[发明专利]一种基于硬件虚拟化的模块化计算机取证系统及其方法

摘要

一种基于硬件虚拟化的计算机模块化实时取证系统及其方法，包括初始化驱动、系统控制中心、系统支持模块组和取证功能模块组；本方法基于硬件虚拟化技术，在操作系统运行时通过初始化驱动搭建轻量化虚拟机，并在系统控制中心提供硬件虚拟化平台的支持和所有子模块的管理；系统支持模块组为取证模块组提供所有基础功能的支持；本方法规范了取证功能模块组的接口，支持模块的复用和扩展，使取证工具能够关注核心功能，减少大量重复工作；本发明不修改目标操作系统的任何代码，性能损耗低，内存占用少，建立了一个安全可信的实时取证基础平台，为各类基于虚拟化的取证工具的实现提供了便利。

主权项

一种基于硬件虚拟化的模块化计算机取证系统，其特征在于：包括初始化驱动、系统控制中心、系统支持模块组和取证功能模块组；取证系统为各取证工具的实现提供便利，各取证工具即为取证功能模块组的各模块，由系统控制中心统一管理，其中，取证系统的基础支持功能可以通过增加系统支持模块或修改现有的系统支持模块实现扩展；所述初始化驱动用于在运行的操作系统中部署和卸载取证平台，并在初始化过程完成后将控制权交给系统控制中心；所述系统控制中心提供硬件虚拟化平台支持，控制初始化过程和卸载过程，以及对硬件虚拟化平台截获的目标操作系统的事件进行预处理、并提供给取证功能模块组；所述系统支持模块组基于系统控制中心实现系统的基础功能，包括为SMP系统提供多核间的信号传播功能的信号模块、外部控制模块、监视目标操作系统的内存行为的内存虚拟化模块、和实时获得操作系统中的重要证据的虚拟机内省模块；所述取证功能模块组由若干个取证模块组成，为所需监视的事件提供事件响应接口来跟踪系统状态和收集证据，并在取证平台的支持下完成初始化、卸载和外部控制。