(jī)犯罪活動,這些計算機(jī)犯罪活動每年都會給全世界帶來巨大的經(jīng)濟(jì)損失。電子證據(jù)的獲取是偵破計算機(jī)犯罪活動的關(guān)鍵,所以近年來計算機(jī)取證領(lǐng)域已經(jīng)成為科研工作者們重點(diǎn)關(guān)注的熱門領(lǐng)域。如何安全而有效地進(jìn)行計算機(jī)取證工作,是目前該領(lǐng)域亟需解決的問題之一。
　　計算機(jī)取證的方式主要分為靜態(tài)取證和在線取證兩種方式。其中靜態(tài)取證側(cè)重于存儲在持久化硬件設(shè)備中的電子證據(jù),獲取電子證據(jù)之前需要停

2、止被取證計算機(jī)系統(tǒng)的運(yùn)行。而在線取證則突破了靜態(tài)取證的這一限制,并且把電子證據(jù)的采集范圍擴(kuò)大到了系統(tǒng)動態(tài)信息。但是在線取證依然面臨著取證工具自身的安全性受到威脅和某些情況下需要中斷被取證計算機(jī)系統(tǒng)運(yùn)行的問題。
　　本論文提出了基于硬件輔助虛擬化技術(shù)的VAIL在線取證系統(tǒng),主要創(chuàng)新點(diǎn)有:1)提出了一種靜默安裝虛擬機(jī)監(jiān)視器的方法,取證系統(tǒng)載入過程中并不會影響到被取證計算機(jī)系統(tǒng)的正常運(yùn)行。2)使用半穿透驅(qū)動技術(shù)讓整個虛擬機(jī)監(jiān)視器的體積盡

3、可能地小,降低了虛擬機(jī)監(jiān)視器本身出現(xiàn)安全漏洞的概率。3)取證內(nèi)容覆蓋了整個計算機(jī)系統(tǒng)的各項活動,包括CPU取證、內(nèi)存取證和I/O取證。
　　其中CPU取證是利用Intel VT-x技術(shù)在發(fā)生虛擬機(jī)退出事件時把處理器相關(guān)寄存器的值都保存在VMCS結(jié)構(gòu)體中,內(nèi)存取證則是通過EPT頁異常處理函數(shù)實(shí)現(xiàn),I/O取證又細(xì)分為編程式端口訪問、內(nèi)存映射和直接內(nèi)存訪問三種方式分別取證。
　　最后本文通過一系列的實(shí)驗證明,VAIL系統(tǒng)確實(shí)能夠安