[計算機硬件及網絡]網絡與信息安全-計算機取證技術-資料下載頁

　　

【正文】 %u0003%u8b00%u531b%u53ff% u0... ... 這樣一些超長字符串 ， 攻擊者機器本地硬盤是否有些文件 ， 本機是否有此連接記錄如防火墻是否有記錄 ， 是否有此軟件的操作記錄 。 Fragroute 分片攻擊工具 將正常數據包打碎分流 ， 影響 IDS的判斷能力 ， 影響防火墻的過濾控制能力 。 受害機連接大量的 cgi掃描記錄 .如這樣的記錄肯定意為著一次攻擊： GET /%0d%0a[Thu%20Nov%2044%2066:88:66%202666]%20[error]%20[client%]%20File%20does%20not%20exist:%20c:/web/ HTTP/。 Fragroute自由并不會產生任何記錄 ， 當與其它工具結合使用時產生一些奇怪的記錄 。攻擊者機器是否在 .hoistory中存在操作記錄 ， 本機有路由轉發功能 。 Lophtcrack 密碼攻擊工具 破解 nt/2022的所有用戶口令 。 受害機在被遠程窮舉密碼時存在安全記錄 。 在注冊表中存在此鍵值 Tfn 拒絕服務攻擊工具 攻擊網絡與系統 、占用正常資源 。 本機被安裝此文件時 ， 可被控制對其它 目 標 提 供 dos 功能 ， 可用lsof/ifstatus/smrsh查看文件信息 ， 以及查看網絡連接記錄 ， 找到攻擊源 。主要看是否有此文件 ， 本機是否受到遠程操控 。 Bo2k 木馬文件 機器被人遠程操縱 ，同時相似的還要查看是否有跳板程序 。 查看進程 、 注冊表 、 啟動環境配置文件 、 系統文件是否被替換等 ， 使用殺毒軟件查找 。 Rookit 和后門 可能有 lrk5/t等 同上 查看系統 ， 檢查入侵痕跡 ， 再檢查破壞及安裝木馬的程度 。 通過ps/lsof/ifstatus/logcheck/portsentry/ids/smrsh等查找相關信息 ， 如檢查本地無主文件： find / nouser –o –nogroup –print如檢查啟動文件的改變 ， 可以使用： !/bin/sh/ for user in $ (cat –passwd | /bin/awk –F :’length ($6) 0 {print $6}’) do for name in $ user / .* do [[ $name == $user / ..]] amp。amp。 continue [[ f $name ]] amp。amp。 print ―$name ― done done | xargs ls ltd 電子數據證據鑒定技術 IP地址來源鑒定： 對于所搜集來的電子數據證據，需要對其源 IP地址進行認定，從而更加有效地定位犯罪。隨著網絡技術的發展，計算機犯罪的智能化、復雜化也在不斷提高，犯罪者往往利用 TCP/IP協議族、網絡操作系統、網絡設備的某些漏洞來實施攻擊和犯罪行為。利用信任關系、遠程登錄、 IP堆棧修改等方式來進行 IP地址欺騙是進行網絡犯罪的一種常用手段。 電子數據證據鑒定技術 IP地址來源鑒定方法： ? 利用源路由選項 ? 路由回溯法：沿路由逆向逐站追溯源站。傳統 DDoS調查方法 ? 開發新取證協議：如 Recursive session token protocol used in puter forensics and TCP traceback 電子數據證據鑒定技術 內容分析技術： ? 本電子數據主要其中包括兩種類型 ， 一種是文件系統中所存在的本地數據或搜集來的網絡數據 ， 另一種是周邊數據（ 如未分配的磁盤空間 、 Slack空間 、 臨時文件或交換文件 ——其中可能含有與系統中曾發生過的軟件的運行 ， 特定操作的執行 、 曾經進行過的 Inter瀏覽 、 Email交流等相關的信息 ） ， 而電子數據證據內容分析技術就是在通過這兩種數據流或信息流中尋找 、 匹配關鍵詞或關鍵短語 ， 以及對數據中包含的系統曾進行的 Inter訪問的 URL、 Email交流的郵件地址進行基于模糊邏輯的分析來試圖發現電子證據與犯罪事實之間的客觀聯系 。 電子數據證據鑒定系統示例 國家十五攻關項目：電子數據證據鑒定技術 承擔單位：北大青鳥環宇科技股份有限公司 開 始 輸入電子數據證據 描述犯罪事實 電子數據分類歸檔 鑒定目標描述轉換為系統可理解格式 抽取與鑒定目標相關的電子數據證據 調用地址來源分析模塊 調用設備來源分析模塊 調用軟件來源分析模塊 調用內容分析模塊 判斷需調用模塊 需鑒定設備來源 需鑒 定軟件來源 需鑒定地址來源 需鑒定設備來源 對電子數據證據進行與犯罪事實相關的鑒定 生成鑒定結果 （ 包括根據現有信息不能鑒定時要求搜集進一步相關信息 ） 結論是否確定 對結論進行保全 ， 生成鑒定報告 要求搜集其他相關數據 結 束 其他電子證據搜集與保全系統 是 否 證據鑒定過程 系統結構設計 用戶接口模塊 地址認定模塊 標準設備 特征數據庫 常用軟件與 操作特征數據庫 數據設備來源 智能分析模塊 數據軟件來源 智能分析模塊 特定軟件與操作虛擬運行模塊 鑒定結果生成模塊 電子數據證據歸檔及抽取模塊 鑒定目標描述轉換模塊 內容 分析 模塊 數據設備來源智能分析模塊 犯罪事實 標準設備特征庫 特定軟件與操作特征庫 電子數據證據 用戶接口模塊 鑒定目標描述轉換模塊 電子數據證據歸檔及抽取模塊 數據軟件來源智能分析模塊 地址認定模塊 軟件虛擬運行模塊 鑒定結果生成模塊 內容分析模塊 模塊調用關系 鑒定目標描述轉換模塊 犯罪事實的描述 鑒定目標 ID庫 生成鑒定目標 ID集 ID與數據類型關聯庫 電子數據證據歸檔 及抽取模塊 調用相應分析模塊 生成應從電子數據中 抽取的數據類型 生成應調用的分析模塊 相關電子數據證據已知常用軟件與操作特征子庫危險軟件與操作特征子庫生成軟件鑒定結果危險軟件與操作特征匹配，比較吻和程度與閥值特征對比與代碼匹配調用軟件虛擬運行模塊有匹配代碼無匹配代碼小于閥值大于閥值數據軟件來源智能分析模塊 特定軟件與操作虛擬運行模塊 可疑代碼或程序 （ 來自上層模塊 ） 描述仿真 (代碼匯編語言描述 ) 數據 設備來源 數據 地址來源 環境和運行仿真（虛擬機） 虛擬運行 結果分析 ， 判斷與系統實際狀況是否吻和 對系統造成危害？ 寫入軟件鑒定結果 加入常用軟件與操作特征庫 否 是 是 CPU仿真 RAM 仿真 存儲器仿真 協議仿真 操作系統仿真 實用軟件仿真 電子數據證據內容分析 電子數據證據 周邊數據等中包 含 的 URL、Email地址 可讀文件 （ txt文件、 OFFICE 文件 、EMAIL等 ） 關鍵字 字典庫 關鍵字及關聯字 可疑 URL 及Email地址庫 匹配結論 判定 周邊數據分析結論 內容分析結論 調取URL 對應頁面 是 否 電子數據證據歸檔及抽取模塊 文件屬性和數字摘要分析 抽取相關電子數據 應抽取數據類型 （來自鑒定目標 模式轉換模塊） 電子數據證據歸檔 電子數據證據 主要是指電子證據收集的法律程序上的要求 ,主要包括收集主體的要求、收集具體程序的要求以及其收集中和相關權利的沖突和協調。 ? 由于電子證據的不穩定性和易更改性 ,為收集者作假和隨意變更提供了可能 ,因此對于電子證據的收集的主體應當嚴格限定。 電子數據證據的法律性搜集 ? 證據的收集必須遵循法定的程序：我國刑事訴訟法第 43條就明確規定了收集證據應當遵循的程序 ,民事訴訟法也規定了收集證據的必須程序。由于電子證據的特殊性 ,所以在電子證據的收集過程中既應當遵循一般證據的收集的規則 ,又應當遵循其特有的規則。包括 : ? 全面收集原則 ,這主要是指在刑事訴訟中 ,既要收集對犯罪嫌疑人、被告人不利的證據也要收集對其有利的證據 ,收集過程重要注重對其人權的保護。 ? 民事訴訟中電子證據的收集的程序要求分為法院主持下的收集和當事人的收集。在法院主持下的收集 ,應當有審判人員的主持 ,并且由兩個以上的人共同進行 ,要對證據收集的若干情況進行詳細的記載。在當事人個人收集電子證據時 ,應當有特定的國家機關 ,主要是公證機關對其收集過程、以及所收集證據的真實程度進行見證或者公證。 ? 無論是何種收集方式 ,在收集時都應當有相關的見證人在場 ,特別是記載該數據的計算機的操作員或者管理者的在場。 在電子證據的收集過程中 ,要注意電子證據的收集和相關人的隱私權之間的沖突問題的解決 ,這類問題主要發生在國家機關收集電子證據的過程中 在一般情形下 ,電子證據的收集和提取主要是對在計算機的數據處理系統中已經存儲或者處理的數據 ,但是許多情形下 ,電子數據并不是現成的 ,而這種時候往往會采取對電子郵件、電子通訊等的監聽和竊聽的方式來取得證據。這種方式如果運用不當就會侵犯公民的隱私權。這種問題也逐漸受到各國的重視 ,因為國家機關的調查權和個人的隱私權方面的價值選擇 ,關系到公眾的安全感和公民個人的人格尊嚴。許多國家禁止在收集證據是侵犯公民的人身自由和私生活秘密。但是隨著近年來計算機犯罪的增加以及電子證據的取證上的難度 ,各國在價值選擇上也有了變化 ,對在收集證據中侵犯隱私的行為加以了明確的規定 ,并不籠統的認為只要是在取證中涉及到個人隱私問題都會產生侵犯隱私的行為。 展望 計算機取證是一門專業性與技術性很強又發展極其迅速的應用學科 。 隨著我國信息產業的迅猛發展 ， 計算機取證的應用日益拓展 ， 同時也對計算機取證人員提取了巨大的挑戰 。 現階段 ， 在實踐中適用的計算機取證專用工具還比較少 ， 但我們國家也已經開始投入巨大的人力 、 物力從事專業工具的研發 ， 相信在我們的共同努力下 ， 不久的將來我們必會締造一個更加安全 、 純凈的信息 、 網絡空間 ！