数字取证是一个交叉前沿技术，涉及计算机科学、法学、刑侦学以及网络空间安全等学科的技术。本书首先讲述数字取证过程模型；接着从数字证据提取和分析着手，介绍磁盘、网络和内存等不同存储介质的取证原理、关键技术，以及相应的系统，针对智能手机取证的热点问题，探讨即时通信取证技术；最后分析云计算取证模型和技术。本书在学术理论上具有交叉性、前沿性、创新性和可读性，在实践应用中注重可操作性和实用性。
样章试读
目录
- 目录
第1章 数字取证技术概述 1
1.1 研究背景 1
1.2 数字取证概念及其内涵演化 2
1.3 数字证据及其特点 3
1.3.1 磁盘数据证据 4
1.3.2 网络数据证据 6
1.3.3 内存数字证据 7
1.3.4 数字证据特点 7
1.4 数字取证技术研究现状 8
1.4.1 取证模型 8
1.4.2 证据获取技术 9
1.4.3 证据分析技术 9
1.4.4 取证技术标准、规范 10
1.4.5 国内数字取证调查技术现状 10
1.5 发展动态 11
1.6 本书主要内容及结构 12
1.7 小结 13
第2章 数字取证模型 14
2.1 相关工作 15
2.1.1 数字犯罪现场调查过程模型 15
2.1.2 综合数字调查过程模型 16
2.1.3 基于目标的层次框架 17
2.1.4 端到端数字调查过程模型 17
2.2 文档碎片数据特性 18
2.2.1 类型特性 18
2.2.2 内容特性 18
2.2.3 逻辑特性 19
2.3 取证分析模型 19
2.4 模型优缺点 23
2.5 同现有模型比较 24
2.6 模型应用——案例1 25
2.7 模型应用——案例2 27
2.8 小结 29
第3章 磁盘取证技术 30
3.1 磁盘取证技术综述 30
3.1.1 磁盘取证技术研究背景 30
3.1.2 磁盘取证相关概念 31
3.1.3 磁盘映像及证据存储技术 32
3.1.4 磁盘元数据的取证分析技术 37
3.1.5 磁盘文件数据识别与雕刻技术 38
3.2 基于磁盘映像的新型数字证据存储容器 41
3.2.1 基于GPU的并行磁盘数据映像获取方法 42
3.2.2 基于模型的数字证据快速转换算法 47
3.2.3 新型数字证据容器 51
3.3 基于磁盘元数据的信息盗取行为取证分析方法 57
3.3.1 术语定义 57
3.3.2 基于k-low的数据盗取抽样检测算法 58
3.3.3 基于差分矩阵的数据盗取行为取证分析算法 64
3.3.4 基于Windows回收站的异常文件发现 72
3.4 隐藏证据识别与数据雕刻方法 76
3.4.1 隐藏文件类型检测方案 77
3.4.2 基于2DDPCA的隐藏文件类型识别算法 78
3.4.3 基于文件特征可视化的SQL mdf文件雕刻算法 83
3.4.4 基于SQLite的位置信息雕刻算法 88
3.4.5 基于集合论的E-mail 碎片雕刻模型及算法 94
3.4.6 基于磁盘碎片熵值特征的文件雕刻算法 101
3.5 交换分区取证算法 107
3.5.1 算法系统功能 107
3.5.2 算法系统结构 108
3.5.3 软件界面设计 111
3.6 文件雕刻恢复和交换分区取证系统 111
3.6.1 文件雕刻平台 111
3.6.2 基于交换分区主机行为取证检测系统 113
3.7 小结 114
第4章 网络证据获取技术 116
4.1 网络监视目标与类型 116
4.1.1 网络监视目标 116
4.1.2 网络监视类型 116
4.2 设置网络监视系统 118
4.3 部署和评估网络监视器 120
4.4 网络元数据获取 121
4.5 监控和维护全内容数据 123
4.5.1 用tcpdump进行全内容监控 123
4.5.2 维护全内容数据文件 124
4.5.3 基于Wireshark的网络流数据获取 124
4.5.4 收集基于网络的日志文件 125
4.6 小结 126
第5章 网络证据分析技术 127
5.1 用tcpdump捕获网络数据流 127
5.2 基于tcptrace的网络会话数据分析 129
5.2.1 解析捕获文件 129
5.2.2 解释tcptrace输出 130
5.3 基于Snort的安全事件分析 131
5.3.1 检查SYN报文 131
5.3.2 解释Snort输出 134
5.4 基于tcpflow的网络会话内容重建 135
5.4.1 聚焦FTP会话分析 135
5.4.2 解释tcpflow输出 135
5.4.3 审查SSH会话 138
5.4.4 改进tcpdump过滤器 140
5.5 基于Wireshark会话重组 141
5.6 小结 143
第6章 物理内存取证技术 144
6.1 研究意义和现状 144
6.2 物理内存取证方法与系统结构 146
6.2.1 物理内存取证方法 146
6.2.2 系统实现方案 147
6.3 Windows系统物理内存映像技术 148
6.3.1 设计思路 148
6.3.2 基于内核驱动的物理内存映像算法流程 150
6.3.3 关键技术 154
6.3.4 实现特色 155
6.4 物理内存进程识别与分析机制 156
6.4.1 设计思路 156
6.4.2 操作系统元数据识别机制 156
6.4.3 进程分析基础 158
6.4.4 进程识别与分析实现流程 161
6.4.5 关键技术 165
6.4.6 实现特色 166
6.5 文档信息恢复技术 166
6.5.1 设计思路 166
6.5.2 进程实时文档信息恢复技术 167
6.5.3 剪贴板数据恢复技术 173
6.5.4 关键技术 178
6.5.5 实现特色 178
6.6 网络攻击行为重建技术 179
6.6.1 设计思路 179
6.6.2 网络行为重建 180
6.6.3 基于命令行的网络行为重建 181
6.6.4 关键技术 183
6.6.5 实现特色 184
6.7 即时信息搜索机制 184
6.7.1 实现原理 184
6.7.2 实现方案 185
6.8 物理内存取证分析系统 186
6.9 宙斯病毒入侵取证分析案例 189
6.9.1 物理内存获取案例 189
6.9.2 宙斯病毒入侵取证分析 190
6.10 小结 198
第7章 即时通信取证技术 199
7.1 即时通信取证技术的研究现状 200
7.1.1 即时通信取证的概念、犯罪类型及研究概况 201
7.1.2 数字取证模型相关研究 204
7.1.3 会话主题挖掘算法相关研究 205
7.1.4 社交关系取证方法相关研究 206
7.1.5 位置取证技术相关研究 207
7.1.6 存在的问题及解决思路 208
7.2 即时通信取证模型 209
7.2.1 即时通信数据的特点 209
7.2.2 即时通信取证模型分析 210
7.2.3 模型特点 212
7.2.4 模型应用案例 213
7.3 基于语义倾斜的会话主题挖掘取证算法 214
7.3.1 PLSA算法基本原理 215
7.3.2 语义倾斜的动态调整 216
7.3.3 基于语义倾斜的会话主题挖掘取证算法分析 218
7.3.4 实验及结果分析 220
7.4 多源即时通信社交关系取证方法 221
7.4.1 建立多源即时通信社交关系库 222
7.4.2 社交关系的分析取证 223
7.4.3 多源即时通信社交关系取证分析 227
7.4.4 实验及结果分析 228
7.5 基于即时通信的位置取证技术 231
7.5.1 位置数据简介 232
7.5.2 基于可视化的地理位置关联分析技术 232
7.5.3 实验及结果分析 239
7.6 小结 240
第8章 云计算取证 242
8.1 云计算取证技术的现状 243
8.1.1 云计算的定义 243
8.1.2 云取证相关概念 245
8.1.3 云取证模型相关研究 247
8.1.4 云平台证据的提取技术相关研究 248
8.1.5 云平台证据的分析技术相关研究 250
8.1.6 存在的问题及解决思路 252
8.2 云计算取证模型 253
8.2.1 云计算取证模型概述 253
8.2.2 云计算取证模型及其特点 254
8.2.3 模型分析 262
8.3 基于三级映射的HDFS文件高效提取取证方法 264
8.3.1 HDFS元数据分析 265
8.3.2 Ext4文件系统分析 268
8.3.3 Ext4文件定位流程 269
8.3.4 基于三级映射的高效文件提取方法 271
8.3.5 实验结果及分析 277
8.4 基于MapReduce的HDFS数据窃取随机检测算法 281
8.4.1 文件系统行为随机模型 282
8.4.2 MapReduce 数据处理框架 283
8.4.3 基于MapReduce的数据窃取随机检测算法 286
8.4.4 实验结果及分析 290
8.5 小结 296
参考文献 298
京公网安备 11010102004214号