[发明专利]取证软件中基于自定义脚本实现电子数据取证分析的方法

权利要求书

1.一种取证软件中基于自定义脚本实现电子数据取证分析的方法，其特征在于，所述的方法包括以下步骤：

(1)取证软件对自定义脚本进行编译处理，并得到取证分析对象；

(2)所述的取证软件根据编译处理后的自定义脚本对采集到的电子数据进行归一化处理，并得到对应的电子数据树；包括以下步骤：

(2.0)所述的取证软件根据自身的分析类得到数据获取模板和数据获取要求；

(2.1)所述的取证软件对所述的电子数据进行归类与合并，并对所述的电子数据进行特征信息采集；所述的取证软件对所述的电子数据进行归类与合并，具体为：

所述的取证软件根据所述的数据获取模板和数据获取要求对所述的电子数据进行归类与合并；

(2.2)所述的取证软件根据采集到的特征信息建立索引接口；

(3)所述的取证软件将所述的取证分析对象与所述的电子数据树进行关联分析，并获得取证分析结果；所述的获得取证分析结果，包括以下步骤：

(3.3)所述的取证软件根据自身的分析类得到数据输出格式化模板；

(3.4)所述的取证软件根据所述的数据输出格式化模板对分析处理结果进行格式化，得到所述的取证分析结果。

2.根据权利要求1所述的取证软件中基于自定义脚本实现电子数据取证分析的方法，其特征在于，所述的特征信息包括文件是否加密信息、文件后缀信息、创建信息、修改信息、访问日期信息、文件类型信息和文件全路径信息。

3.根据权利要求1或2所述的取证软件中基于自定义脚本实现电子数据取证分析的方法，其特征在于，所述的取证软件将所述的取证分析对象与所述的电子数据树进行关联分析，包括以下步骤：

(3.1)所述的取证软件通过索引接口查找所述的电子数据树中与所述的取证分析对象对应的电子数据文件；

(3.2)所述的取证软件对查找到的电子数据文件进行分析处理。

4.根据权利要求3所述的取证软件中基于自定义脚本实现电子数据取证分析的方法，其特征在于，所述的步骤(3.1)和(3.2)之间，还包括以下步骤：

(3.1.1)所述的取证软件根据所述的电子数据文件的文件路径或目录路径判断是否对该电子数据文件进行分析处理，如果是，则继续步骤(3.2)，否则返回步骤(3.1)。