[发明专利]一种基于GoIP设备的自动化取证方法及系统

权利要求书

1.一种基于GoIP设备的自动化取证方法，其特征在于，包括以下操作：

S1，PC机与GoIP设备连接：将PC机与GoIP设备采用网线连接；

S2，PC机与GoIP设备的连接配置：配置IP，建立PC机与GoIP设备的连接，配置IP分为静态IP地址配置、动态IP地址配置；

所述静态IP地址配置是在PC机上启动一个ARP扫描服务，获取与PC机使用网线相连接的GoIP设备上配置的IP地址，并将PC机与GoIP设备相连接的网卡设置为GoIP设备同网段的IP地址，实现PC机到GoIP设备的访问；

所述动态IP地址配置是在PC机上启动一个DHCP服务，等待与PC机使用网线相连接的GoIP设备来向DHCP服务器申请IP地址；在GoIP设备分配到IP地址后，PC机也向DHCP服务申请同网段的IP地址，实现PC机到GoIP设备的访问；

S3，GoIP设备的识别：检测识别GoIP设备属于哪个厂家的产品，获得该设备的取证规则；

S4，取证：根据获得的取证规则，将GoIP设备各类数据导出到PC机上并计算文件哈希，提取重要数据并生成取证报告文档。

2.根据权利要求1所述的基于GoIP设备的自动化取证方法，其特征在于，S1中所述GoIP设备有多个以太网口，选择具有PC标识的网口，如果没有则任意选择其中一个LAN口或ETH口。

3.根据权利要求1所述的基于GoIP设备的自动化取证方法，其特征在于，

在动态IP地址配置时，如果GoIP设备获取IP的等待时间超过预设时间，GoIP设备没有向DHCP服务申请IP，则判定GoIP上配置了静态的IP地址，那么PC机向GoIP设备发送ARP协议的数据包，询问GoIP设备的IP地址；

如果GoIP设备已经配置了静态IP地址，则通过ARP协议获取IP地址，并给PC机的网卡自动配置与GoIP设备相同网段的IP地址以使PC与GoIP设备相连通。

4.根据权利要求1所述的基于GoIP设备的自动化取证方法，其特征在于，S3中检测识别GoIP设备是预先提取现有不同GoIP设备的指纹特征并形成信息库，GoIP设备与PC机连接后，根据信息库的储备的指纹特征与 GoIP设备进行比对判断出该GoIP设备的厂家、产品信号相关信息。

5.根据权利要求1所述的基于GoIP设备的自动化取证方法，其特征在于，在生成取证报告文档后，用户可将本报告和导出的证据拷贝、导出或打印，将报告远程发送给技术支撑，便于技术支撑方根据报告中的目标快速地进行更深层取证和溯源。

6.一种基于GoIP设备的自动化取证系统，其特征在于包括：

DHCP服务器：用于PC机和GoIP设备的IP地址自动分配；

ARP扫描器：用于已配置IP地址的GoIP设备的IP地址扫描，通过ARP协议数据包，主动探测GoIP设备的IP地址；

网卡管理器：用于对PC机的网卡进行配置管理，所述网卡管理器自动化的备份原PC机的网络配置，根据GoIP设备的配置情况针对性的将PC机的网卡自动配置成和GoIP设备相同网段的IP；当取证完成后，自动恢复原PC机的网卡配置；

GoIP设备识别器：用于识别连接的GoIP设备的厂家和型号；

数据采集器：用于已识别GoIP设备的内部数据采集和存储；

数据哈希计算器：用于已采集的GoIP设备的证据数据的哈希校验，保证取证数据没有被篡改；

报告生成器：用于GoIP设备已采集数据的可视化生成和展示，形成一个完整易读的整体报告和证据内容索引，便于用户从杂乱的证据数据中快速概览和定位重要数据，帮助用户理解证据的结构和内容。

7.根据权利要求6所述的一种基于GoIP设备的自动化取证系统，其特征在于：所述GoIP设备识别器根据已收集到的各厂家设备的软件特征与当前已连接的GoIP设备的信息进行比对，确定当前已连接的GoIP设备的厂商和型号。

8.根据权利要求6所述的一种基于GoIP设备的自动化取证系统，其特征在于：所述数据采集器根据不同厂商和型号的GoIP设备，自动选择相应的数据采集规则进行GoIP证据数据提取，将采集的证据数据存储到PC机磁盘上。