针对安全性突发事件中Windows系统证据调查的研究

论文摘要

世界上没有绝对安全的网络,只有相对安全的网络,就是被称为“祖国的钢铁长城”的部队其网络也不例外。部队相对安全网络环境的取得一方面要通过不断地完善系统程序、装上功能完备的防火墙、架设入侵检测设备而且加强管理,同时另一个重要的方面就是对那些胆敢在网络上破坏秩序、做出不义行为的人给予恰如其分的处理。为了达到这一目的,必然要有对安全性突发事件的分析以求得事实的真相,所以必须要对其中的线索进行调查。 理论上来说,安全性突发事件发生后不管水平再高、手段再高明的黑客都会留下他们在网络中所经过的蛛丝马迹,但调查人员能否搜集查找发现它们进而调查出确凿的证据则完全取决于调查人员的能力水平和他们所采取的方法手段、所拥有的各种工具以及当时系统的设置。 当前国外的研究主要是建立在以网络监视平台和防火墙为基础上进行。而国内的研究则大多建立在以调查系统的三大日志为基础进行。本文提出了在他们两者的基础上同时侧重建立司法鉴定系统把自己的整个系统作为调查基础的方法,以搜集和挖掘当时现场所有相关的线索以及恢复那些被删除和藏匿的资料为主要内容。首先我们从做好收集一切线索开始分析,包括对硬件以及技术的准备、对安全性突发事件的检测、网络监视的进行和响应的逐步深入,第二步就是对调查准备的分析,包括制定调查策略和制作司法鉴定副本,最后对调查的具体行动实施进行分析,包括对所有相关线索查找、对比、查证、认定等调查步骤的深入展开,得出突发事件的最终结论,为军队里实施的纪律处分以及支持刑事诉讼做准备,切实保障部队网络的安全运行。通过对比实验,可以证明该方法在确定有关人员后的证据收集有明显的改善。

论文目录

• 第一章 绪论
• 第二章 线索收集
• 2.1 硬件和技术准备
• 2.2 安全性突发事件检测
• 2.3 网络监视
• 2.3.1 确定监视的位置和方式
• 2.3.2 确定监视内容
• 2.3.3 高级网络监视
• 2.4 初始/ 深入响应
• 2.4.1 在司法鉴定复制之前获得容易失去的数据
• 2.4.2 保存在初始响应期间获得的信息
• 2.4.3 深入响应保存系统证据
• 第三章 调查准备
• 3.1 制定调查策略
• 3.1.1 对受害系统进行分类
• 3.1.2 确定攻击类型
• 3.1.3 确定适当的响应类型
• 3.2 制作司法鉴定副本
• 3.2.1 执行司法鉴定复制的方法
• 3.2.2 检查底层系统配置
• 3.2.3 执行司法鉴定复制的工具
• 3.2.4 使用 Linux 实用程序执行司法鉴定复制
• 第四章 行动实施
• 4.1 调查
• 4.1.1 调查步骤
• 4.1.2 分析对象
• 4.1.3 查找证据所在位置
• 4.1.4 调查具体内容
• 4.1.5 证据管理
• 4.2 报 告
• 第五章 总结与展望
• 在就读研究生期间发表的论文
• 致 谢
• 参考文献
• 附录A 一些网络协议与简称
• 附录B 部分安全日志事件
• 附录C 司法鉴定实验室设置