季雨辰，伏 晓，石 进，骆 斌，赵志宏

(1.安徽理工大学计算机科学与工程学院，安徽 淮南 232001；2.南京大学 a.软件学院；b.国家保密学院，南京 210093)

1 概述

计算机取证是一门专门研究如何按照符合法律规范的方式收集、处理计算机犯罪证据的新兴学科，它能为计算机犯罪案件的调查审理提供关键技术支撑和主要裁判依据。入侵取证[1-2]是计算机取证中的一个分支，由于入侵取证在计算机犯罪中占了很大一部分，且其种类繁多、危害性大，因此近几年成为信息安全和法学研究者共同关注的热点。

事件重构是计算机入侵取证的关键环节。事件重构通过分析各类可获得的数据确定可能发生的事件，识别被调查事件的时间、关系、功能等因素，重构可能的事件序列，重现入侵行为过程，模拟犯罪场景。取证调查者对被入侵计算机进行证据收集、保存和分析后，处理结果会被提交到法庭上作为法律证据。但这些证据的可信度并不高，有时并不足够成为法庭证据。通过收集的证据判断入侵场景中事件是否发生，由分析证据重构得到事件发生的起始，经过和结果才能增加证据的准确性、可信度和可靠度，证据说服力和法律采信度才更高。

为此，本文论述入侵事件重构技术的最新发展状况，研究较为流行的入侵事件重构方法，总结并比较各种方法的优缺点。

2 入侵事件重构的研究背景

取证调查者在事件重构时普遍依赖于商业工具，如EnCase、Forensic Toolkit等，但这些工具的主要任务还处于从被分析系统中收集证据的阶段。……