[发明专利]实现对远程取证目标终端进行协同取证分析的方法及系统

说明书

技术领域

本发明涉及取证分析领域，尤其涉及远程协同取证分析领域，具体是指一种实现对远程取证目标终端进行协同取证分析的方法及系统。

背景技术

在数字取证过程中，对取证数据的分析过程往往依赖于取证人员个人经验和思考判断来选择恰当的分析方法来实现对取证数据的检测及分析，因为取证人员对取证数据的分析往往会涉及到多种分析方法，例如文件系统分析、日志分析及本地用户数据分析等。这种个人主观选择取证分析方法不但不利于对取证数据的充分有效利用，还对取证效率产生了负面影响。此外，需要进行取证鉴定的案件数量逐年激增，但是取证人员数量有限，无法及时到达现场展开取证，且个人经验有限，难以全方面的进行取证。

综上所述，如何基于联动协同原理提出有效的、满足取证要求的数字取证分析方案在分析过程中提高对取证数据的利用率方面和提升取证分析的精准度方面占据着重要的地位。

发明内容

本发明的目的是克服了上述现有技术的缺点，提供了一种通过取证脚本解释器将取证脚本解释为具体的取证行为，并合理地合并优化取证行为，提高数字取证的可靠性和分析处理效率的实现对远程取证目标终端进行协同取证分析的方法及系统。

为了实现上述目的，本发明的实现对远程取证目标终端进行协同取证分析的方法及系统具有如下构成：

该实现对远程取证目标终端进行协同取证分析的方法，其主要特点是，所述的方法包括以下步骤：

(1)远程取证目标终端接收数个取证分析脚本；

(2)所述的远程取证目标终端将各个取证分析脚本分解为对应的数个基本操作单元序列；

(3)所述的远程取证目标终端判断所有的取证分析脚本对应的基本操作单元序列中是否存在重复的基本操作单元序列，如果是，则继续步骤(4)，否则继续步骤(5)；

(4)所述的远程取证目标终端合并重复的基本操作单元序列，并继续步骤(5)；

(5)所述的远程取证目标终端将所述的基本操作单元序列与取证分析数据对象进行关联；

(6)所述的远程取证目标终端根据所述的基本操作单元序列对其关联的取证分析数据对象进行相应的操作。

进一步地，所述的分析数据对象包括原始取证镜像文件对象、基本分类结构对象和内容详细信息对象，所述的基本操作单元序列包括原始取证镜像文件操作序列、基本分类结构操作序列和内容详细信息操作序列，所述的远程取证目标终端将所述的基本操作单元序列与取证分析数据对象进行关联，具体为：

所述的远程取证目标终端将原始取证镜像文件对象与原始取证镜像文件操作序列进行关联，所述的基本分类结构对象与所述的基本分类结构操作序列进行关联，以及所述的内容详细信息对象和所述的内容详细信息操作序列进行关联。

进一步地，所述的方法还包括取证服务器，步骤(1)之前，还包括以下步骤：

(0)所述的取证服务器将用户输入的操作转换为对应的取证分析脚本，并将所述的取证分析脚本发送至所述的远程取证目标终端。

进一步地，所述的步骤(6)之后，还包括以下步骤：

(7)所述的远程取证目标终端得到取证分析结果数据，并将该取证分析结果数据保存至共享数据库中。

此外，本发明还提供一种基于上述方法实现对远程取证目标终端进行多人协同取证分析的系统，其主要特点是，所述的系统包括：

取证服务器，用以将用户输入的操作转换为对应的取证分析脚本，并将所述的取证分析脚本发送至所述的远程取证目标终端；

取证脚本解释器，设置于所述的远程取证目标终端内，用以将各个取证分析脚本分解为对应的数个基本操作单元序列，并将所述的基本操作单元序列与取证分析数据对象进行关联。

进一步地，所述的取证脚本解释器包括文件解析操作单元、系统删除恢复文件操作单元、签名删除恢复操作单元、文件签名分析操作单元、音视频编解码操作单元、数据区删除恢复操作单元、属性搜索操作单元、关键字搜索操作单元和数据库连接池操作单元。

更进一步地，所述的取证脚本解释器将所述的文件解析操作单元、所述的系统删除恢复文件操作单元和所述的签名删除恢复操作单元与原始取证镜像文件操作序列进行关联；所述的取证脚本解释器将所述的文件签名分析操作单元、所述的音视频编解码操作单元和所述的数据区删除恢复操作单元与基本分类结构操作序列进行关联；所述的取证脚本解释器将所述的属性搜索操作单元、所述的关键字搜索操作单元和所述的数据库连接池操作单元与所述的内容详细信息操作序列进行关联。