一种基于隐藏事件触发机制的内存取证方法

摘要：

内存取证是计算机取证科学的重要分支,能够提取和分析操作系统运行状态的数字证据,已经成为对抗网络犯罪的有力武器.现有内存取证方法大多是全面获取内存数据,因而包含大量冗余信息,为后续内存分析带来不便.此外,在取证时间点选取方面存在盲目性,尤其是对具有隐藏特性的恶意软件,无法准确地在攻击发生时进行实时取证.由于内存具有易失性和不可恢复性的特点,取证时间点与攻击过程不匹配将使得取证内容无法表征攻击行为,导致取证数据无效.针对以上问题,提出一种基于隐藏事件触发机制的内存取证方法ForenHD.该方法利用虚拟化技术实时监视目标虚拟机中的内核对象,并通过分析内核对象的逻辑连接关系和运行状态的变化来检测隐藏对象;然后以隐藏对象的发现作为内存取证的触发事件,通过内存映射提取隐藏对象的代码段信息,实现实时和局部内存取证.通过对多种隐藏对象取证的实验,证明了ForenHD的可行性和有效性.

关键词：内存取证、实时取证、局部取证、隐藏事件、触发机制、系统虚拟化技术

所属期刊栏目：55

分类号：TP309;TP316(计算技术、计算机技术)

资助基金：国家重点研发计划项目2018YFD0700302;中国科学院STS计划项目KFJ-STS-ZDTP-004

在线出版日期：2018-12-14（万方平台首次上网日期，不代表论文的发表时间）

页数：共13页

页码：2278-2290