1、隨著計算機科學與技術的飛速發(fā)展,無形之中也滋生了驚人規(guī)模的計算機犯罪活動,這些計算機犯罪活動每年都會給全世界帶來巨大的經(jīng)濟損失。電子證據(jù)的獲取是偵破計算機犯罪活動的關鍵,所以近年來計算機取證領域已經(jīng)成為科研工作者們重點關注的熱門領域。如何安全而有效地進行計算機取證工作,是目前該領域亟需解決的問題之一。
　　計算機取證的方式主要分為靜態(tài)取證和在線取證兩種方式。其中靜態(tài)取證側(cè)重于存儲在持久化硬件設備中的電子證據(jù),獲取電子證據(jù)之前需要停

2、止被取證計算機系統(tǒng)的運行。而在線取證則突破了靜態(tài)取證的這一限制,并且把電子證據(jù)的采集范圍擴大到了系統(tǒng)動態(tài)信息。但是在線取證依然面臨著取證工具自身的安全性受到威脅和某些情況下需要中斷被取證計算機系統(tǒng)運行的問題。
　　本論文提出了基于硬件輔助虛擬化技術的VAIL在線取證系統(tǒng),主要創(chuàng)新點有:1)提出了一種靜默安裝虛擬機監(jiān)視器的方法,取證系統(tǒng)載入過程中并不會影響到被取證計算機系統(tǒng)的正常運行。2)使用半穿透驅(qū)動技術讓整個虛擬機監(jiān)視器的體積盡

3、可能地小,降低了虛擬機監(jiān)視器本身出現(xiàn)安全漏洞的概率。3)取證內(nèi)容覆蓋了整個計算機系統(tǒng)的各項活動,包括CPU取證、內(nèi)存取證和I/O取證。
　　其中CPU取證是利用Intel VT-x技術在發(fā)生虛擬機退出事件時把處理器相關寄存器的值都保存在VMCS結(jié)構體中,內(nèi)存取證則是通過EPT頁異常處理函數(shù)實現(xiàn),I/O取證又細分為編程式端口訪問、內(nèi)存映射和直接內(nèi)存訪問三種方式分別取證。
　　最后本文通過一系列的實驗證明,VAIL系統(tǒng)確實能夠安