[发明专利]实现对远程取证目标终端进行协同取证分析的方法及系统

权利要求书

1.一种实现对远程取证目标终端进行多人协同取证分析的方法，其特征在于，所述的方法包括以下步骤：

(1)远程取证目标终端接收数个取证分析脚本；

(2)所述的远程取证目标终端将各个取证分析脚本分解为对应的数个基本操作单元序列；

(3)所述的远程取证目标终端判断所有的取证分析脚本对应的基本操作单元序列中是否存在重复的基本操作单元序列，如果是，则继续步骤(4)，否则继续步骤(5)；

(4)所述的远程取证目标终端合并重复的基本操作单元序列，并继续步骤(5)；

(5)所述的远程取证目标终端将所述的基本操作单元序列与取证分析数据对象进行关联；

(6)所述的远程取证目标终端根据所述的基本操作单元序列对其关联的取证分析数据对象进行相应的操作。

2.根据权利要求1所述的实现对远程取证目标终端进行多人协同取证分析的方法，其特征在于，所述的分析数据对象包括原始取证镜像文件对象、基本分类结构对象和内容详细信息对象，所述的基本操作单元序列包括原始取证镜像文件操作序列、基本分类结构操作序列和内容详细信息操作序列，所述的远程取证目标终端将所述的基本操作单元序列与取证分析数据对象进行关联，具体为：

所述的远程取证目标终端将原始取证镜像文件对象与原始取证镜像文件操作序列进行关联，所述的基本分类结构对象与所述的基本分类结构操作序列进行关联，以及所述的内容详细信息对象和所述的内容详细信息操作序列进行关联。

3.根据权利要求1所述的实现对远程取证目标终端进行多人协同取证分析的方法，其特征在于，所述的方法还包括取证服务器，步骤(1)之前，还包括以下步骤：

(0)所述的取证服务器将用户输入的操作转换为对应的取证分析脚本，并将所述的取证分析脚本发送至所述的远程取证目标终端。

4.根据权利要求1所述的实现对远程取证目标终端进行多人协同取证分析的方法，其特征在于，所述的步骤(6)之后，还包括以下步骤：

(7)所述的远程取证目标终端得到取证分析结果数据，并将该取证分析结果数据保存至共享数据库中。

5.一种基于权利要求1所述的方法实现对远程取证目标终端进行多人协同取证分析的系统，其特征在于，所述的系统包括：

取证服务器，用以将用户输入的操作转换为对应的取证分析脚本，并将所述的取证分析脚本发送至所述的远程取证目标终端；

取证脚本解释器，设置于所述的远程取证目标终端内，用以将各个取证分析脚本分解为对应的数个基本操作单元序列，并将所述的基本操作单元序列与取证分析数据对象进行关联。

6.根据权利要求5所述的实现对远程取证目标终端进行多人协同取证分析的系统，其特征在于，所述的取证脚本解释器包括文件解析操作单元、系统删除恢复文件操作单元、签名删除恢复操作单元、文件签名分析操作单元、音视频编解码操作单元、数据区删除恢复操作单元、属性搜索操作单元、关键字搜索操作单元和数据库连接池操作单元。

7.根据权利要求6所述的实现对远程取证目标终端进行多人协同取证分析的系统，其特征在于，所述的取证脚本解释器将所述的文件解析操作单元、所述的系统删除恢复文件操作单元和所述的签名删除恢复操作单元与原始取证镜像文件操作序列进行关联；所述的取证脚本解释器将所述的文件签名分析操作单元、所述的音视频编解码操作单元和所述的数据区删除恢复操作单元与基本分类结构操作序列进行关联；所述的取证脚本解释器将所述的属性搜索操作单元、所述的关键字搜索操作单元和所述的数据库连接池操作单元与所述的内容详细信息操作序列进行关联。

8.根据权利要求5所述的实现对远程取证目标终端进行多人协同取证分析的系统，其特征在于，所述的取证分析数据对象包括原始取证镜像文件对象、基本分类结构对象和内容详细信息对象。

9.根据权利要求8所述的实现对远程取证目标终端进行多人协同取证分析的系统，其特征在于，所述的原始取证镜像文件对象为所述的远程取证目标终端提取的原始取证数据；所述的基本分类结构对象包括图片对象、音频对象、视频对象、数据库文件对象、注册表文件对象和HTML文件对象；所述的内容详细信息对象包括文件属性索引、文件内容关键字索引、已解析注册表树形结构对象和已解析结构化文件对象。