肖应君 刘朝晖

南华大学计算机科学与技术学院 湖南 421001

0 引言

网络证据就是网络中的电子证据，电子证据是指在计算机或计算机网络工作中的过程中形成的，以数字技术为基础的，能够反映计算机工作状态、网络活动以及具体思想内容等事实的各类电子数据或电子信息，如电磁或光电转换程序、数据编码与数据交换方式、命令与编程、被命名为病毒的破坏性程序、文字与图象处理结果、数字音响与影像等等。网络取证可描述成这样一组行为：首先工作人员对网络审计线索进行捕获，然后记录并分析，从结果中发现安全漏洞或其它信息保障问题的根源，因此，可将网络过程大致划分为：证据获取、分析和法庭展示三个阶段。

1 网络取证

网络取证技术要借助一些其它相对成熟的网络安全防御技术，如防火墙，入侵检测技术、陷阱、网络追踪技术、计算机动态取证技术等，然而一个相对安全的综合防御系统，则需要这些网络安全防御技术综合应用。

网络追踪系统就是借鉴了路由反向追踪算法的思想。当回应黑客的访问请求时，系统对返回的数据包进行处理，在数据包中添加特殊的标记，然后才发送给黑客。同时通知分布在大大小小各个网络中的AGENT，要求它们开始对数据进行分析，筛选出带特殊标记的数据包，并把详细信息发送给数据分析控制台。接下来由控制台对发送过来的数据进行分析处理，输出黑客的真实地址或黑客最后出现的网络边界地址。……