網(wǎng)絡(luò)取證技術(shù)研究.pdf

1、作為計(jì)算機(jī)取證重要分支的網(wǎng)絡(luò)取證技術(shù)，無(wú)論是國(guó)外還是國(guó)內(nèi)，目前都正處于起步階段，主要是集中于一些取證系統(tǒng)框架結(jié)構(gòu)的研究，或一些局部問(wèn)題的研究，還沒(méi)有形成系統(tǒng)的理論、方法與體系。本文將入侵檢測(cè)、入侵容忍與網(wǎng)絡(luò)取證技術(shù)相結(jié)合，系統(tǒng)完整地研究了網(wǎng)絡(luò)取證系統(tǒng)框架結(jié)構(gòu)設(shè)計(jì)、反取證技術(shù)、取證數(shù)據(jù)特征選擇與關(guān)聯(lián)分析、協(xié)同取證以及取證數(shù)據(jù)擦除等關(guān)鍵技術(shù)問(wèn)題，提出了問(wèn)題的解決方法。本文的創(chuàng)造性研究成果主要有： 1. 提出了計(jì)算機(jī)取證的分類(lèi)方法，系

2、統(tǒng)探討了網(wǎng)絡(luò)取證的過(guò)程、分析技術(shù)、系統(tǒng)實(shí)現(xiàn)技術(shù)和未來(lái)的發(fā)展趨勢(shì)，提出并分析了基于入侵容忍、網(wǎng)絡(luò)監(jiān)控等技術(shù)的取證系統(tǒng)設(shè)計(jì)思想。 2. 系統(tǒng)研究了反取證技術(shù)，首次明確提出了反取證技術(shù)的定義、方法與研究領(lǐng)域，全面歸納比較了反取證所采用的數(shù)據(jù)擦除、數(shù)據(jù)加密、數(shù)據(jù)隱藏、數(shù)據(jù)混淆和數(shù)據(jù)轉(zhuǎn)換等主要技術(shù)，研究指出，反取證技術(shù)也應(yīng)是取證技術(shù)的重要研究方向。 3. 全面比較分析了入侵檢測(cè)系統(tǒng)與網(wǎng)絡(luò)取證系統(tǒng)相結(jié)合的可行性。針對(duì)現(xiàn)有的網(wǎng)絡(luò)取證系

3、統(tǒng)假設(shè)當(dāng)發(fā)生入侵行為時(shí)系統(tǒng)仍然處于可靠的工作狀態(tài)，未考慮系統(tǒng)狀態(tài)變化對(duì)取證的影響這一重要缺陷，首次提出了將系統(tǒng)狀態(tài)作為證據(jù)的重要思想。結(jié)合入侵檢測(cè)技術(shù)和入侵容忍系統(tǒng)SITAR，設(shè)計(jì)了一個(gè)具有入侵容忍能力的網(wǎng)絡(luò)取證系統(tǒng)INFS，并分析了該系統(tǒng)的入侵容忍機(jī)制、基于SMP的取證控制機(jī)制和安全傳輸機(jī)制，以及取證agent、攻擊回溯agent的工作機(jī)理，討論了對(duì)應(yīng)于不同系統(tǒng)狀態(tài)的取證分析方法。INFS具有正常狀態(tài)、易受攻擊狀態(tài)、攻擊狀態(tài)、功能退化

4、降級(jí)狀態(tài)和失效保護(hù)狀態(tài)五種狀態(tài)，既可實(shí)現(xiàn)根據(jù)反映系統(tǒng)被侵害程度的不同狀態(tài)進(jìn)行取證控制的安全取證，大大減少證據(jù)的存儲(chǔ)量，而且取證時(shí)所處的不同狀態(tài)也可作為系統(tǒng)遭受破壞程度的重要依據(jù)。 4. 研究了如何在海量數(shù)據(jù)中發(fā)現(xiàn)電子證據(jù)的技術(shù)，從多元統(tǒng)計(jì)學(xué)的角度，提出了基于ANN-PCA的取證數(shù)據(jù)特征選擇方法。對(duì)數(shù)據(jù)挖掘的核心技術(shù)關(guān)聯(lián)規(guī)則挖掘進(jìn)行了定性的分類(lèi)分析，提出了外關(guān)聯(lián)規(guī)則挖掘的概念，并將關(guān)聯(lián)規(guī)則挖掘區(qū)分為正關(guān)聯(lián)規(guī)則、負(fù)關(guān)聯(lián)規(guī)則和外關(guān)聯(lián)規(guī)

5、則三大類(lèi)，提出了一種基于ANN-PCA的外關(guān)聯(lián)規(guī)則挖掘算法IFAAR，該算法無(wú)須生成頻繁項(xiàng)集，能夠有效地進(jìn)行海量證據(jù)的關(guān)聯(lián)分析，同時(shí)，這也是對(duì)關(guān)聯(lián)規(guī)則挖掘技術(shù)應(yīng)用的擴(kuò)展和豐富。 5. 提出了從目標(biāo)系統(tǒng)所有可利用資源中發(fā)現(xiàn)、關(guān)聯(lián)、解釋、分析信息，以確定證據(jù)因果關(guān)系、再現(xiàn)網(wǎng)絡(luò)犯罪場(chǎng)景和形成證據(jù)鏈，從而支持法庭舉證的協(xié)同取證概念。并在深入分析入侵檢測(cè)最新發(fā)展的報(bào)警關(guān)聯(lián)技術(shù)的基礎(chǔ)上，將報(bào)警關(guān)聯(lián)技術(shù)、貝葉斯網(wǎng)絡(luò)學(xué)習(xí)方法、概率函數(shù)依賴(lài)?yán)碚撓?/p>