鄢喜爱　常卫东　谭　敏

(湖南警察学院信息技术系　湖南 长沙 410138)

(网络犯罪侦察湖南省普通高等学校重点实验室　湖南 长沙 410138)



基于布鲁姆过滤器的计算机动态取证技术研究

鄢喜爱常卫东谭敏

(湖南警察学院信息技术系湖南 长沙 410138)

(网络犯罪侦察湖南省普通高等学校重点实验室湖南 长沙 410138)

摘要静态取证时效性不足，动态取证则可获得更为真实、实时的证据。动态取证最关键的是证据识别。证据识别本质上是对网络数据流进行分类，以判断其行为是合法还是非法。布鲁姆过滤器采用一个位串表示数据集合并有效支持元素的哈希查询，从而被广泛应用于包分类算法中。首先对标准布鲁姆过滤器算法进行分析，并对算法存在的缺陷进行改进。在此基础上，设计一个基于布鲁姆过滤器的分布式计算机动态取证系统，并采取安全有效措施对证据进行传送。实验表明：该系统能对网络攻击行为进行动态地检测，且检测准确率高、误判率低。

关键词信息安全计算机取证布鲁姆过滤器动态取证

RESEARCH ON DYNAMIC COMPUTER FORENSICS BASED ON BLOOM FILTERS

Yan XiaiChang WeidongTan Min

(Department of Information Technology,Hunan Police Academy,Changsha 410138,Hunan,China)(Key Laboratory of Network Crime Investigation,Colleges of Hunan Province,Changsha 410138,Hunan,China)

AbstractStatic forensics is short in timeliness, while dynamic forensics can achieve more authentic and real-time evidences. Evidence identification is pivotal to dynamic forensics. The essence of evidence identification is to classify the network data flow so as to judge whether the behaviours are legal or illegal. Bloom filter represents the data set with a bit string and effectively supports hash query on membership, so that it is used widely in packet classification algorithm. In this paper we first analyse the standard Bloom filter, and improve its defects. Based on these, we design a Bloom filters-based distributed dynamic computer forensics system, and employ secure and effective means to transmit evidences. Experiment shows that this system can dynamically detect network intrusion behaviours with high detection accurate rate and low false positives.

KeywordsInformation securityComputer forensicsBloom filterDynamic forensics

0引言

随着互联网的普及，网络犯罪的案件呈多发态势。计算机取证的任务是提取真实、完整、具有法律效力的电子证据。计算机取证技术分为静态取证和动态取证两种：静态取证多为案发后对存储介质的数据进行分析，动态取证则是实时地监控系统数据，一旦有可疑现象，则进行告警并进行证据提取。从时效性和真实性等方面考虑，动态取证要优于静态取证，但动态取证的复杂度高，在海量的网络数据中搜寻电子证据，宛如大海捞针。……