基于Windows物理内存取证系统设计与实现

随着信息安全技术的快速发展,数字取证调查技术已经成为重要技术之一。由于物理内存中包含计算机操作的大量信息,针对物理内存的实时取证分析已成为当前数字犯罪调查领域中的热点研究问题之一。文章通过研究物理内存获取技术,内存进程管理模式,信息关键词搜索技术等相关技术背景,实现对Windows物理内存的镜像获取,内存中的隐藏进程和异常进程的检测,内存中敏感信息的检测分析三方面功能。通过对用户主机进行调查检测,掌握用户大量的操作行为和有用信息,为计算机犯罪取证调查和信息安全检查提供了一种很好的方法手段。     

内存取证研究与进展

网络攻击内存化和网络犯罪隐遁化,使部分关键数字证据只存在于物理内存或暂存于页面交换文件中,这使得传统的基于文件系统的计算机取证不能有效应对.内存取证作为传统文件系统取证的重要补充,是计算机取证科学的重要组成部分,通过全面获取内存数据、详尽分析内存数据,并在此基础上提取与网络攻击或网络犯罪相关的数字证据,近年来,内存取证已赢得安全社区的持续关注,获得了长足的发展与广泛应用,在网络应急响应和网络犯罪调查中发挥着不可替代的作用.首先回顾了内存取证研究的起源和发展演化过程;其次介绍了操作系统内存管理关键机制;然后探讨了内存取证的数据获取和分析方法,归纳总结目前内存取证研究的最新技术;最后讨论了内存取证存在的问题、发展趋势和进一步的研究方向.     

基于KPCR结构的Windows物理内存分析方法

介绍了计算机在线取证方式的优势,总结了目前国外在计算机物理内存分析的研究现状及其存在的不足,在此基础上提出了一种新的Windows物理内存分析方法——基于KPCR结构的物理内存分析方法。与传统的物理内存方法相比,这种方法更为可靠,适用范围更广,具有很高的实用价值。     

面向Windows操作系统的内存取证技术研究

传统的计算机取证方法收集被攻击的计算机磁盘等能持久化保存数据的介质。但是随着磁盘存储能力的提升以及数据加密等技术的发展,使用原来针对硬盘的取证方法获取数据进行分析变得越来越困难。对计算机的取证开始采用其他数据源,包括计算机内存中易失性的信息。对Windows操作系统的主要内存获取、分析方法以及内存取证过程进行介绍,采用分析和对比的手段对每种方法的特点、优势和不足进行比较,得出比较结果并给出计算机犯罪内存取证领域未来需要研究的方向。     

浅谈计算机静态取证与计算机动态取证

通过分析计算机取证状态之间的差异,本文指出了电子证据在这两种状态的差异,给出了取证中的一般原则,并提出了一种融合两种取证状态的通用取证流程.最后探讨和研究了在两种状态下的取证和反取证技术.     

浅谈计算机静态取证与计算机动态取证

着重分析了计算机取证状态之间的差异,指出了电子证据在这两种状态中的差异。给出了取证的一般原则,并提出了一种融合两种取证状态的通用取证流程。最后探讨和研究了在两种状态下的取证和反取证技术。     

计算机取证关键技术研究

计算机取证是计算机安全领域的一个研究热点。根据计算机取证的过程给出了取证的框架模型,并从计算机证据的收集、分析、提取以及安全性等几个关键方面进行讨论。通过该取证框架模型的指导,最终能将证据和证据分析结果提交法庭备案。     

Windows 8下基于镜像文件的内存取证研究

内存取证是计算机取证的一个重要分支,而获取内存镜像文件中进程和线程信息是内存取证技术的重点和难点。基于微软最新操作系统平台Windows 8,研究其进程和线程的获取方法。运用逆向工程分析技术对Windows 8下进程和线程相关内核数据结构进行分析,提取出相应特征;基于这些特征,提出了一种能够从物理内存镜像文件中得到系统当前进程和线程信息的算法。实验结果和分析表明,该算法能够成功提取隐藏进程和非隐藏进程,及其各进程相关的线程信息,为内存取证分析提供了可靠的数据基础。     

计算机取证概述

本文简要介绍了计算机取证的定义、发展背景、证据特点、取证特点、取证原则、步骤,并从静态和动态两个方面阐述了取证技术和取证工具。     

计算机取证与反取证的较量

计算机犯罪日益猖獗,围绕计算机取证与反取证的斗争一直在进行。本文分析了计算机取证与反取证技术的原理和特点,指出了计算机取证存在的问题和发展方向。     

基于布鲁姆过滤器的计算机动态取证技术研究

静态取证时效性不足,动态取证则可获得更为真实、实时的证据。动态取证最关键的是证据识别。证据识别本质上是对网络数据流进行分类,以判断其行为是合法还是非法。布鲁姆过滤器采用一个位串表示数据集合并有效支持元素的哈希查询,从而被广泛应用于包分类算法中。首先对标准布鲁姆过滤器算法进行分析,并对算法存在的缺陷进行改进。在此基础上,设计一个基于布鲁姆过滤器的分布式计算机动态取证系统,并采取安全有效措施对证据进行传送。实验表明:该系统能对网络攻击行为进行动态地检测,且检测准确率高、误判率低。     

判定树算法在计算机取证中的应用

随着网络犯罪的日益猖獗,计算机取证正逐步成为人们研究与关注的焦点.为了能从海量的可疑数据中发现证据,数据挖掘技术的参与必不可少.首先介绍了在计算机取证中比较常用的数据挖掘分类分析方法,然后介绍其在计算机取证原型系统中的实现和应用,最后给出了进一步研究的方向:多样证据的提取及其之间的关联.     

计算机动态取证的数据分析技术研究

本文针对计算机动态取证的数据分析阶段面临的问题,提出将数据挖掘技术应用于计算机动态取证的海量数据分析中,给出了基于数据挖掘的计算机动态取证系统模型,提高动态取证中数据分析的速度、分析的准确性和分析的智能性,解决动态取证中的实用性、有效性、可适应性和可扩展性问题。     

基于FAT32文件系统的一种计算机取证方法

为解决计算机取证中关于Word文档的数据恢复的问题,提出了一种基于Windows FAT32文件系统的一种计算机取证方法的数据恢复算法.算法通过分析FAT32文件系统的结构,介绍了FAT32文件系统在磁盘上的结构,分析了FAT32下文件系统的核心--主引导记录MBR(Main Boot Record)区、DOS引导记录DBR(Dos Boot Record)区、文件分配表FAT(File Allocation Table)区、文件目录表FDT(File Directory Table)区、用户数据区的几个关键属性.详细阐述了Word文档数据恢复的算法和具体实现.结果表明,该算法能重新组织和恢复被删除的Word文档数据,为计算机取证提供了一种解决途径.     

基于多Agent的分布式计算机动态取证模型研究

传统的计算机取证大多采用静态取证技术,通过事后分析的方法提取证据,证据的收集和提取比较困难,证据的法律效力低.将计算机取证技术与入侵检测技术结合,提出一种基于多Agent的分布式计算机动态取证模型,采用多Agent的分布式数据采集策略,扩展了取证范围;通过入侵检测系统实时监测,动态获取入侵证据,提高了证据的证明能力;同时,采用证据融合的数据分析技术,通过多源联合信息降低了误警率,增加了证据的可信度,提高了证据的有效性.     

面向取证应用的PC版微信的内存分析方法

微信是目前公众使用频率极高的一款即时通信软件,为公众带来极大的便利。但同时也给不法分子带来新的机会,许多违法犯罪行为在微信平台上发生。设计一种PC版微信的内存分析方法,借助第三方工具pmdump得到微信应用的内存文件并对其进行分析,描述该方法的思路和具体步骤。特别针对文本、表情等多种不同类型信息撤回时,对内存文件中的特征变化进行分析。该方法对于微信应用的内存取证分析、撤回信息分析的应用场景具有一定参考价值。     

基于模糊度和色调变化率的图像模糊取证

提出一种数字图像模糊篡改的检测方法。由于模糊操作是一种常用的图像润饰篡改手段,所以检测人工模糊对图像的真实性和原始性具有一定的必要性。首先利用图像的模糊度,估计出图像中可能经过模糊篡改的区域,再根据模糊操作会破坏图像邻域的色彩一致性且被破坏后的色彩一致性无法被"再次"破坏的性质对估计出的模糊区域进行高斯低通滤波处理,然后根据滤波前后色调值的变化个数进行精确的检测,最后定位出人工模糊篡改区域。实验表明,该方法可以检测出图像中的人工模糊篡改区域,并能准确地将其进行定位。