1、隨著計算機網(wǎng)絡技術的發(fā)展和普及，計算機網(wǎng)絡安全越來越受到人們的關注和重視。網(wǎng)絡中存在著越來越多的非法攻擊行為，嚴重影響網(wǎng)絡的性能并威脅著個人隱私的安全。計算機取證技術正是在這種應用背景下發(fā)展起來的，它的目標就是對計算機系統(tǒng)和計算機網(wǎng)絡中發(fā)生的犯罪行為進行取證分析，獲取入侵事件的電子證據(jù)。 近些年來，計算機取證技術正在成為人們關注和研究的熱點學科之一，已經(jīng)發(fā)展了一批成熟的計算機取證技術和取證工具。在我國，計算機取證技術研究剛剛起步

2、，目前還沒有自己的關于計算機網(wǎng)絡取證的工具．本論文是在“面向大規(guī)模互聯(lián)網(wǎng)絡的信息安全保障體系研究”的背景下，對計算機網(wǎng)絡取證技術進行了研究，重點研究了日志的取證分析和完整性保護與驗證技術，設計和實現(xiàn)了基于系統(tǒng)日志的計算機網(wǎng)絡用戶行為取證分析系統(tǒng)。 首先，論文對計算機取證技術、電子證據(jù)和系統(tǒng)日志的相關概念進行了總結，介紹了Linux系統(tǒng)和Windows系統(tǒng)下常見的系統(tǒng)日志和應用程序日志，論證了日志作為電子證據(jù)的可行性，在此基礎上提

3、出了基于系統(tǒng)日志的計算機網(wǎng)絡取證的實現(xiàn)模型，并分析了計算機日志取證應該注意的問題。 其次，論文對日志取證過程中的關鍵問題進行了研究，包括日志的采集、傳輸、保存、分析和遞交等，其中日志的取證分析和完整性保護與驗證是研究的重點。日志的取證分析就是通過對海量日志數(shù)據(jù)進行分析來挖掘出與入侵事件相關的日志記錄，分為統(tǒng)計分析和關聯(lián)分析。統(tǒng)計分析是按照事件的類型設定日志記錄的屬性域的范圍或值來對日志數(shù)據(jù)庫進行掃描統(tǒng)計，總結出網(wǎng)絡和用戶的正常行

4、為規(guī)律，實現(xiàn)日志記錄的聚類，縮小分析的范圍，檢測出異常的日志記錄，判斷網(wǎng)絡中入侵事件的特征和發(fā)展趨勢。時間上的順序性是日志記錄的重要特征，大多數(shù)黑客入侵行為都不是獨立的，而是由多個階段組成的，這在日志系統(tǒng)中的表現(xiàn)就是對于一次入侵行為會在不同的網(wǎng)絡設備或不同的系統(tǒng)日志中進行記錄，這些記錄在時間上存在一個偏序關系，在某些屬性域存在相同的值。因此，作者提出了基于時間戳和多特征匹配的日志關聯(lián)分析方法，就是通過判斷日志記錄是否存在因果關系和時間上

5、的先后關系，以及是否存在屬性值相同的屬性域子集，從而找出存在關聯(lián)的日志記錄，實現(xiàn)對安全事件的重建。數(shù)據(jù)的完整性是計算機取證成功與否的關鍵，關系到取證分析結果是否具有法律效力。論文重點提出了利用SSL協(xié)議作為日志數(shù)據(jù)傳輸中的完整性保護方案，利用CES算法對日志數(shù)據(jù)的保存和抽取進行簽名保護，利用采集對象的選擇和日志模板對日志的內容的完整性進行驗證。 論文接著給出了系統(tǒng)的總體結構設計，并對子系統(tǒng)的模塊功能和工作流程進行了詳細描述，實現(xiàn)