基于网络的计算机取证系统设计

时， 未发现明显裂缝， 在住户装修时， 发现楼板有 缝， 也是导致裂缝的原因。开发商为了节省土地， 一般放置在梁钢筋上面或与梁钢筋绑扎在一起。
裂缝出现， 故联名向质量监督部门投诉， 经实地踏 往往不顾及房屋长度， 使房屋整体过长， 也不设置 为 了 控 制 好 负 筋 保 护 层 厚 度 ， 必 须 采 用
力、物力开发计算机取证专用工具。针对计算机取 系统的数据， 破坏电子证据的完整性。２．４ 对相关 于网络的互联互动、多层次的计算机取证系统， 该
证的全部活动而言， 美国的各研究机构与公司所 的数据要坚持多备份的原则。对数据的备份要按 系统包括网络取证系统界面、网络数据收集、认证
开发的工具主要覆盖了电子数据证据的获取、保 ｂｉｔ 逐位拷贝， 确保备份的数据与系统中原始数据 及传输、数据存储管理、数据分析、证据鉴定、证据
取证将是未来几年信息安全领域的研究热点。
２．８ 取证过程要遵循相关的法律和安全政策。在调 数据收模块。识别并获取与案件有关的数据是计
我国计算机取证工作与欧美发达国家都存 查过程中， 你可能要访问和复制敏感的数据， 这时 算机取证的第一个步骤。在被取证机上启动收集
在一定的差距：在技术上， 还缺乏自主知识产权的 你必须要获得许可才能进行。因此， 在开始调查 系统信息的 Ａｇｅｎｔ， 同时启动取证机上的网络数据
门打击计算机犯罪的网络警察队伍， 在全国各省 得到完全一样的结果。２．１０ 注意不同系统和设备 将这些数据过滤出来， 并由系统的传输模块将它
市级公安机关也有专门的部门处理计算机犯罪案 的时间差异， 正确区分不同数据中的时间戳采用 安全地转移到取证机器上保存和分析。ｃ．认证及传
件。国家有关部门非常重视对打击计算机犯罪的 的时间制式， 即 ＵＴＣ 时间或当地时间等。２．１１ 分析 输模块。为了保证数据传输的安全性与可靠性， 基
图 １ 网络取证系统主要功能模块
发表了多篇相关的论文。从历届 ＦＩＲＳＴ 技术论坛 检查、取证过程必须是受到监督的， 取证的过程要
主要模块功能如下：
及 ＦＩＲＳＴ 计算机安全年会上看， 计算机取证技术 有书面记录， 记录要包含操作的时间、动作和可能
ａ．网络取证系统界面模块。主要实现系统启动
正日益成为计算机网络安全的重点课题， 计算机 的后果， 取证人员要在书面记录上确认和签名［８］。 过程的权限认证， 并进行系统工作界面。ｂ．客户端
度， 进一步提高计算机取证的自动化和智能化。在 电子证据的物理安全。不仅要防止盗窃、破坏， 还
国外， 打击计算机犯罪有着二三十年的历史， 在计 要防电磁、辐射、腐蚀、静电、高温、潮湿等因素对
算机取证方面积累了一定的经验， 出现了许多专 光电存储媒体的影响。２．７ 必须确保“证据链（ｃｈａｉｎ
门的计算机取证部门、实验室和咨询服务公司。在 ｏｆ ｃｕｓｔｏｄｙ）”的完整性。也称为证据保全， 即在证据
信息科学
基于网络的计算机取证系统设计
刘典型 刘完芳
（ 湖南公安高等专科学校计算机系， 湖南 长沙 ４１０１３８）
摘 要： 计算机取证是指对计算机入侵、破坏、欺诈、攻击等犯罪行为， 利用计算机软硬件技术， 按照符合法律规范的方式进行识别、保存、分析 和提交数字证据的过程， 取证系统则是实现计算机取证功能的软件工具。在深入探讨计算机取证发展与原则的基础上， 设计出一种基于网络的互联 互动、多层次的计算机取证系统模型， 简述了此系统模型的组成、相应模块的主要功能及未来取证系统设计的趋势。
关键词： 现浇楼板； 裂缝； 原因； 防治
Hale Waihona Puke 随着城市住宅建设步伐的加快， 不少住宅小 １．２Ｎ／ｍｍ２ 前， 不得在其上踩踏或安装模板及支架。 可减少温度产生的裂缝， 也可降低混凝土收缩而
区相继建成， 许多住户陆续搬进新居， 他们对住房 但开发商为了抢时间， 赶进度， 在刚浇好的现浇板 产生的裂缝。ｂ．现浇板上不要过早上人、堆料、施荷
以下一或多个基本功能：
新的犯罪空间和手段。计算机犯罪呈现日趋严重
２．１ 不允许非调查取证人员接触计算机系统，
３．１ 目标识别。发现计算机证据可以根据案
的发展态罪， 发展到现在的网络犯罪、信息犯罪。 特别是犯罪嫌疑人和案件关联人员。因为， 计算机 情、犯罪现场的位置和监控情况定位可疑主机。３．２
计算机犯罪给国家安全和社会稳定造成了严势， 系统中的数据极易被破坏， 一次按键就可能删除 提取可疑主机数据。这方面的计算机取证工具主
对计算机取证的技术研究、专门的工具软件 关闭的计算机系统， 尽量用软盘或光盘引导系统。
计算机取证技术同时也是随着黑客技术的提
的开发以及相关商业服务出现始于 ２０ 世纪 ９０ 年 由于操作系统的自动管理和优化功能， 可能改变 高而不断发展的， 为确保取到所需的有效的法律
代中后期 ［３］。各国政府与专业机构均投入巨大人 计算机系统状态， 遗失内存、缓冲区、交换区、文件 证据， 并保证其安全性和可靠性， 这里提出一种基
墙分隔， 每层设有圈梁同楼板整浇， 板厚 １００ｍｍ， 化热释放量大， 混凝土在高温下， 得不到及时浇水 的 裂 缝 。 因 此 ， 必 须 做 到 在 混 凝 土 强 度 达 到 混凝土标号为 Ｃ２０， 房屋长约 ８０￣９０ｍ 之间， 不设 养护， 而失水收缩， 使混凝土发生干裂， 最终导致 １．２Ｎ／ｍｍ２ 以后， 才允许在其上踩踏或安装模板及
取证产品开发上， 开发了许多非常实用的取证产 被正式提交给法庭时， 必须能够说明在证据从最
品。在计算机取证的程序和标准研究方面， 巴西研 初的获取状态到在法庭上出现状态之间的任何变
究人员 Ｍｃｅｌｏ Ａｈｄａｌｌａｄｏｓ ＲｅｉＳ［４］［５］做了大量的工作， 化， 计算机取证要坚持两人或两人以上原则， 整个
朝阳处更为明显。于是， 质监部门组织有关单位， 会出现裂缝。ｅ．板负筋下沉产生的裂缝。在施工过 马凳在混凝土浇筑过程中不移位， 保证负筋不下
首先对房屋沉降量和倾斜度进行复查， 结果都在 程中， 由于施工人员野蛮操作， 任意踩踏钢筋， 致 沉， 从而有效控制负筋保护层的厚度， 不使板负筋
家进行［７］。２．２ 尽早搜集电子证据， 并保证其没有受 保密技术能够保证原始数据及分析鉴定过的计算
计算机取证也称数字取证、电子取证， 是指 到任何破坏。有些数据是不稳定的， 随着计算机系 机证据的可靠传输。３．４ 分析计算机证据。对含有
对计算机入侵、破坏、欺诈、攻击等犯罪行为， 利用 统的运行会发生改变， 如内存、交换区、网络数据、 计算机证据的计算机系统或网络进行分析， 发现
健全上， 急需颁布相关的、完善的法律法规， 设立 可能会被认为违背了当地的安全政策或侵犯了隐 对关键数据进行记录。当有未经授权的网络访问
专门的法律执行调查取证机构， 规范计算机取证。 私， 并将对此结果负责。２．９ 确认取证动作是可重 或直接的网络攻击（如端口扫描、系统探测、ＳＹＦ－
目前， 在广东、北京和上海等发达省市均己建立专 复的。任何独立的第三方都能以相同的取证动作 Ｆｌｏｏｄ 攻击）等情况时， 本系统的识别和获取模块就
全、分析和归档的过程， 各研究机构与公司也在进 一致。２．５ 不要直接对原始数据进行分析， 所有的 提交七大模块。其系统模块组成如图 １ 所示。
一步优化现有的各种工具， 以提高利用工具进行 分析操作应该在备份数据上进行， 取证的中间或
电子证据搜集、保全、鉴定、分析的可靠性和准确 最终结果也不要和原始数据放在一起。２．６ 要确保
伸缩缝， 底层为 ２．２ｍ 车库层， 基础采用 Ｃ２０ 钢筋 开裂。调查中发现， 居多板角裂缝都处在遭受太阳 支架。ｃ．严格控制板面负筋保护层厚度。现浇板负
笼灌注桩。该小区于 ２００４ 年 １０ 月完工， 竣工验收 直接曝晒的朝阳面。ｄ．房屋过长未设置必要的伸缩 筋按设计要求都放在板上面， 有梁通过或隔断时
关键词： 计算机取证； 取证原则； 系统设计
引言
在产品开发方面， 自主开发适合我国国情的、能够 于取证的方法和工具必须经得起对等方验证。
近年来， 我国信息技术和信息产业的迅猛发 全面检查计算机与网络系统的计算机取证的工具
３ 基于网络的计算机取证系统设计
展， 计算机技术特别是因特网对我国政治、经济、 与软件己经迫在眉睫［６］。
从最初的仅是针对钱财的犯罪， 发展为针对政治、 某些数据， 且某些操作后果是不可恢复性的。所有 要用于从可疑主机或网络上自动提取出计算机证
军事、知识产权等多个领域的犯罪， 严重地危害了 的取证操作必须由具备计算机相关知识的取证专 据。３．３ 传输原始数据和计算机证据。通过认证和
我国的政治安全、经济安全和社会安定。
解释入侵的过程。计算机取证系统则是实现计算 能永远都找不回来， 收集数据时要按照数据的易 计算机证据从获取到提交法庭这段时间内没有被
机取证功能的软件工具。
逝性由强到弱的顺序来进行。２．３ 尽量不要在涉案 修改过。３．６ 鉴定计算机证据。确定计算机证据符
１ 计算机取证的发展与研究现状
计算机上运行程序， 特别是操作系统级程序， 对于 合证据的可采用法律标准。
如某市一开发商共建 ６ 层楼住宅 １５ 幢， 建筑面积 裂缝。大家知道， 水泥在常温下具有凝结硬化快， 定强度的情况下， 在其上面集中堆放建筑材料或
约 １０ 万平方米， 砖混结构， 初装修， 一梯二户用砖 水化热大等特点， 尤其在夏天， 混凝土浇筑后， 水 支模立撑， 这样带给现浇板的不是强度， 而是更多
看， １５ 幢房屋均存在深浅不一的裂缝。裂缝宽度在 伸缩缝， 由于缺少必要的伸缩缝， 当房屋的自由伸 Φ１０－ Φ１４ 的钢筋马凳， 纵横间距 ８００ｍｍ 左右来
０．２￣０．４ｍｍ 之间， 裂缝位置绝大多数处在板四角， 缩度达到或超过应设置伸缩缝要求的间距时， 也 固定负筋的位置， 并用电焊把马凳与负筋焊牢， 使
计算机软硬件技术， 按照符合法律规范的方式进 系统状态数据等， 在未保证证据收集完毕和评估 和犯罪事实相关联的全部数据资料。３．５ 存储计算