王星博 阮强 张瑞霞

摘要：该系统设计了一个面向docker容器的电子取证系统。在该系统中，以对docker的文件管理系统Overlay2的特点和作用原理的研究为基础，编程实现文件哈希值的提取、已删除文件的恢复、容器历史进程的记录、关键字搜索等功能。

关键词：docker;电子取证;文件系统

中图分类号：TP311        文献标识码：A

文章编号：1009-3044（2021）27-0143-02

1 背景

在当今社会的网络犯罪中，调查员在收集网络证据时面临着很多挑战，如大量的工作重点放在事后获取，调查员使用工具复杂繁多等等。这些无疑增加了调查网络犯罪的难度。而Docker提供得灵活快速的部署模型 （Datadog 公司， 2016） 以及基于大型生态系统的快速软件开发能力，Docker 具有能比肩Linux、Windows等常见操作系统的快速执行的特点和轻量且虚拟化的特点。这使它在特定软件开发过程中已经起到了非常广泛的作用，作为能支持分布式计算环境下的主要容器虚拟化的技术之一，Docker已经被大部分提供计算服务的系统平台所采用。在Docker和云计算技术紧密结合并高速发展的今天，基于Docker环境下的电子取证研究更需要人们深入关注、探索、开发。

但它依旧是一种相对较新的技术。虚拟环境下取证的困难和docker取证的研究工作较少，这使得docker在事件分析和调查取证方面的系统开发尚未被考虑到，而且随着现在的docker在生产环境的不断部署，这一现象正变得越来越严重。

2 系统的总体设计

系统整体模块层次图，如图1 所示。通过指向容器路径，获取容器ID，对容器的各个组件和文件系统进行取证分析。……