1、電子商務(wù)糾紛、計算機犯罪等涉及計算機調(diào)查的案件日益增多。日益增長的計算機取證調(diào)查業(yè)務(wù)和當前計算機取證分析模式的效率之間的矛盾成為時下影響計算機取證分析效率的主要矛盾。本文著重解決這一矛盾,完成了計算機取證協(xié)同分析系統(tǒng)的模型建立、系統(tǒng)實現(xiàn)與驗證。證明計算機取證協(xié)同分析能有效縮減證據(jù)分析所消耗的時間,在快速完成證據(jù)分析的情況下提高證據(jù)分析的準確性。
　　本論文進行的研究工作如下:
　　1.本論文分析了計算機取證的歷史與現(xiàn)狀,研究

2、了當前市場常見計算機取證分析工具的特點,發(fā)現(xiàn)現(xiàn)有主流取證產(chǎn)品存在處理速度不理想、I/O吞吐率不高、軟件錯誤多、無過程審計等方面的缺陷或不足。提出了通過多用戶跨地域、跨時域的協(xié)同分析,提高計算機取證分析效率,縮減海量數(shù)據(jù)分析時間的新一代取證分析產(chǎn)品解決方案。
　　2.本論文研究文件系統(tǒng)特點和常用文件系統(tǒng)數(shù)據(jù)恢復(fù)算法,提出文件系統(tǒng)數(shù)據(jù)的深度挖掘方法。論文整理了FAT文件系統(tǒng)和NTFS文件系統(tǒng)的數(shù)據(jù)恢復(fù)方法,研究了深度數(shù)據(jù)恢復(fù)技術(shù),綜合

3、整理反格式化數(shù)據(jù)恢復(fù)技術(shù)和文件挖掘技術(shù),通過整合兩個新技術(shù)的應(yīng)用,提出了文件深度挖掘方法。方法提高了計算機取證分析工具的數(shù)據(jù)恢復(fù)能力。
　　3.本論文對系統(tǒng)的需求進行分析,完成了系統(tǒng)總體架構(gòu)設(shè)計。系統(tǒng)采用C/S多層結(jié)構(gòu)設(shè)計,基于C++技術(shù)實現(xiàn)。系統(tǒng)由身份認證、分析行為監(jiān)管、關(guān)鍵字搜索、證據(jù)管理、數(shù)據(jù)恢復(fù)、書簽及報告生成等模塊組成。系統(tǒng)還提供了和現(xiàn)有案件管理系統(tǒng)的外部接口。
　　4.本論文實現(xiàn)了計算機取證協(xié)同分析系統(tǒng)。完成了用

4、戶身份認證模塊的設(shè)計和實現(xiàn),以及基于用戶身份的分析行為監(jiān)管模塊、計算機取證協(xié)同分析業(yè)務(wù)模塊的設(shè)計與實現(xiàn)。在協(xié)同分析業(yè)務(wù)模塊方面實現(xiàn)了虛擬文件系統(tǒng)支持的數(shù)據(jù)恢復(fù)、關(guān)鍵字搜索等協(xié)同分析模塊。論文還設(shè)計和實現(xiàn)了與案件管理系統(tǒng)的接口模塊。
　　5.最后本論文對系統(tǒng)的功能和性能驗證進行驗證。驗證了協(xié)同分析系統(tǒng)在計算機取證分析中的可用性。通過相同證據(jù)在不同系統(tǒng)進行證據(jù)分析所消耗的時間對比,驗證了計算機取證協(xié)同分析系統(tǒng)對于提高證據(jù)分析效率,縮短