DOI编码:10.3969/J.ISSN.1671-1122.2009.06.00?
1.南京邮电大学 计算机技术研究所, 江苏省 南京市 210003
2.南京邮电大学 计算机学院, 江苏省 南京市 210003
摘 要：给出“人+工具+证明”的取证模式，提出可信取证理念。从电子数据的静态属性可信性和取证方法动态行为的可信性两个方面对可信取证体系进行研究，以便最终形成可信的电子证据结果。建立基于瀑布模型的电子取证模型，从可信表达、可信分析、可信提取、可信固定以及可信发现等方面加以分析。
关键词：信息安全；可信取证；瀑布模型；有效性; 取证模型
中图分类号：TP309 文献标识码: A
The methods of trusted forensic based on waterfall model
SUN Guozi, YU Chao, CHEN Danwei, JIN Xianli
Institute of Computer Technology, Nanjing University of Posts & Telecommunications, Nanjing 210003;
College of Computer, Nanjing University of Posts & Telecommunications, Nanjing 210003
Abstract: After giving the forensic model of “man + tools + confirmation”, trusted forensic (TF) is proposed. From the trusted static attributes of digital data and trusted dynamic behavior of forensic method, the TF’s goal is to get the trusted result. According to the strict process of computer forensics, the computer forensics model is been built based on the waterfall model. Finally, the model is analyzed from five aspects, such as trusted expressing, trusted analyzing, trusted extracting, trusted fixing, and trusted discovering.
Key words: information security; trusted forensics; waterfall model; reliability; forensic model
0 引言
当前，随着互联网的飞速发展，计算机和网络在现代社会中所扮演的角色日益重要。同时，计算机犯罪也以惊人的速度增长，2007年上半年，网络仿冒事件和网页恶意代码事件，已分别超出2006年全年总数的14.6%和12.5%。为有效打击计算机犯罪，一方面要建立起一套健全的法律体系，另一方面由于计算机犯罪和计算机数据证据的特殊性，计算机数据取证必须遵循严格的过程和程序，建立一个从调查准备至证据呈现各个阶段均有效的取证模型。
1 研究现状及分析
1.1 研究现状
目前计算机取证研究除在传统技术方法上进一步发展外，计算机动态取证技术和形式化取证分析技术已成为主要的研究方向。
1) 计算机动态取证技术
计算机取证能否同入侵检测系统（Intrusion Detection System，IDS）结合仍然存在着激烈的讨论，争议存在，但入侵检测系统的引入已形成新的入侵管理概念和入侵管理模型[1]，并对计算机动态取证的研究产生了一定的影响。计算机取证同入侵检测系统结合的研究虽然取得了一些成果，但由于目前入侵检测技术自身并不完全成熟，而计算机取证又是对真实性、可靠性、完整性要求极为严格的法律过程，需要对两者结合所产生的可信性及其形式化的证明进行必要的研究。
蜜罐应用于计算机取证，主要优点是数据分析量大、证据收集完整。Yasinsac等人提出将计算机取证同蜜罐系统相结合，并给出两者结合的串行和并行框架模型[2]。文献[3]等提出基于主动防御的陷阱网络系统，记录网络犯罪证据和追踪网络入侵来源等。由于产品型蜜罐系统的设计思想是系统故意的不安全设置以引诱攻击者攻击，而研究型蜜罐虽然是对被保护系统的真实模拟，但攻击者即使成功侵入也只是侵入模拟系统，而并未造成真正的入侵事实。因此通过此类方法获得的证据信息在证据能力上还存在争议。蜜罐系统应用于计算机取证，除在技术上还需进一步发展外，更重要的是在法律上结合虚拟网络空间特点，需对此类证据信息的证据能力进行更为广泛的研究，以获得司法认可。
2) 形式化取证分析技术
文献[4]提出一种计算机取证分析过程的形式化分析框架模型。该模型从抽象层定义网络攻击、操作系统和取证过程三者关系，根据计算机取证的事件类型自动构建和更新取证分析过程和步骤。该模型存在以下问题：一是只能为取证调查人员提供事件信息，而不能对取证事件做出结论。二是只能对已知的攻击类型实现自动取证分析，因此必须通过其它方式识别和理解新的攻击特征，通过建模不断更新和维护取证系统。
文献[5][6]分别采用专家系统决策树和基于语意完整性检测的方法，实现取证分析过程的自动化但这些方法在不同程度上也存在应用范围局限等问题。国内方面，文献[7]等论述了数据挖掘等技术在数字证据发现中的应用，但也缺乏对取证有效性进行形式化的分析或证明，无法确认取证过程的可信度。
由上可见，计算机取证虽然能够在某种程度上实现分析过程的形式化和自动化，但最终还是离不开取证人员的经验和知识。
1.2 问题分析
现阶段关于计算机取证的研究主要有两大趋势：
(1) 从技术角度出发，把侧重点放在从特定平台中通过特定方法取得特定数据的研究上，并形成相应的电子数据取证模型；
(2) 从法律角度出发，将取证过程的合法化、合理化作为讨论重点，结合现有的对于刑事犯罪取证的方法和规范，阐述电子数据的取证。
从计算机取证的实际应用中看，当前对电子数据进行取证，依靠的是取证工作者和取证工具。采用这种“人＋工具”的取证模式，存在两个问题。
(1) 取证人员的经验素质对取证结果的影响较大。取证过程中会出现各种问题，一个高素质，经验丰富的取证人员对于取证现场的驾驭能力一般较强，能够更准确的判断取证现场情况，首先从“人”这一方面，较好地保证取证结果的完整性、一致性；而经验较少的人员失误的可能性会更大。
(2) 取证工具对于取证结果的影响较大。不可能有百分之百完美的工具，取证工具的一个小缺陷可以造成取证过程关键证据的缺失，这对于要求细致的取证工作是很不利的。
2 可信取证体系构建
研究过程中，考虑将当前的取证模式扩充为“人＋工具＋证明”，即在着眼于证据取得的同时，从理论上对于取证的有效性（可信取证）进行形式化证明，形成一套可信取证的证明体系，使得电子数据的取证系统更加完备，所取得的数据更具说服力。
可信这个概念早在彩虹系列的橘皮书就已有提及，其目标就是提出一种能够超越预设安全规则，执行特殊行为的运行实体。可信计算实现目的包括两个层面的意思：1) 保护指定的数据存储区，防止敌手实施特定类型的物理访问；2) 赋予所有在计算平台上执行的代码以证明它在一个未被篡改环境中运行的能力。在电子数据取证过程中，借用可信及可信计算的思想，建立可信取证的理论体系。可将电子数据可信取证分解为两个方面：1) 可信的静态属性，即电子数据本身的静态特征可信；2) 可信的动态行为，即由电子数据转换为证据所需的过程或行为可信。以此为基础，实现指定电子数据可信获取和可信分析。
针对我国法律体系，首先进行取证各步骤中所使用取证工具的可信取证研究，建立符合我国法律体系要求的电子数据可信取证模型。以此为基础，从原始数据静态属性的可信性和动态取证方法的可信性两方面来形式化证明所取得电子证据结果的可信性。提出电子数据可信取证自主版权工具的开发规范建议，最终形成电子数据可信取证形式化证明体系，为规范司法程序、建立健全我国电子数据取证的法律体系和专业建设提供必要的支持。
在具体的研究过程中，主要以理论研究与实践操作相结合的方法开展研究，利用电子数据可信取证模型及形式化分析和证明的相关理论为指导，实践电子数据可信取证自主版权工具的开发和应用规范。图1给出了具体的研究方案。
以研究现行使用的取证工具在我国法律体系下的可信性为先导，用以从法律角度保证技术的可信性；与此同时，为后续的研究工作提供必要的法律基础。
同时，考虑电子数据可信取证理论体系的基础为电子数据可信的静态属性以及可信的动态取证行为。基于此，使用基于Petri网的瀑布型可信取证工作流模型从技术的角度研究并规范可信的取证工作流程。可信取证模型的建立，为司法取证的有效性提供技术和法律方面的操作指南。
以上述工作流模型为基础，重点从可信发现、可信固定、可信提取、可信分析到可信表达几个层面对电子数据可信取证的过程进行形式化的分析。
(责任编辑：adminadmin2008)
