计算机取证系统的研究与数据挖掘技术在其中的应用

论文摘要

计算机是人类社会的一项重要的发明,人们在享受计算机技术发展所带的便利的同时,伴随而来的计算机犯罪问题也严重困扰着人们的工作和生活。我们要打击和防范这种犯罪,关键是取得证明计算机犯罪的充分、有效、合法的证据。因此,计算机取证技术越来越受到人们的关注,并成为计算机安全领域研究的热点。计算机取证主要的工作就是依靠正确的法律依据和过程,收集存在于计算机系统中的数据信息,甚至需要从已经被删除、加密或破坏的文件中获取重要信息,并对获取的信息进行保存和分析,提取出与案件关联的证据提供给办案人员。计算机取证系统可分为电子证据的静态获取(即事后获取,主要关注硬件设备里包含的信息)和电子证据的动态获取(即实时的信息采集)。取证过程中获得的计算机系统运行时产生的可以用来证明案件事实的电磁记录物才能被称为电子证据。从计算机中获得的信息是海量的,如何对这些信息进行有效的分析,提取与案件关联的、反映案件客观事实的电子证据是计算取证的一个热点技术之一。目前,对于取证获得的数据分析的技术主要有:关键字分析,文件属性分析和模式匹配等,这些分析技术虽然可以在一定程度上帮助办案人员打击计算机犯罪,但是都存在自身的一些局限性,并需要大量的人工参与。因此,急需找出一种更为有效的方法来分析取证数据。数据挖掘就是从海量的、不完全的、有噪声的、模糊的数据中,提取隐含在其中的、人们事先不知道的、但又是潜在有用的信息和知识的过程,非常适合数据分析。本文创新性的把数据挖掘技术应用于计算机取证的数据分析中,结合案件的特殊性,对大量的取证信息进行分析,提取出与案件关联、有用的信息,提高了证据分析效率和准确性。本文首先提出了计算机取证的原则和步骤;接着进一步的深入研究计算机取证的过程,设计和实现了针对windows操作系统的静态取证系统并对其进行了成功测试;研究了linux系统下获取证据信息的方法;然后本文研究了结合入侵检测技术的计算机动态取证过程,设计了动态取证系统;最后本文实现了数据挖掘中的关联规则算法——Apriori算法,并把关联规则挖掘应用于计算机取证的数据分析模块中,详细阐述了关联规则挖掘在计算机证据分析中的应用过程,包括数据的预处理和关联规则的发现。本文把关联规则挖掘应用在取证分析中,主要是针对取证获得的用户行为信息的关联分析,分析用户不同行为之间的联系;针对取得的日志文件分析;在动态取证分析中的应用研究;对取得的文档,在经过对文本关键词的提取后对这些关键词进行关联性分析。最后本文根据实际的情况提出对算法的一些改进措施:动态设置阈值和等级划分数据项。

论文目录

• 摘要
• ABSTRACT
• 第一章 引言
• 1.1 论文的背景和意义
• 1.2 计算机取证研究的国内外现状
• 1.3 本文所做的工作和论文的特色
• 1.4 论文的结构安排
• 第二章 计算机取证的概述
• 2.1 计算机取证的基本概念
• 2.1.1 计算机犯罪
• 2.1.2 计算机取证的定义
• 2.1.3 电子证据的概念
• 2.2 计算机取证的原则
• 2.3 计算机取证的步骤
• 2.4 小结
• 第三章 计算机静态取证系统的设计实现
• 3.1 计算机静态取证的概念
• 3.2 基于windows操作系统的静态取证系统的设计实现
• 3.2.1 日志信息提取
• 3.2.2 编辑过的文档信息提取
• 3.2.3 浏览过的网页信息提取
• 3.2.4 运行过的程序
• 3.2.5 删除过的文件
• 3.2.6 系统测试
• 3.3 基于linux操作系统的证据获取方法
• 3.3.1 日志信息
• 3.3.2 运行的进程信息和执行过的命令的历史记录
• 3.3.3 收集/proc伪文件系统中的信息
• 3.3.4 网络状态信息
• 3.3.5 最近使用过的文件信息
• 3.3.6 删除过的文件信息
• 3.4 小结
• 第四章 计算机动态取证系统设计
• 4.1 动态取证的概念
• 4.2 动态取证系统的设计
• 4.3 小结
• 第五章 数据挖掘技术研究
• 5.1 数据挖掘的系统结构
• 5.2 数据挖掘的流程
• 5.3 数据挖掘的分类
• 5.3.1 关联分析
• 5.3.2 分类分析
• 5.3.3 聚类分析
• 5.4 数据挖掘运用于计算机取证的优势和可行性研究
• 5.5 小结
• 第六章 数据挖掘在计算机取证中的应用实现
• 6.1 关联规则的概念
• 6.2 挖掘关联规则的步骤
• 6.3 Apriori算法的实现和测试
• 6.3.1 Apriori的核心
• 6.3.2 Apriori算法实现的编程思路和程序流程
• 6.3.3 结果测试
• 6.4 由频繁项集产生关联规则
• 6.5 关联规则挖掘在计算机取证中的应用
• 6.5.1 加入了数据挖掘模块的计算机取证系统的设计实现
• 6.5.2 数据预处理步骤
• 6.5.3 关联规则挖掘对用户行为的分析模块的实现
• 6.5.4 关联规则挖掘对取证获得的日志分析模块的实现
• 6.5.5 关联规则挖掘对文本分析模块的实现
• 6.5.6 关联规则在动态取证分析中的应用研究
• 6.5.7 基于实际应用的算法改进
• 6.6 模拟测试
• 6.6.1 数据收集
• 6.6.2 使用传统的分析技术进行分析
• 6.6.3 数据预处理
• 6.6.4 数据的关联规则挖掘
• 6.6.5 结果分析
• 6.7 小结
• 第七章 结束语
• 7.1 总结
• 7.2 本文存在的不足和今后工作的发展
• 致谢
• 参考文献
• 攻读学位期间取得的研究成果
• 附录一