一种基于隐藏事件触发机制的内存取证方法 | |
崔超远2; 李勇钢2; 乌云2; 王励成3 | |
刊名 | 计算机研究与发展 |
2018 | |
卷号 | 055 |
关键词 | 内存取证 实时取证 局部取证 隐藏事件 触发机制 系统虚拟化技术 |
ISSN号 | 1000-1239 |
其他题名 | A Memory Forensic Method Based on Hidden Event Trigger Mechanism |
英文摘要 | 内存取证是计算机取证科学的重要分支,能够提取和分析操作系统运行状态的数字证据,已经成为对抗网络犯罪的有力武器.现有内存取证方法大多是全面获取内存数据,因而包含大量冗余信息,为后续内存分析带来不便.此外,在取证时间点选取方面存在盲目性,尤其是对具有隐藏特性的恶意软件,无法准确地在攻击发生时进行实时取证.由于内存具有易失性和不可恢复性的特点,取证时间点与攻击过程不匹配将使得取证内容无法表征攻击行为,导致取证数据无效.针对以上问题,提出一种基于隐藏事件触发机制的内存取证方法ForenHD.该方法利用虚拟化技术实时监视目标虚拟机中的内核对象,并通过分析内核对象的逻辑连接关系和运行状态的变化来检测隐藏对象;然后以隐藏对象的发现作为内存取证的触发事件,通过内存映射提取隐藏对象的代码段信息,实现实时和局部内存取证.通过对多种隐藏对象取证的实验,证明了ForenHD的可行性和有效性. |
语种 | 中文 |
CSCD记录号 | CSCD:6344963 |
内容类型 | 期刊论文 |
源URL | [http://ir.hfcas.ac.cn:8080/handle/334002/97535] |
专题 | 中国科学院合肥物质科学研究院 |
作者单位 | 1.中国科学院合肥物质科学研究院应用技术研究所 2.中国科学院合肥物质科学研究院合肥智能机械研究所 3.中国科学院合肥物质科学研究院合肥智能机械研究所 4.北京邮电大学网络空间安全学院 |
推荐引用方式 GB/T 7714 | 崔超远,李勇钢,乌云,等. 一种基于隐藏事件触发机制的内存取证方法[J]. 计算机研究与发展,2018,055. |
APA | 崔超远,李勇钢,乌云,&王励成.(2018).一种基于隐藏事件触发机制的内存取证方法.计算机研究与发展,055. |
MLA | 崔超远,et al."一种基于隐藏事件触发机制的内存取证方法".计算机研究与发展 055(2018). |
个性服务 |
查看访问统计 |
相关权益政策 |
暂无数据 |
收藏/分享 |
除非特别说明,本系统中所有内容都受版权保护,并保留所有权利。
修改评论