[发明专利]一种基于物理内存分析的远程取证系统

说明书

技术领域

本发明涉及云取证分析领域，尤其涉及一种对远程目标终端物理内存镜像文件进行的取证分析，具体地讲，是指一种基于物理内存分析的远程取证系统。

背景技术

在电子数据取证过程中，对取证数据的分析过程经常依赖于取证人员个人经验和思考判断来选择恰当的分析方法来实现对电子取证数据的检测及分析，因为取证人员对取证数据的分析往往会涉及到多种分析方法。这种个人主观选择取证分析方法不但不利于对取证数据的充分有效利用，还对取证效率产生了负面影响。此外，需要进行取证鉴定的案件数量逐年激增，但是取证人员数量有限，无法及时到达现场展开调查取证，且个人经验有限，难以全方面的进行取证。在线证据主要保存在计算机物理内存中，因此对物理内存的分析是在线证据分析的关键。第三、当前的传统的在线取证方式是需要各类取证工具在目标计算机系统中运行，以完成数据的收集和分析工作，这使得证据的收集活动严重影响了证件的可信性，即使取得了一些证据，其完整性和真实性也很难得到证明，尤其随着核心态木马和反取证技术的发展，很多在线工具获取的数据很可能已被篡改。传统的取证方式首先获取磁盘(硬盘)的镜像文件，然后再对硬盘镜像文件进行搜索、分析、呈现等工作，硬盘镜像文件很容易被事先篡改，真实性和可信度不高。硕士论文基于数据恢复的远程计算机取证系统的研究与实现，使用远程控制实现了对数据、文件等系统的恢复，但是数据恢复模块，目标主机的系统资源占用率偏高、容易被犯罪嫌疑人发现；另一方面，远程取证系统只能运行在windows系统中，不支持linux等常见系统。发明专利CN103647791B公开实现的是对远程移动终端进行的取证，包括双向语音通话、视频传输及对远程控制端进行拍照，将拍照回传到PC端，属于传统取证方法的一种。此专利只是将语音通话、视频等信息进行传输，具体内容或许在传输前已经被改动，不能实时传输这些信息。

发明内容：

本发明要解决的技术问题是提供一种远程信息采集取证管理系统，帮助工作人员在海量内存分析结果中发现所需要的关键证据，通过分析目标主机的物理内存镜像文件，获取内存中运行的重要信息，大大提高了工作效率和电子证据的真实可信性。

本发明采用如下技术手段实现发明目的：

一种基于物理内存分析的远程取证系统，其特征在于，包括：

客户端：镜像客户端的物理内存，并存储到本地，并对镜像文件做hash值计算，然后调用物理内存分析命令行程序分析此镜像文件，将分析结果和镜像文件一起发送到服务端；

服务端：侦听客户端，若有客户端连接请求，服务端连接确认，连接成功，服务端收到客户端发来的开始发送信息的标示字符串，则开始接收客户端信息，主要收集客户端的物理内存镜像文件和对应的镜像文件分析结果，服务端采取多线程，能同时收集若干个客户端的物理内存镜像文件和内存分析结果信息，并将内存分析结果存储到hadoophive数据库；另一方面，与远程控制端建立连接，主要是向远程控制端发送客户端的日志信息，根据远程控制端的检索条件，从hadoophive数据库中查找符合条件的检索信息，发送到远程控制端进行展示；

远程控制端：主要管理服务端，通过远程管理服务来获取客户端的信息，并对客户端的日志信息进行展示，还有检索的功能，用户根据关键词可以获取到客户端的内存镜像分析结果，并提供导出功能，把检索结果和内存分析结果导出，便于取证人员进一步分析。

作为对本技术方案的进一步限定，所述客户端的日志信息包括客户端的ip地址、端口、传输的镜像文件名、内存分析文件结果和对应的md5值。

作为对本技术方案的进一步限定，所述客户端包括：

客户端通讯模块：建立与服务端之间的通讯，进行文件的传输；

客户端日志文件模块：通过调用EventLog.exe命令行程序，获取客户端主机的系统日志、安全日志、应用程序日志；

客户端物理内存镜像模块：调用MemDump驱动程序，镜像客户端主机的物理内存，流程，加载驱动，创建服务、打开服务、加载驱动，镜像物理内存、卸载驱动；

客户端物理内存分析模块：打开镜像的物理内存文件，分析出关键的客户端主机基本信息、注册表信息、邮箱账户、即时通讯账户信息、BIOS密码、硬盘加密密码和网络提交表单、网络信息、系统日志信息、登录信息、进程信息、驱动信息、hook信息并暂时存储到本地；

客户端传输模块：传输物理内存文件、物理内存分析结果文件、系统日志文件；

客户端存储模块：将要传输的物理内存文件、物理内存分析结果、系统日志文件暂时存储到本地。