計(jì)算機(jī)網(wǎng)絡(luò)取證技術(shù)的研究

1、計(jì)算機(jī)網(wǎng)絡(luò)取證技術(shù)的研究楊泉清 （福建伊?xí)r代信息科技股份有限公司 福建福州）摘要：計(jì)算機(jī)網(wǎng)絡(luò)取證主要是研究如何為打擊計(jì)算機(jī)網(wǎng)絡(luò)犯罪提供高效、徹底和安全的技術(shù)。其核心是確保獲得的證據(jù)真實(shí)、可靠、完整和符合法律規(guī)定。介紹了計(jì)算機(jī)取證的概念和取證原則，重點(diǎn)研究了網(wǎng)絡(luò)取證技術(shù)方法和工具，提出了目前計(jì)算機(jī)取證相關(guān)法律法規(guī)和計(jì)算機(jī)取證技術(shù)的不足,指出了今后法律法規(guī)的進(jìn)一步健全、計(jì)算機(jī)取證工作的規(guī)范化和計(jì)算機(jī)取證技術(shù)的發(fā)展趨勢。關(guān)鍵詞：計(jì)算機(jī)取證技術(shù)；網(wǎng)絡(luò)取證；網(wǎng)絡(luò)犯罪；網(wǎng)絡(luò)取證工具；電子證據(jù) abstract: the computer network is to study evidence of ho

2、w to combat crimes related to computer networks to provide efficient, thorough and security technology. its core is to ensure that the evidence was true, reliable, complete and in conformity with the law. introduced the concept of computer forensics and evidence principle, the network focuses on the

3、 technical methods and tools of evidence and put forward the current laws and regulations related to computer forensics and computer technology, lack of evidence, pointing out that the future to further improve laws and regulations, the standardization of computer forensics work and computer forensi

4、cs trends.key words: computer forensics；network forensics；computer network crime；network forensics tools；electronic evidence 隨著互聯(lián)網(wǎng)的應(yīng)用和普及，各種利用計(jì)算機(jī)網(wǎng)絡(luò)為工具進(jìn)行網(wǎng)絡(luò)詐騙、網(wǎng)絡(luò)盜竊、網(wǎng)絡(luò)色情和網(wǎng)絡(luò)竊密等犯罪活動(dòng)日益猖獗，已經(jīng)嚴(yán)重威脅到人們正常的生產(chǎn)和生活。如何及時(shí)準(zhǔn)確地從計(jì)算機(jī)網(wǎng)絡(luò)中獲取證據(jù)，有效遏制網(wǎng)絡(luò)犯罪的發(fā)展，已成為近年來計(jì)算機(jī)取證的研究熱點(diǎn)。由于計(jì)算機(jī)網(wǎng)絡(luò)證據(jù)具有動(dòng)態(tài)、實(shí)時(shí)、海量、異構(gòu)和多態(tài)等特性，有別于傳統(tǒng)證據(jù)，使其在證據(jù)的獲取方面存在一定的難度

5、，需要具備較強(qiáng)的取證技術(shù)。同時(shí)，網(wǎng)絡(luò)取證技術(shù)的研究在我國還處于剛剛起步的階段，還無法及時(shí)跟上犯罪技術(shù)的更新和變化。因此，網(wǎng)絡(luò)證據(jù)的獲取一直還處于比較艱難的局面，嚴(yán)重阻礙了網(wǎng)絡(luò)案件的偵破。面對(duì)這種現(xiàn)實(shí)，加快網(wǎng)絡(luò)取證技術(shù)的研究和應(yīng)用，已經(jīng)引起各級(jí)政府和機(jī)構(gòu)的高度重視。一、 網(wǎng)絡(luò)證據(jù)取證概述計(jì)算機(jī)取證（computer forensics）是指對(duì)計(jì)算機(jī)入侵、破壞、欺詐、攻擊等犯罪行為利用計(jì)算機(jī)軟硬件技術(shù)，按照符合法律規(guī)范的方式進(jìn)行獲取、保存、分析和出示的過程。從技術(shù)上，計(jì)算機(jī)取證是一個(gè)對(duì)計(jì)算機(jī)系統(tǒng)進(jìn)行掃描和破解，以對(duì)入侵事件進(jìn)行重建的過程。網(wǎng)絡(luò)取證（network forensics）包含了計(jì)算機(jī)取

6、證，是廣義的計(jì)算機(jī)取證，是網(wǎng)絡(luò)環(huán)境中的計(jì)算機(jī)取證。計(jì)算機(jī)取證包括了物理證據(jù)獲取和信息分析發(fā)現(xiàn)兩個(gè)階段。物理證據(jù)是指調(diào)查人員到犯罪現(xiàn)場，尋找和扣留犯罪相關(guān)的計(jì)算機(jī)軟硬件設(shè)備；信息分析發(fā)現(xiàn)是指從計(jì)算機(jī)原始數(shù)據(jù)中通過技術(shù)手段分析查找與案件相關(guān)的系統(tǒng)日志、聊天記錄、電子郵件和文件等可以用來證明或者反駁的電子數(shù)據(jù)證據(jù)，即電子證據(jù)。與傳統(tǒng)的證據(jù)不同的是，計(jì)算機(jī)證據(jù)易丟失、易篡改、易刪除并且很難獲取，這就要求在進(jìn)行計(jì)算機(jī)取證時(shí)必須嚴(yán)格遵守一定的規(guī)則?；驹瓌t如下： 合法性原則：應(yīng)采用合法的取證設(shè)備和工具軟件按照法律法規(guī)的要求，合理合法的進(jìn)行計(jì)算機(jī)證據(jù)收集； 原始性原則：及時(shí)收集、保存和固化原始證據(jù)，確保證據(jù)

7、不被嫌疑人刪除、篡改和偽造； 連續(xù)性原則：證據(jù)被提交給法庭時(shí)，必須能夠說明證據(jù)從最初的獲取到出庭證明之間的任何變化； 過程完整性原則：整個(gè)取證過程應(yīng)該在受監(jiān)督的情況下完成，證據(jù)的移交、分類、保管等過程應(yīng)該有詳細(xì)的記錄，確保證據(jù)獲取的真實(shí)可信； 多備份原則：對(duì)存放計(jì)算機(jī)證據(jù)的載體至少制作倆個(gè)以上的副本。原件應(yīng)存放在專門的保管設(shè)施中，副本可用于證據(jù)的提取和分析； 可重現(xiàn)原則：由于電子證據(jù)的特殊性，確保取證過程和結(jié)果的可重現(xiàn)。二、 計(jì)算機(jī)網(wǎng)絡(luò)取證工具軟件在計(jì)算機(jī)取證過程中，相應(yīng)的取證工具必不可少。比較好的產(chǎn)品有：美國guidance軟件公司研制的encase產(chǎn)品，它是基于windows系統(tǒng)下用于電子

8、證據(jù)收集和分析的專用工具軟件，可將正處于運(yùn)行狀態(tài)的計(jì)算機(jī)系統(tǒng)的所有運(yùn)行環(huán)境和數(shù)據(jù)生成一個(gè)映像文件，再對(duì)該映像文件進(jìn)行分析，從而發(fā)現(xiàn)犯罪證據(jù)。它能調(diào)查windows，macintosh，linux，unix或dos機(jī)器的硬盤，把硬盤中的文件鏡像成只讀的證據(jù)文件，這樣可以防止調(diào)查人員修改數(shù)據(jù)而使其成為無效的證據(jù)。為了確定鏡像數(shù)據(jù)與原始數(shù)據(jù)相同，encase通過對(duì)計(jì)算機(jī)的crc校驗(yàn)碼和md5哈希值進(jìn)行比較。 encase對(duì)硬盤驅(qū)動(dòng)鏡像后重新組織文件結(jié)構(gòu)，采用windows gui顯示文件的內(nèi)容，允許調(diào)查員使用多個(gè)工具完成多個(gè)任務(wù)；ftk（forensic toolkit）是世界上公認(rèn)的計(jì)算機(jī)取證調(diào)查

9、的必備工具之一，它提供了強(qiáng)大的文件自動(dòng)分析、過濾和查找功能，自動(dòng)對(duì)所有文件進(jìn)行分類，自動(dòng)定位有嫌疑的文件，可自定義的過濾選項(xiàng)能滿足用戶從上萬份文件中快速查找所需的證據(jù)的能力。其他先進(jìn)的計(jì)算機(jī)取證工具還有：logicube forensic sf-5000u：logicube公司的這款取證設(shè)備是美國fbi首選的計(jì)算機(jī)犯罪偵查設(shè)備，它是專門為現(xiàn)場收集計(jì)算機(jī)犯罪數(shù)據(jù)而設(shè)計(jì)的一款手持取證設(shè)備；nestwatch：能從所有主web服務(wù)器和許多防火墻中導(dǎo)入日志文件，以html格式輸出報(bào)告，并將他們分發(fā)到選定的服務(wù)器上去；nettracked：能分析防火墻和代理服務(wù)器上的日志文件，有廣泛的過濾和報(bào)告功能，并

10、且能將數(shù)據(jù)以excel和access文件格式輸出；analog：是一種交叉平臺(tái)分析工具，內(nèi)嵌了對(duì)許多語言的支持，可根據(jù)ip地址找出dns，支持所有已知的web服務(wù)器的日志文件格式，包括apache、ncsa、webstar、iis、w3擴(kuò)展、netscape、netpresenz。一些開源工具或者操作系統(tǒng)自身的工具也可以實(shí)現(xiàn)很好的使用效果。最著名的免費(fèi)軟件是1999年dan farmer和wietse venema編寫coroners工具包。它是能夠幫助對(duì)計(jì)算機(jī)犯罪進(jìn)行取證檢查的一些工具軟件的集合，它的最初設(shè)計(jì)平臺(tái)是unix系統(tǒng)，但也能對(duì)非unix的磁盤、介質(zhì)做有限的數(shù)據(jù)獲取和分析。是目前應(yīng)用

11、較廣泛的免費(fèi)計(jì)算機(jī)取證工具包，它包括下列工具：l grave-robber：以數(shù)據(jù)的易變性為序搜集數(shù)據(jù)供以后的取證分析工具使用，它搜集的數(shù)據(jù)包括進(jìn)程和網(wǎng)絡(luò)信息、磁盤文件信息等；unrm：磁盤數(shù)據(jù)恢復(fù)工具，拷貝所有未分配的數(shù)據(jù)塊到指定文件； l lazarus：恢復(fù)已刪除文件的工具； mactime：確定在一個(gè)特定的時(shí)間段內(nèi)那些文件被訪問或修改過；三、 計(jì)算機(jī)網(wǎng)絡(luò)取證技術(shù)計(jì)算機(jī)網(wǎng)絡(luò)取證技術(shù)就是在網(wǎng)絡(luò)上跟蹤犯罪分子或通過網(wǎng)絡(luò)通信的數(shù)據(jù)信息資料獲取證據(jù)的技術(shù)。主要包括有入侵檢測技術(shù)、ip地址和mac地址的獲取和識(shí)別技術(shù)、身份認(rèn)證技術(shù)、電子郵件的取證和鑒定技術(shù)、網(wǎng)絡(luò)監(jiān)聽和監(jiān)視技術(shù)、數(shù)據(jù)過濾技術(shù)、海量數(shù)

12、據(jù)挖掘技術(shù)和事前取證技術(shù)等。1、 基于入侵檢測取證技術(shù)入侵檢測技術(shù)是指通過從計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息并對(duì)其進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和遭到襲擊的跡象的一種安全技術(shù)簡稱ids。入侵檢測技術(shù)是動(dòng)態(tài)安全技術(shù)的最核心技術(shù)之一。它的原理就是利用一個(gè)網(wǎng)絡(luò)適配器來實(shí)時(shí)監(jiān)視和分析所有通過網(wǎng)絡(luò)進(jìn)行傳輸?shù)耐ㄐ?，而網(wǎng)絡(luò)證據(jù)的動(dòng)態(tài)獲取也需要對(duì)位于傳輸層的網(wǎng)絡(luò)數(shù)據(jù)通信包進(jìn)行實(shí)時(shí)的監(jiān)控和分析，從中發(fā)現(xiàn)和獲得嫌疑人的犯罪信息。因此，計(jì)算機(jī)網(wǎng)絡(luò)證據(jù)的獲取完全可以依賴現(xiàn)有ids系統(tǒng)的強(qiáng)大網(wǎng)絡(luò)信息收集和分析能力，結(jié)合取證應(yīng)用的實(shí)際需求加以改進(jìn)和擴(kuò)展，就可以輕松實(shí)現(xiàn)網(wǎng)絡(luò)證據(jù)的獲取。只

13、是具體的獲取方法和獲取的信息不同而以。2、 來源取證技術(shù)來源取證主要的目的是確定嫌疑人所處位置和具體作案設(shè)備。主要通過對(duì)網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行捕捉和分析，或者對(duì)電子郵件頭等信息進(jìn)行分析，從中獲得犯罪嫌疑人通信時(shí)的計(jì)算機(jī)ip地址和mac 地址等相關(guān)信息。ip地址是internet協(xié)議地址，每個(gè)internet包必須帶有ip地址，每個(gè)internet服務(wù)提供商（isp）必須向有關(guān)組織申請(qǐng)一組ip地址，然后一般是動(dòng)態(tài)分配給其用戶。調(diào)查人員通過ip地址定位追蹤技術(shù)進(jìn)行追蹤溯源，查找出嫌疑人所處的具體位置。mac地址是由網(wǎng)絡(luò)設(shè)備制造商生產(chǎn)時(shí)直接寫在每個(gè)硬件內(nèi)部的全球唯一地址。調(diào)查人員通過mac 地址和相關(guān)調(diào)查信

14、息最終確認(rèn)犯罪分子的作案設(shè)備。3、 痕跡取證技術(shù) 是指通過專用工具軟件和技術(shù)手段，對(duì)犯罪嫌疑人所使用過的計(jì)算機(jī)設(shè)備中相關(guān)記錄和痕跡信息進(jìn)行分析取證，獲得案件相關(guān)的犯罪證據(jù)。主要有文件內(nèi)容、電子郵件、網(wǎng)頁內(nèi)容、聊天記錄、系統(tǒng)日志、應(yīng)用日志、服務(wù)器日志、網(wǎng)絡(luò)日志、防火墻日志、入侵檢測、磁盤驅(qū)動(dòng)器、文件備份、已刪除可恢復(fù)的記錄信息等等。痕跡取證技術(shù)要求取證人員需要具備較高的計(jì)算機(jī)專業(yè)水平和豐富的取證經(jīng)驗(yàn)，結(jié)合密碼破解技術(shù)、加密數(shù)據(jù)的解密技術(shù)、隱藏?cái)?shù)據(jù)的再現(xiàn)技術(shù)、數(shù)據(jù)恢復(fù)技術(shù)、數(shù)據(jù)搜索技術(shù)等等。通過系統(tǒng)的分析和采集來獲得證據(jù)。4、 海量數(shù)據(jù)挖掘技術(shù)計(jì)算機(jī)的存儲(chǔ)容量越來越大，網(wǎng)絡(luò)傳輸?shù)乃俣纫苍絹碓娇臁?duì)

15、于計(jì)算機(jī)內(nèi)部存儲(chǔ)和網(wǎng)絡(luò)傳輸中的大量數(shù)據(jù)，可以用海量數(shù)據(jù)挖掘技術(shù)發(fā)現(xiàn)特定的與犯罪有關(guān)的數(shù)據(jù)。相關(guān)專家提出了nfat(network forensics analysis tools)的設(shè)計(jì)框架和標(biāo)準(zhǔn)。核心是開發(fā)專家系統(tǒng)（expret system，簡稱es）并配合入侵檢測系統(tǒng)和防火墻，對(duì)網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行實(shí)時(shí)的監(jiān)控、提取和分析，對(duì)于發(fā)現(xiàn)的異常數(shù)據(jù)進(jìn)行可視化報(bào)告。從中獲得嫌疑人的相關(guān)犯罪信息。5、 網(wǎng)絡(luò)流量監(jiān)控技術(shù)可以通過sniffer協(xié)議分析軟件和p2p流量監(jiān)控軟件實(shí)時(shí)動(dòng)態(tài)來跟蹤犯罪嫌疑人的通信過程，對(duì)嫌疑人正在傳輸?shù)木W(wǎng)絡(luò)數(shù)據(jù)進(jìn)行實(shí)時(shí)連續(xù)的采集和監(jiān)測，對(duì)獲得的流量數(shù)據(jù)進(jìn)行統(tǒng)計(jì)計(jì)算，從而得到網(wǎng)絡(luò)主要成

16、分的性能指標(biāo)。根據(jù)對(duì)網(wǎng)絡(luò)主要成分進(jìn)行性能分析，發(fā)現(xiàn)性能變化趨勢，得到嫌疑人的相關(guān)犯罪痕跡。 6、 事前取證技術(shù)現(xiàn)有的取證技術(shù)基本上都是建立在案件發(fā)生后，再根據(jù)案情需要利用各種技術(shù)對(duì)所需的證據(jù)進(jìn)行獲取即事后取證。而由于計(jì)算機(jī)網(wǎng)絡(luò)犯罪的特殊性，許多重要的信息，只存在于案件發(fā)生的當(dāng)前狀態(tài)下例如環(huán)境信息、網(wǎng)絡(luò)狀態(tài)信息等在事后往往是無據(jù)可查，同時(shí)許多相關(guān)電子數(shù)據(jù)易遭到刪除、覆蓋和破壞。因此，對(duì)自我認(rèn)為可能發(fā)生的事件進(jìn)行預(yù)防性的取證保全并安全存放，日后一旦真的出現(xiàn)問題時(shí)對(duì)案件的調(diào)查和出庭作證都具有無可比擬的作用，它將是計(jì)算機(jī)取證技術(shù)未來發(fā)展的重要方向之一。對(duì)此類防范和預(yù)防性的取證工具軟件，在國內(nèi)外還比較少

17、見?，F(xiàn)有據(jù)可查的就是福建伊?xí)r代公司于2007年推出的電子證據(jù)生成系統(tǒng)。該系統(tǒng)采用其獨(dú)創(chuàng)的“數(shù)據(jù)原生態(tài)保全技術(shù)”來標(biāo)識(shí)電子證據(jù)，并將其上傳存放于安全性極高的電子證據(jù)保管中心，充分保證電子證據(jù)的完整性、真實(shí)性和安全性，使之具備法律效力。它可以24小時(shí)全天候提供電子郵件、電子合同、網(wǎng)絡(luò)版權(quán)、網(wǎng)頁內(nèi)容、電子商務(wù)、電子政務(wù)等電子證據(jù)的事前保全服務(wù)。四、 現(xiàn)有取證存在的問題1、 法律法規(guī)的不健全由于我國在計(jì)算機(jī)取證方面的立法相對(duì)滯后，到目前為止還未有計(jì)算機(jī)取證方面的專門的法律法規(guī)，計(jì)算機(jī)證據(jù)即電子證據(jù)還不能做為一種單獨(dú)的證據(jù)類型在法庭上予以承認(rèn)。計(jì)算機(jī)取證工作程序沒有統(tǒng)一的標(biāo)準(zhǔn)和規(guī)范，獲取證據(jù)的過程沒有嚴(yán)

18、格的規(guī)定，存在較大的隨意性，因此，獲取的證據(jù)的證明力不足。2、 取證工作缺乏標(biāo)準(zhǔn)和規(guī)范由于計(jì)算機(jī)取證倍受關(guān)注,很多組織和機(jī)構(gòu)都投入了人力對(duì)這個(gè)領(lǐng)域進(jìn)行研究,并且已經(jīng)開發(fā)出大量的取證工具.因?yàn)闆]有統(tǒng)一的標(biāo)準(zhǔn)和規(guī)范,軟件的使用者很難對(duì)這些工具的有效性和可靠性進(jìn)行比較。沒有制定取證人員的認(rèn)證和培訓(xùn)機(jī)制，任何具備一定技能的人員，都可以取證。由于取證人員水平較低，或缺乏經(jīng)驗(yàn)和法律知識(shí)匱乏，取得的證據(jù)不具備可靠性。五、 取證技術(shù)的完善首先，國家應(yīng)該加快計(jì)算機(jī)取證相關(guān)法律法規(guī)的立法步伐，使計(jì)算機(jī)取證具備合法性。盡早在法律層面上確立電子證據(jù)作為司法承認(rèn)的一種單獨(dú)證據(jù)類型。另外，國家應(yīng)該從司法層面制定一個(gè)統(tǒng)一性

19、的計(jì)算機(jī)取證規(guī)范和取證過程標(biāo)準(zhǔn)，從制度上進(jìn)行規(guī)范。保證計(jì)算機(jī)取證的科學(xué)性和權(quán)威性。其次，由于計(jì)算機(jī)取證是一個(gè)高技術(shù)含量的學(xué)科，不是光光只靠一兩項(xiàng)技術(shù)就能完成取證獲得證據(jù)，它需要同時(shí)結(jié)合計(jì)算機(jī)軟硬件的多項(xiàng)技術(shù)才能完成，因此，有必要建立一個(gè)計(jì)算機(jī)取證綜合實(shí)驗(yàn)室。通過計(jì)算機(jī)綜合實(shí)驗(yàn)室對(duì)網(wǎng)絡(luò)犯罪和取證技術(shù)進(jìn)行綜合研究，從而找出一個(gè)切實(shí)可行的網(wǎng)絡(luò)犯罪防范和治理辦法。由于現(xiàn)有的取證技術(shù)都是基于事后取證，缺乏對(duì)網(wǎng)絡(luò)犯罪的事前防范和預(yù)防，無法從根源上防止和杜絕網(wǎng)絡(luò)犯罪。因此，必須加快計(jì)算機(jī)網(wǎng)絡(luò)犯罪的事前防范和預(yù)防的研究步伐，只有不斷發(fā)展計(jì)算機(jī)網(wǎng)絡(luò)事前取證技術(shù)，把網(wǎng)絡(luò)犯罪掐斷在萌芽階段，才能做到從源頭上治理計(jì)算機(jī)網(wǎng)絡(luò)犯罪。六、 發(fā)展趨勢現(xiàn)在的計(jì)算機(jī)取證，很大程度是手工操作硬件或者使用取證工具軟件，能夠在作案的同時(shí)或一定時(shí)限內(nèi)獲得證據(jù)的機(jī)會(huì)微乎其微。取證工作的成敗主要取決于技術(shù)人員的經(jīng)驗(yàn)和智慧，證據(jù)的自動(dòng)獲取技術(shù)還沒有。所以，取證技術(shù)的發(fā)展方向之一就是證據(jù)獲取的自動(dòng)化。由于計(jì)算機(jī)取證技術(shù)是近年來才得以發(fā)展和重視，相對(duì)反取證技術(shù)還比較落后。而且反取證技術(shù)也在不斷發(fā)展，如同病毒和防病毒軟件的發(fā)展一樣，取證技術(shù)的進(jìn)一步發(fā)展也基于研究反取證技術(shù)的基礎(chǔ)上。七、 總結(jié)隨著計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的普及而變得越來越重要了，計(jì)算機(jī)網(wǎng)絡(luò)取證技術(shù)是一