论文部分内容阅读
当前虚拟机用户数量正以惊人的速度增长。虚拟机不仅可以作为犯罪分子进行不法活动的工具，也可成为其攻击或犯罪的对象。与此同时，将虚拟技术作为取证分析的手段或工具已成为计算机取证发展的必然趋势之一。在这种需求和背景下“虚拟取证”的研究具有重要的学术价值和现实意义。虚拟取证包括两个方面：一是基于虚拟机取证，就是将虚拟机技术作为取证分析的一种手段；二是虚拟机取证，即将虚拟机作为调查对象。本文重点在于虚拟机取证，同时也对基于虚拟机取证进行了研究，主要的研究成果包括：本文首先研究了虚拟机取证的理论与模型，包括概念，调查对象，取证模型等，特别是虚拟硬盘格式的解析，从分类及其格式，系统地总结归纳了虚拟硬盘的知识体系，并提出了虚拟硬盘层次映射模型（HM Model）。针对虚拟机取证的证据提交，本文全面分析了不同类型的虚拟机的的证据来源，分析了不同类型和状态下虚拟机的特点，提出了相应的提取方法。在虚拟机取证的证据分析方面，通过比较现有的分析方法，研究并设计了基于扫描的分析引擎，该引擎采用取证方法的分层模型，引入了虚拟层的概念，并实现了虚拟层映射接口，能将物理层输出的多种格式的虚拟硬盘转换成同一种格式的虚拟硬盘，从而可以利用传统计算机取证的分析方法实现虚拟机的取证分析。本文还研究了虚拟硬盘文件的碎片修复技术，引入用于数据定位的结构链和块结构的概念，提出了“结构链入口地址+块结构”的修复方法；研究并设计了虚拟硬盘文件碎片修复模型，该模型可作为分析引擎虚拟层的一个功能，同样达到使用传统分析方法进行调查分析。最后，研究了基于虚拟机的取证技术，该部分分为两个部分：一是采用P2V技术将物理系统转换成虚拟系统，改进了传统虚拟仿真工具的流程，能减少中间环节，提高虚拟机启动的成功率；二是研究并设计了一种虚拟取证平台，该平台可为每个调查人员分配调查机模板，支持远程办公等功能，弥补当前调查人员忽视调查机规范的问题。本文是国内计算机学科相关领域的首篇研究生论文，可作为国家司法、公安以及计算机取证的国内外学术交流提供了翔实的资料和初步的研究成果。