[发明专利]一种面向数字取证的异常隐写检测分析方法及系统

权利要求书

1. 一种面向数字取证的异常隐写检测分析方法，其特征在于，包括以下步骤：

步骤1：从镜像文件获取待取证分析数据对象；

步骤2：对所述镜像文件的待取证分析数据对象进行异常分析，获得异常分析结果；

步骤3：根据所述异常分析结果判定待取证分析数据对象是否异常；

若存在异常，则生成异常检测报告，并顺序执行下述步骤4；

若不存在异常，则跳转执行下述步骤5；

步骤4：将存在异常的待取证分析数据对象标记为怀疑对象，同时将怀疑对象移动至观察区进行隔离； 

步骤5：对步骤1中获得的所述镜像文件的待取证分析数据对象或步骤4获得的怀疑对象进行隐写检测分析，获得隐写分析结果； 

步骤6：根据所述隐写分析结果判定异常隐写的可能性是否为0；

若隐写可能性为0，则回转执行所述步骤1；

若隐写可能性不为0，则顺序执行下述步骤7； 

步骤7：生成异常隐写检测报告，展现步骤2中获得的异常分析结果和步骤7中生成的异常隐写检测报告。

2.根据权利要求1所述的面向数字取证的异常隐写检测分析方法，其特征在于：步骤2中所述的对所述镜像文件的待取证分析数据对象进行异常分析，其具体实现过程是，首先按照数字取证规则对所述待取证分析数据对象进行局部标志特征异常分析，对所述待取证分析数据对象的主要特征进行识别并按照在异常检测分析中所起到作用的重要程度进行排序；然后依次对所述待取证分析数据对象的各个局部特征进行检测，检测到某特征存在异常则停止检测；否则，继续检测，直到最后一个特征检测完毕。

3.根据权利要求1所述的面向数字取证的异常隐写检测分析方法，其特征在于：步骤5中中所述的对步骤1中获得的所述镜像文件的待取证分析数据对象或步骤4获得的怀疑对象进行隐写检测分析，其具体实现过程是参照训练集和特征库中的异常隐写模型对待取证分析数据对象或被怀疑对象用统计特征分析法进行隐写检测分析。

4.一种面向数字取证的异常隐写检测分析系统，其特征在于：包括取证数据获取模块、异常检测分析模块、异常判定模块、异常处理模块、隐写检测分析模块、隐写判定模块和异常隐写取证分析展现模块；

所述取证数据获取模块，用于从镜像文件获取待取证分析数据对象；

所述异常检测分析模块，用于对所述镜像文件的待取证分析数据对象用局部标记特征分析法进行异常分析，得到异常分析结果；

所述异常判定模块，用于根据所述异常分析结果判定待取证分析数据对象是否异常，若存在异常，生成异常检测报告，执行异常处理模块；若不存在异常，执行隐写检测分析模块；

所述异常处理模块，用于将存在异常的待取证分析数据对象标记为怀疑对象，同时将怀疑对象移动至观察区进行隔离；

所述隐写检测分析模块，用于对异常检测分析模块获得的所述镜像文件的待取证分析数据对象或异常处理模块获得的怀疑对象，用统计特征分析法参照训练集和特征库中的数据进行隐写检测分析； 

所述隐写判定模块，用于根据所述隐写检测分析结果判定异常隐写的可能性是否为0，若隐写可能性为0，则控制执行取证数据获取模块；若隐写可能性不为0，则控制执行异常隐写取证分析展现模块；

所述异常隐写取证分析展现模块，用于生成异常隐写检测报告，并展现异常分析结果和异常隐写检测报告。

5.根据权利要求4所述的面向数字取证的异常隐写检测分析方法，其特征在于：所述异常检测分析模块，用于按照数字取证规则对所述待取证分析数据对象进行局部标志特征异常分析，对所述待取证分析数据对象的主要特征进行识别并按照在异常检测分析中所起到作用的重要程度进行排序；然后依次对所述待取证分析数据对象的各个局部特征进行检测，检测到某特征存在异常则停止检测；否则，继续检测，直到最后一个特征检测完毕。

6.根据权利要求4所述的面向数字取证的异常隐写检测分析方法，其特征在于：所述隐写检测分析模块，用于参照训练集和特征库中的异常隐写模型对异常检测分析模块获得的所述镜像文件的待取证分析数据对象或异常处理模块获得的怀疑对象，用统计特征分析法参照训练集和特征库中的数据进行隐写检测分析。