UNIX系统取证分析方法①

UNIX作为目前最常用的主流操作系统之一,研究UNIX系统的取证分析方法具有非常重要的现实意义。本文首先介绍从UNIX系统中获取易失性数据的方法,然后介绍获取被入侵UNIX机器上的硬盘数据,建立取证映像（forensic image）,然后进行取证分析的具体步骤和方法。     

基于NTFS文件系统的数字证据收集技术

分析了NTFS文件系统的物理结构和逻辑框架,提出了计算机取证软件的开发需要先解决元数据的读取和碎片文件的恢复等问题,并编程实现了信息收集模块,为计算机取证软件的设计提供了一种方案。     

一种改进的计算机取证领域的分流过程模型

随着计算机的广泛应用,计算机犯罪越来越多,由此产生了一门新的学科——计算机取证学。文章在计算机取证领域的分流过程模型CFFTPM（Computer Forensics Field Triage Process Model）的基础上,提出了一种改进的计算机取证领域的分流过程模型ICFFTPM（an Improved CFFTPM）。与CFFTPM模型相比,该模型更完整、更具体,并且可以方便地运用于实际的数字取证调查中,适用于多种计算机犯罪案件的侦破。     

面向真实性鉴别的数字图像盲取证技术综述

数字图像盲取证技术作为一种不依赖任何预签名提取或预嵌入信息来鉴别图像真伪和来源的技术, 正逐步成为多媒体安全领域新的研究热点, 且有着广泛的应用前景. 首先简要描述了图像盲取证技术要解决的问题和任务. 根据图像鉴别使用的取证特征, 将用于真实性鉴别的图像盲取证技术划分为三类: 基于图像伪造过程遗留痕迹的盲取证技术、基于成像设备一致性的盲取证技术和基于自然图像统计特性的盲取证技术, 然后分别阐述了这三类取证技术的基本特征和典型方法, 对不同算法进行了性能比较和总结. 最后综合近年来国内外学者在面向真实性鉴别的图像盲取证技术方面的主要研究成果, 探讨了图像盲取证技术存在的问题及未来研究方向.     

分布式陷阱网络系统的关键技术研究与实现

针对现有网络安全工具在入侵检测以及防护等方面的不足,提出了一个基于代理的分布式Honeynet模型DHMBA,并对其进行了形式化描述和分析.以此为基础设计和实现了基于DHMBA的分布式网络陷阱系统DHSBD.该系统通过分布在各子网中模拟网络的代理,将攻击重定向到伪装服务中,集中分析和监控攻击行为,扩大了系统的检测视野,降低了蜜罐引入的安全风险和部署维护的代价,减小了产品网络被攻击的概率,能有效地提高大规模网络的整体安全性.     

支持审计与取证联动的日志系统设计

目前国内外缺乏综合数据提炼能力的日志搜索和分析系统,也还没有专门同时为安全审计与计算机取证目的设计的日志保护和分析工具,针对这一现状,分析并提出了一种日志综合分析平台,以支持网络审计与计算机取证.描述了这种安全日志文件系统的构建,采集、管理和保护,可以做到审计与取证的联动分析,形成了一个高可信审计与取证能力的基本通用模型.最后给出了系统实现的界面和系统的性能分析.     

网络取证技术研究

介绍了网络取证的概念、网络证据的特点、与传统静态取证的比较及研究现状,详细分析了数据捕获、数据分析技术、专家系统和数据挖掘技术等在网络取证中的应用,并分析了目前网络取证存在的问题和发展趋势.     

基于卷积神经网络的随机因子重采样图像检测

图像重采样检测是图像取证领域的重要任务,其目的是检测图像是否经过重采样操作。现有的基于深度学习的重采样检测方法大多只针对特定的重采样因子进行研究,而较少考虑重采样因子完全随机的情况。本文根据重采样操作中所涉及的插值技术原理设计了一组高效互补的图像预处理结构以避免图像内容的干扰,并通过可变形卷积层和高效通道注意力机制(efficient channel attention, ECA)分别提取和筛选重采样特征,从而有效提高了卷积神经网络整合提取不同重采样因子的重采样特征的能力。实验结果表明,无论对于未压缩的重采样图像还是JPEG压缩后处理的重采样图像,本文方法都可以有效检测,且预测准确率相比现有方法均有较大提升。     

双重JPEG压缩图像篡改区域检测与定位

对JPEG(joint photographic experts group)图像实施篡改往往会产生双重JPEG(double JPEG,DJPE) 压缩痕迹,分析该痕迹有助于揭示图像压缩历史并实现篡改区域定位。现有算法在图像尺寸较小和质量因子(quality factor,QF) 较低的时候性能不佳,对两个QF的组合情况存在限制。本文提出了一种端到端的混合QF双重JPEG压缩图像取证网络,命名为DJPEGNet。首先,使用预处理层从图像头文件中提取表征压缩历史信息的量化表 (quantization table,Qtable) 特征,将图像从空域转换至DCT(discrete cosine transform)域构造统计直方图特征。然后,将两个特征输入到由深度可分离卷积和残差结构堆叠而成的主体结构,输出二分类结果。最后,使用滑动窗口算法自动定位篡改区域并绘制概率分布图。实验结果表明,在使用不同Qtable集生成的小尺寸数据集上,DJPEGNet所有指标均优于现有最先进的算法,其中ACC提高了1.78%,TPR提升了2.00%,TNR提升了1.60%。     

Recent Advances in Passive Digital Image Security Forensics: A Brief Review

With the development of sophisticated image editing and manipulation tools, the originality and authenticity of a digital image is usually hard to determine visually. In order to detect digital image forgeries, various kinds of digital image forensics techniques have been proposed in the last decade. Compared with active forensics approaches that require embedding additional information, passive forensics approaches are more popular due to their wider application scenario, and have attracted increasing academic and industrial research interests. Generally speaking, passive digital image forensics detects image forgeries based on the fact that there are certain intrinsic patterns in the original image left during image acquisition or storage, or specific patterns in image forgeries left during the image storage or editing. By analyzing the above patterns, the originality of an image can be authenticated. In this paper, a brief review on passive digital image forensic methods is presented in order to provide a comprehensive introduction on recent advances in this rapidly developing research area. These forensics approaches are divided into three categories based on the various kinds of traces they can be used to track—that is, traces left in image acquisition, traces left in image storage, and traces left in image editing. For each category, the forensics scenario, the underlying rationale, and state-of-the-art methodologies are elaborated. Moreover, the major limitations of the current image forensics approaches are discussed in order to point out some possible research directions or focuses in these areas.