基于Windows物理内存取证系统设计与实现

摘要：

随着信息安全技术的快速发展,数字取证调查技术已经成为重要技术之一.由于物理内存中包含计算机操作的大量信息,针对物理内存的实时取证分析已成为当前数字犯罪调查领域中的热点研究问题之一.文章通过研究物理内存获取技术,内存进程管理模式,信息关键词搜索技术等相关技术背景,实现对Windows物理内存的镜像获取,内存中的隐藏进程和异常进程的检测,内存中敏感信息的检测分析三方面功能.通过对用户主机进行调查检测,掌握用户大量的操作行为和有用信息,为计算机犯罪取证调查和信息安全检查提供了一种很好的方法手段.

关键词：计算机取证、物理内存镜像、进程、EProcess:字符匹配

分类号：TP393.08(计算技术、计算机技术)

资助基金：国家自然科学基金60903220

在线出版日期：2012-03-30（万方平台首次上网日期，不代表论文的发表时间）

页数：共4页

页码：50-53