Windows日志取證與恢復(fù)技術(shù)研究.pdf

1、隨著信息技術(shù)的發(fā)展和廣泛應(yīng)用，計(jì)算機(jī)犯罪和入侵事件時(shí)常發(fā)生，計(jì)算機(jī)取證技術(shù)作為對抗計(jì)算機(jī)犯罪的關(guān)鍵技術(shù)應(yīng)運(yùn)而生，對電子證據(jù)的保護(hù)和恢復(fù)越來越受到人們的關(guān)注，文件雕復(fù)技術(shù)作為一種不依賴于文件系統(tǒng)元信息的數(shù)據(jù)恢復(fù)技術(shù)，有效地彌補(bǔ)了計(jì)算機(jī)取證中的不足，并成為計(jì)算機(jī)取證領(lǐng)域的研究熱點(diǎn)。
　　 本文首先介紹了計(jì)算機(jī)取證中關(guān)于日志取證的步驟和研究現(xiàn)狀，接著分析了日志取證中面臨的困難，指出在計(jì)算機(jī)取證過程中對文件恢復(fù)的要求日益增強(qiáng)，取證人員急

2、需有效的辦法解決在取證過程中遇到的文件被刪除、破壞等極端情況。然后全面介紹了現(xiàn)有的文件雕復(fù)技術(shù)，討論了各種雕復(fù)方法的原理性能和適用場合，并對計(jì)算機(jī)日志文件取證的最新研究成果進(jìn)行了闡述，分析了其局限性和不足。通過總結(jié)現(xiàn)有文件雕復(fù)技術(shù)的局限性及面臨的挑戰(zhàn)，提出了文件雕復(fù)技術(shù)今后的發(fā)展方向應(yīng)當(dāng)是結(jié)合多種文件雕復(fù)方法、充分利用文件特有的內(nèi)部結(jié)構(gòu)和內(nèi)容特征來雕復(fù)文件，重視處理分片文件和破損文件。
　　 日志文件用來描述操作系統(tǒng)、應(yīng)用程序和

3、用戶的行為、監(jiān)控用戶對系統(tǒng)的使用情況、記錄系統(tǒng)中的異常事件，同時(shí)也能反映入侵者的痕跡，因此它可以為調(diào)查取證提供很多關(guān)鍵的信息。但是，在計(jì)算機(jī)犯罪案件中，入侵者往往會故意銷毀與其入侵行為有關(guān)的系統(tǒng)痕跡如系統(tǒng)日志文件和注冊表信息等。因此在取證過程中，經(jīng)常需要從已被刪除或破壞的日志文件中恢復(fù)數(shù)據(jù)作為呈堂證據(jù)。本文在深入研究日志文件類型的內(nèi)部結(jié)構(gòu)和內(nèi)容特征的基礎(chǔ)上，運(yùn)用信息統(tǒng)計(jì)學(xué)、數(shù)據(jù)結(jié)構(gòu)、語義等相關(guān)領(lǐng)域的知識，將基于內(nèi)容特征的理論思想應(yīng)用于文

4、件雕復(fù)過程，以彌補(bǔ)現(xiàn)今文件恢復(fù)工具的不足，改善文件雕復(fù)的效果。文中以Windows NT系統(tǒng)下的日志文件(EVT文件)為研究對象，提出了一種基于內(nèi)容特征的EVT文件雕復(fù)方法，該雕復(fù)方法結(jié)合運(yùn)用了文件頭/文件尾/文件尾偏移驗(yàn)證、文件重疊驗(yàn)證、熵差驗(yàn)證、基于記錄ID號或時(shí)間戳的分片重組驗(yàn)證和語義驗(yàn)證等多種驗(yàn)證算法，它們分別用于確認(rèn)EVT文件是否分片、分片點(diǎn)檢測、匹配并重聚分片等?；趦?nèi)容特征的EVT文件雕復(fù)方法與其他雕復(fù)方法被應(yīng)用于三個(gè)具有

5、普遍意義的系統(tǒng)鏡像中，實(shí)驗(yàn)結(jié)果表明該雕復(fù)方法無需任何人工干預(yù)，能夠自動重聚EVT分片文件(包括無序分片)并加以準(zhǔn)確恢復(fù)，雕復(fù)效果優(yōu)于其他雕復(fù)方法。
　　 最后，在進(jìn)行EVT文件雕復(fù)方法的理論知識研究和實(shí)驗(yàn)效果測試的基礎(chǔ)上，本文進(jìn)一步深入研究了一種全新的日志文件格式—Windows Vista系統(tǒng)下的日志文件EVTX，通過深入剖析其結(jié)構(gòu)特征，提出了基于內(nèi)容特征的EVTX文件雕復(fù)方法。該方法采用Evtx文件的文件頭、文件塊數(shù)目驗(yàn)證來