云环境下电子取证研究

随着云计算业务的持续增长,与云计算相关的或者直接以云为目标的网络犯罪也不断增加。目前,云取证无论是技术层面还是法律层面,取得的进步还很小。对采取传统电子取证方法的取证人员来说,这些新兴的网络犯罪是一项重大挑战。文章首先分析了云取证的困难和挑战,然后指出了云取证的首要取证对象,最后提出了一套新的云取证方法、流程和技术。文章的研究成果能给电子取证人员调查涉云网络犯罪时提供借鉴参考。     

UNIX系统取证分析方法①

UNIX作为目前最常用的主流操作系统之一,研究UNIX系统的取证分析方法具有非常重要的现实意义。本文首先介绍从UNIX系统中获取易失性数据的方法,然后介绍获取被入侵UNIX机器上的硬盘数据,建立取证映像（forensic image）,然后进行取证分析的具体步骤和方法。     

一种改进的计算机取证领域的分流过程模型

随着计算机的广泛应用,计算机犯罪越来越多,由此产生了一门新的学科——计算机取证学。文章在计算机取证领域的分流过程模型CFFTPM（Computer Forensics Field Triage Process Model）的基础上,提出了一种改进的计算机取证领域的分流过程模型ICFFTPM（an Improved CFFTPM）。与CFFTPM模型相比,该模型更完整、更具体,并且可以方便地运用于实际的数字取证调查中,适用于多种计算机犯罪案件的侦破。     

支持审计与取证联动的日志系统设计

目前国内外缺乏综合数据提炼能力的日志搜索和分析系统,也还没有专门同时为安全审计与计算机取证目的设计的日志保护和分析工具,针对这一现状,分析并提出了一种日志综合分析平台,以支持网络审计与计算机取证.描述了这种安全日志文件系统的构建,采集、管理和保护,可以做到审计与取证的联动分析,形成了一个高可信审计与取证能力的基本通用模型.最后给出了系统实现的界面和系统的性能分析.     

基于卷积神经网络的随机因子重采样图像检测

图像重采样检测是图像取证领域的重要任务,其目的是检测图像是否经过重采样操作。现有的基于深度学习的重采样检测方法大多只针对特定的重采样因子进行研究,而较少考虑重采样因子完全随机的情况。本文根据重采样操作中所涉及的插值技术原理设计了一组高效互补的图像预处理结构以避免图像内容的干扰,并通过可变形卷积层和高效通道注意力机制(efficient channel attention, ECA)分别提取和筛选重采样特征,从而有效提高了卷积神经网络整合提取不同重采样因子的重采样特征的能力。实验结果表明,无论对于未压缩的重采样图像还是JPEG压缩后处理的重采样图像,本文方法都可以有效检测,且预测准确率相比现有方法均有较大提升。     

双重JPEG压缩图像篡改区域检测与定位

对JPEG(joint photographic experts group)图像实施篡改往往会产生双重JPEG(double JPEG,DJPE) 压缩痕迹,分析该痕迹有助于揭示图像压缩历史并实现篡改区域定位。现有算法在图像尺寸较小和质量因子(quality factor,QF) 较低的时候性能不佳,对两个QF的组合情况存在限制。本文提出了一种端到端的混合QF双重JPEG压缩图像取证网络,命名为DJPEGNet。首先,使用预处理层从图像头文件中提取表征压缩历史信息的量化表 (quantization table,Qtable) 特征,将图像从空域转换至DCT(discrete cosine transform)域构造统计直方图特征。然后,将两个特征输入到由深度可分离卷积和残差结构堆叠而成的主体结构,输出二分类结果。最后,使用滑动窗口算法自动定位篡改区域并绘制概率分布图。实验结果表明,在使用不同Qtable集生成的小尺寸数据集上,DJPEGNet所有指标均优于现有最先进的算法,其中ACC提高了1.78%,TPR提升了2.00%,TNR提升了1.60%。     

Recent Advances in Passive Digital Image Security Forensics: A Brief Review

With the development of sophisticated image editing and manipulation tools, the originality and authenticity of a digital image is usually hard to determine visually. In order to detect digital image forgeries, various kinds of digital image forensics techniques have been proposed in the last decade. Compared with active forensics approaches that require embedding additional information, passive forensics approaches are more popular due to their wider application scenario, and have attracted increasing academic and industrial research interests. Generally speaking, passive digital image forensics detects image forgeries based on the fact that there are certain intrinsic patterns in the original image left during image acquisition or storage, or specific patterns in image forgeries left during the image storage or editing. By analyzing the above patterns, the originality of an image can be authenticated. In this paper, a brief review on passive digital image forensic methods is presented in order to provide a comprehensive introduction on recent advances in this rapidly developing research area. These forensics approaches are divided into three categories based on the various kinds of traces they can be used to track—that is, traces left in image acquisition, traces left in image storage, and traces left in image editing. For each category, the forensics scenario, the underlying rationale, and state-of-the-art methodologies are elaborated. Moreover, the major limitations of the current image forensics approaches are discussed in order to point out some possible research directions or focuses in these areas.     

计算机取证中系统分析技术研究

在打击涉计算机犯罪案件过程中,经常需要对计算机系统进行分析,本文探讨系统分析的静态分析技术、动态分析技术和网络监控技术,并结合介绍有关的分析工具。     

云计算环境下取证技术研究

云计算的快速发展,不仅带来了巨大的经济收益,同时还伴随着大量的犯罪活动。这对电子取证专业人员带了巨大的挑战。文章针对云取证遇到的问题和取证技术进行研究,首先分析了云计算环境下的安全风险、取证面临的问题和电子数据的来源,然后给出云取证流程,最后从法律和技术两个方面探讨了云取证。     

Windows删除文件的取证分析

随着计算机犯罪案件成指数增长,基于Windows的取证分析技术日益普遍,而犯罪嫌疑人掩盖证据最通常的做法就是将有用证据删除,因此,对这些删除文件进行取证分析显得更为重要.删除文件中很可能包含和案件相关的重要证据,如用户数据文件、声音文件等,文章结合数据恢复技术和Windows删除机制特点,提出了一种对Windows删除文件的取证分析方法,能够获取更多的用户信息,为重构案情,了解用户行为提供了更有效的依据.