声明
严正声明：本站非期刊官网，非中介代理。
本站仅提供学术规范服务：快速预审、润色编辑服务、中英文查重、降重、去重服务、推荐合适的期刊投稿等学术规范服务。 如需提供学术规范服务请联系在线编辑。
国内刊号：11-1777/TP
国际刊号：1000-1239
发布日期:
作者：崔超远,李勇钢,乌云,王励成,
关键词：内存取证, 实时取证, 局部取证, 隐藏事件, 触发机制, 系统虚拟化技术,
内存取证是计算机取证科学的重要分支，能够提取和分析操作系统运行状态的数字证据，已经成为对抗网络犯罪的有力武器.现有内存取证方法大多是全面获取内存数据，因而包含大量冗余信息，为后续内存分析带来不便.此外，在取证时间点选取方面存在盲目性，尤其是对具有隐藏特性的恶意软件，无法准确地在攻击发生时进行实时取证.由于内存具有易失性和不可恢复性的特点，取证时间点与攻击过程不匹配将使得取证内容无法表征攻击行为，导致取证数据无效.针对以上问题，提出一种基于隐藏事件触发机制的内存取证方法ForenHD.该方法利用虚拟化技术实时监视目标虚拟机中的内核对象，并通过分析内核对象的逻辑连接关系和运行状态的变化来检测隐藏对象；然后以隐藏对象的发现作为内存取证的触发事件，通过内存映射提取隐藏对象的代码段信息，实现实时和局部内存取证.通过对多种隐藏对象取证的实验，证明了ForenHD的可行性和有效性.
来源：2018年第10期
《计算机研究与发展》期刊编辑部
严正声明：本站非期刊官网，非中介代理。
本站仅提供学术规范服务：快速预审、润色编辑服务、中英文查重、降重、去重服务、推荐合适的期刊投稿等学术规范服务。 如需提供学术规范服务请联系在线编辑。