在线取证分析系统

在线取证分析系统技术简介广东天海威数码技术有限公司一、系统概述电子数据在线分析是指在现场不关闭电子设备的情况下直接分析和提取电子系统中的数据。

主要包括：提取易丢失数据（目标计算机的系统信息、当前运行的程序及当前的内存等）；提取特定数据；提取数据的存储（提取的数据通过USB或者1394接口自动存储到外接设备）；在线取证分析监管系统（全程监管取证过程）；生成符合规定的取证文书。

二、系统技术原理（一）系统组成在线取证分析系统由下列子系统组成：1、存储媒介获取子系统2、易丢失数据获取分析子系统其中，存储媒介获取子系统基于WINPE光盘启动，负责获取宿主机FAT16、FAT32、NTFS、EXT2等各种文件系统格式的数据，支持整个存储媒介的复制、也支持复制特定的分区或存储区域。

获取的数据通过USB或者1394接口自动存储到外接设备中。

易丢失数据获取分析子系统基于光盘运行，通过对在线的目标主机的易丢失数据进行在线取证分析，在目标主机不关机的情况下，直接分析和提取目标主机系统中的易丢失数据，并将提取的数据通过USB或者1394接口自动存储到外接设备中。

系统支持对目标主机的当前系统基本信息、网络连接状态、当前打开网络服务端口的应用程序、当前访问网络的应用程序、当前被打开的文件、当前打开文件的应用程序、当前正在运行的进程、内存中存储的信息（包括物理内存和各个应用程序）、系统自启动应用程序等易丢失数据的获取、分析。

（二）系统结构如图所示，在线取证分析系统由存储媒介获取子系统、易丢失数据获取子系统、数据分析模块、过程监管模块、数据提取模块组成：1、数据提取模块: 负责将犯罪现场所收集到的电子证据,采用MD5等摘要生成算法即时生成摘要，并能将电子证据保存电子证据数据库中以方便管理和使用，同时，采用数字签名和时间戳技术，对取证人员的身份进行识别确认。

2、数据分析模块: 负责对系统获取的易丢失数据进行解码及分析。

它针对不同时间系统获取的进程、网络连接等多种易丢失数据，从中两者之间的数据差异，找出危害行为留下的痕迹；3、过程监管模块：主要实现详细记录在线取证过程中操作情况，包括：①取证过程记录；②取证人员操作记录，包括登录、注销、操作过程；③系统工作记录，包括系统工作情况、异常情况、维护情况。

4、存储媒介获取子系统: 负责提取宿主机的存储媒介中的数据，支持整个存储媒介的复制、也支持复制特定的分区或存储区域。

系统支持包括FAT16、FAT32、NTFS、EXT2等格式的多种文件系统；5、易丢失数据获取子系统: 负责提取宿主机的易丢失数据，包括当前系统基本信息、网络连接状态、当前打开网络服务端口的应用程序、当前访问网络的应用程序、当前被打开的文件、当前打开文件的应用程序、当前正在运行的进程、内存中存储的信息（包括物理内存和各个应用程序）、系统自启动应用程序等；（三）主要模块说明1、数据提取模块本模块综合使用了时间戳公证、MD5校验和数字签名技术，取证人员在收集在线目标主机过程中得到的原始数据会做时间标记；包含时间戳的原始数据经过MD5校验，会在数据包中增加MD5校验值（摘要）；包含校验值（摘要）的原始数据经过特定的加密算法进行加密运算，并增加取证人员的数字签名证书，最后系统会将包含了时间戳、MD5校验值、数字签名等信息的原始取证数据自动存储到外部设备去。

2、数据分析模块本模块实现对不同时间获取的易丢失数据快照的解码、比对操作，发现其中的数据差异，包括：网络连接差异；系统基本信息差异；网络服务端口差异；网络访问差异；访问文件差异；应用程序差异；进程差异；物理内存差异；应用程序内存差异；系统自启动应用程序差异。

3、过程监管模块过程监管模块主要实现详细记录在线取证过程中操作情况，包括：①取证过程记录；②取证人员操作记录，包括登录、注销、操作过程；③系统工作记录，包括系统工作情况、异常情况、维护情况。

4、存储媒介获取子系统（1）组成存储媒介获取子系统由数据搜索、数据复制两部分组成，系统采用WINPE光盘启动方式运行，不对宿主机存储媒介进行任何写操作，同时在运行过程中调用过程监管模块监管操作全过程，复制数据时同时调用数据提取模块生成MD5等校验值。

①数据搜索：从宿主机存储媒介中寻找包含特定特征的文件。

②数据复制：从宿主机存储媒介中复制数据到USB或1394端口连接的外部存储媒介。

（2）结构原理数据搜索模块负责从宿主机存储媒介上搜索特定的文件、存储区域，包括各种特征的文件、被删除文件、存储区域等，用户根据搜索结果调用数据复制模块将指定的文件、被删除文件、整个存储媒介、特定分区或特定的存储区域复制到外部存储媒介，同时调用数据提取模块对复制的数据进行MD5校验和数字签名。

过程监管模块负责对搜索、复制全过程进行日志记录。

（3）主要模块说明①数据搜索模块搜索指定特征的信息，包括文件、被删除文件、存储区域等。

本模块支持对FAT16、FAT32、NTFS、EXT2等格式的文件系统进行快速搜索。

②数据复制模块将用户指定的文件、存储媒介、分区、存储区域快速复制到外部存储媒介中。

本模块支持对FAT16、FAT32、NTFS、EXT2等格式的文件系统进行快速复制。

5、易丢失数据获取子系统（1）组成易丢失数据获取子系统由数据获取、解码分析两部分组成，系统采用光盘运行方式运行，不对宿主机存储媒介进行任何写操作，同时在运行过程中调用过程监管模块监管操作全过程，获取数据时同时调用数据提取模块生成MD5等校验值。

（2）结构原理数据获取模块从宿主机系统中获取各种易丢失数据，包括：①当前系统基本信息；②网络连接状态；③当前打开网络服务端口的应用程序；④当前访问网络的应用程序；⑤当前被打开的文件；⑥当前打开文件的应用程序；⑦当前正在运行的进程；⑧物理内存中存储的信息；⑨应用程序内存中存储的信息；⑩系统自启动应用程序。

解码分析模块负责对数据获取模块获取的各种易丢失数据进程解析，并向用户提交表格时可阅读结果。

同时对不同时间获取的各种易丢失数据快照进行比对，从中发现、定位发生差异的数据。

（3）主要模块说明①数据获取模块数据获取模块负责从宿主机系统中获取各种易丢失数据，包括：①当前系统基本信息：包括操作系统类型、版本、MAC、存储媒介ID、登陆用户、登陆时间、操作系统状态等；②网络连接状态：包括协议、本地地址、远程地址、本地端口、远程端口、关联进程、连接状态等；③当前打开网络服务端口的应用程序：包括进程ID、服务程序关联文件、协议类型、服务端口、帮定地址、客户地址、客户端口、状态等；④当前访问网络的应用程序：包括进程ID、应用程序关联文件、协议类型、应用程序端口、本地地址、访问地址、访问端口、状态等；⑤当前被打开的文件：包括文件名称、存储地址、关联的应用程序、文件建立时间、访问时间、修改时间、文件属性等；⑥当前打开文件的应用程序：包括进程ID、应用程序关联文件、应用程序访问的文件、文件建立时间、访问时间、修改时间、文件属性、文件版本版权等；⑦当前正在运行的进程：包括进程ID、关联文件、调用的模块文件、关联文件和调用文件的文件建立时间、访问时间、修改时间、文件属性、文件版本版权、网络连接、网络服务等；还包括进程使用的系统资源、内存资源、CPU资源等信息；⑧物理内存中存储的信息：包括字节数、内容等；⑨应用程序内存中存储的信息：包括进程ID、关联文件、字节数、内容等；⑩系统自启动应用程序：包括关联文件、启动参数、启动位置等。

②解码分析模块解码分析模块负责对数据获取模块获取的各种易丢失数据进程解析，并向用户提交表格时可阅读结果。

同时对不同时间获取的各种易丢失数据快照进行比对，从中发现、定位发生差异的数据。

包括：①当前系统基本信息的变化：包括当前登陆用户、登陆时间、操作系统状态等信息的变化；②网络连接状态：包括网络连接的建立、销毁、连接状态等信息的变化；③当前打开网络服务端口的应用程序：包括服务端口的建立、关闭、建立连接、销毁连接、连接状态等信息的变化；④当前访问网络的应用程序：包括建立网络访问连接、关闭网络访问连接、连接状态等信息的变化；⑤当前被打开的文件：包括文件的打开、关闭、复制、修改、写入等信息的变化；⑥当前打开文件的应用程序：包括文件的打开、关闭、修改、写入等信息的变化；⑦当前正在运行的进程：包括调用的模块、关联文件、网络连接、网络服务、访问状态等信息的变化；还包括进程使用的系统资源、内存资源、CPU资源等信息的变化；⑧物理内存中存储的信息：包括字节数、内容等信息的变化；⑨应用程序内存中存储的信息：包括字节数、内容等信息的变化；⑩系统自启动应用程序：包括关联文件、启动参数、启动位置等信息的变化。

三、主要技术指标1.启动光盘保证对宿主系统只读。

2.启动光盘支持识别各种1394和USB接口的外部存储设备。

3.启动光盘保证对1394和USB接口接入的存储设备可写。

对存储媒介获取软件最高获取速度达到2G字节每分钟。

4.存储媒介获取软件支持获取FAT16、FAT32、NTFS、EXT2等在线取证分析系统技术简介各种文件系统格式的数据，支持整个存储媒介的复制、也支持复制特定的分区或存储区域。

5.存储媒介获取软件支持在复制过程中计算存储媒介上的数据的MD5校验值。

6.易丢失数据获取软件应支持获取当前系统基本信息、网络连接状态、当前打开网络服务端口的应用程序、当前访问网络的应用程序、当前被打开的文件、当前打开文件的应用程序、当前正在运行的进程、内存中存储的信息（包括物理内存和各个应用程序）、系统自启动应用程序等各种易丢失数据。

7.支持获取LINUX和WINDOWS上的易丢失数据。

8.提取易丢失数据应获取文件名（完整路径）、文件的时间信息、文件的完整性校验值。

9.支持存储易丢失数据快照，支持将当前获取的易丢失数据快照与以前获取的易丢失数据快照进行比较，发现数据差异。

10.支持在获取数据过程中生成审计文档，描述数据的获取过程。

广东天海威数码技术有限公司11。