Windows注冊(cè)表取證分析技術(shù)研究.pdf

1、隨著計(jì)算機(jī)的發(fā)展和網(wǎng)絡(luò)的普及，計(jì)算機(jī)犯罪呈現(xiàn)日趨嚴(yán)重的趨勢(shì)，給國(guó)民經(jīng)濟(jì)帶來(lái)了嚴(yán)重的破壞。打擊和防范計(jì)算機(jī)犯罪已成為一個(gè)重大的難題。計(jì)算機(jī)取證技術(shù)正是在這種形勢(shì)下產(chǎn)生和迅速發(fā)展的。計(jì)算機(jī)取證是一門結(jié)合計(jì)算機(jī)領(lǐng)域和法學(xué)領(lǐng)域的交叉學(xué)科，它主要研究如何將犯罪者留在計(jì)算機(jī)及其相關(guān)的設(shè)備中的電子證據(jù)作為有效的訴訟證據(jù)提供給法庭的技術(shù)。
　　 Windows系統(tǒng)是國(guó)內(nèi)外使用最廣泛的操作系統(tǒng)之一，同時(shí)Windows系統(tǒng)的安全性也經(jīng)受著各個(gè)方面的

2、考驗(yàn)。注冊(cè)表是Windows操作系統(tǒng)、各種硬件設(shè)備以及應(yīng)用程序得以正常運(yùn)行的核心“數(shù)據(jù)庫(kù)”，注冊(cè)表還記錄著犯罪者進(jìn)行犯罪的大量證據(jù)，成為打擊計(jì)算機(jī)犯罪非常重要的線索和證據(jù)來(lái)源。Windows注冊(cè)表取證分析技術(shù)面臨的關(guān)鍵問(wèn)題是如何把注冊(cè)表Hive文件從磁盤鏡像中恢復(fù)出來(lái)，以及如何存儲(chǔ)和分析大量的注冊(cè)表數(shù)據(jù)。
　　 本論文結(jié)合國(guó)內(nèi)外計(jì)算機(jī)取證的基本模型，提出了針對(duì)Windows注冊(cè)表的取證分析過(guò)程模型。Windows注冊(cè)表取證分析過(guò)

3、程分為三個(gè)階段：證據(jù)收集、證據(jù)分析和證據(jù)表示。本文還著重對(duì)取證過(guò)程中涉及的關(guān)鍵技術(shù)進(jìn)行闡述。
　　 本文的主要貢獻(xiàn)在于：
　　 (1)提出了一種Windows注冊(cè)表取證分析的過(guò)程模型。該模型幫助取證人員有條理的進(jìn)行注冊(cè)表的獲取和分析，并在很大程度上減少人工操作。
　　 (2)對(duì)Hive文件進(jìn)行恢復(fù)。由于Hive文件在磁盤中存在著分片，而傳統(tǒng)的恢復(fù)軟件很難對(duì)分片文件進(jìn)行有效的恢復(fù)。本文對(duì)Hive文件的內(nèi)部結(jié)構(gòu)進(jìn)

4、行分析，具體探討Hive文件在磁盤中的各種分片情況，并利用內(nèi)部結(jié)構(gòu)和N-Gram算法來(lái)幫助取證人員恢復(fù)這些文件，具有較高的實(shí)用性和準(zhǔn)確性。
　　 (3)利用注冊(cè)表數(shù)據(jù)之間的相關(guān)性特征對(duì)其進(jìn)行壓縮存儲(chǔ)。由于注冊(cè)表數(shù)據(jù)冗余性，有必要對(duì)這些數(shù)據(jù)進(jìn)行壓縮。壓縮后的數(shù)據(jù)的查詢的效率不會(huì)受到影響。
　　 (4)建立注冊(cè)表數(shù)據(jù)庫(kù)，進(jìn)行關(guān)鍵字查詢和關(guān)聯(lián)分析，提高證據(jù)分析的效率?；赪indows注冊(cè)表取證分析技術(shù)研究，不僅能夠?yàn)樽?cè)