网络取证模型及相关技术研究

论文摘要

计算机取证是打击计算机犯罪的有力工具及手段,传统的计算机取证采用事后分析的静态取证技术,存在证据采集不及时、不全面,恢复的数据可能已被篡改,证据的法律效力低,证据的分析和提取工作效率较低。这迫切需要网络取证技术。为了使网络取证体系更加完善,有相对稳定的、正确的模型可以参考,从取证步骤上保证网络取证的真实、可信,给专业和非专业的人员一个衡量计算机网络犯罪调查可用性的标准,指导当前的网络取证过程,推动网络取证理论及方法逐步走向成熟,本文提出了规范计算机网络取证模型的观点。根据网络取证实践普遍存在的需求,设计了一个网络取证模型,采用在线与离线数据采集,确保网络数据获取的完整性。本文从简入深,深入分析了当前国内外网络取证技术的难点、新兴解决方案和技术前沿趋势,给出了网络取证的定义,讨论了与网络取证相关的概念和国内外研究的现状,分析了现阶段研究的局限。在对比了现阶段取证模型的基础上,提出了网络取证模型,给出了模型的具体描述和与其它模型的比较。由于网络取证调查中大量网络数据的存在,使调查人员很难获得潜在的数字犯罪证据。本文将传统犯罪取证研究中的犯罪轮廓构建技术的基本思想和方法应用于网络取证分析的研究中,提出了新的取证分析方法思路“计算机犯罪行为分析库”,该方法在大量的取证数据中确立重点调查取证范围,为分析海量数据,尽快缩小分析范围,寻找网络证据提出了新的方向。最后,基于该模型,详细介绍了网络数据获取、证据分析、入侵检测模块的实现。设计了一个基于Windows平台的包捕获程序,并在获取网络封包的基础上,采用协议分析和模式匹配相结合的分析方法对数字证据进行分析以提取入侵证据。实验结果表明,网络数据获取模块能捕获到网络底层的封包,而证据分析模块能正确解码以太网、ARP、IP、ICMP、TCP和UDP多种网络协议,能够满足网络取证的要求。国内在网络取证方面的研究刚刚起步,本文的研究为进一步探讨网络取证的基本方法,从而构建实用有效的网络取证系统建立了基础。

论文目录

• 摘要
• Abstract
• 目录
• 第一章 绪论
• 1.1 研究背景及意义
• 1.2 国内外研究现状
• 1.3 存在的问题和发展趋势
• 1.4 研究内容和结构
• 第二章 网络取证相关概念及技术
• 2.1 网络取证相关概念
• 2.1.1 网络取证的定义
• 2.1.2 网络证据的特点及来源
• 2.2 网络取证的一般原则与步骤
• 2.3 网络取证技术
• 2.4 现有网络取证方法研究
• 2.4.1 基于入侵检测的取证方法
• 2.4.2 基于蜜阱的取证方法
• 2.4.3 两种取证方法的优缺点
• 2.5 本章小结
• 第三章 网络取证模型设计
• 3.1 现有取证模型概述
• 3.1.1 现有取证模型
• 3.1.2 对这些模型的分析
• 3.2 改进的网络取证模型设计
• 3.2.1 模型的提出
• 3.2.2 模型描述
• 3.3 与其它取证模型的比较
• 3.4 模型逻辑架构
• 3.5 模型实现的关键技术及问题讨论
• 3.5.1 网络证据获取
• 3.5.2 网络证据保存
• 3.5.3 网络证据分析
• 3.6 本章小结
• 第四章 网络取证相关技术实现
• 4.1 网络数据获取模块
• 4.1.1 数据包捕获
• 4.1.2 数据包过滤
• 4.2 证据分析模块
• 4.2.1 模式匹配
• 4.2.2 协议分析
• 4.2.2.1 TCP/IP协议解析
• 4.2.2.2 底层协议解析实现
• 4.3 入侵检测模块
• 4.4 实验结果
• 4.5 本章小结
• 第五章 总结与展望
• 5.1 总结
• 5.2 展望
• 致谢
• 参考文献
• 附录A （攻读学位期间发表论文目录）