[发明专利]一种远程电子数据取证方法及系统

说明书

本发明涉及一种远程电子数据取证方法及系统，该方法中包括：将被取证机器中需要进行取证分析的检材映射为镜像文件；将被取证机器中需要进行远程取证分析的检材对应的镜像文件挂载为共享文件；取证机器中的取证应用通过网络共享访问并加载共享文件中的镜像文件；被取证机器接收到文件读取请求后，由应用态向内核态的文件系统请求数据；被取证机器内核态的文件系统调用对应的文件系统驱动模块；被取证机器的文件系统驱动模块将读取镜像文件的文件读取请求重定向到读取文件系统中对应检材；被取证机器对重定向的检材进行读取并返回至取证机器。本发明可以实现跨机器远程访问电子数据，可以实现多人协同并行取证分析。

技术领域

本发明涉及数据取证领域，尤其涉及一种远程电子数据取证方法及系统。

背景技术

随着互联网和大数据技术的发展，电子数据取证已成为信息时代的“证据之王”。目前电子数据取证工作虽然已经有一定的发展，但在新技术新应用层出不穷的大数据时代，需要对取证领域的研究提出更高的要求。

传统的取证分析软硬件装备大多数是单机的取证模式，取证软件和电子数据必须是在同一台机器上面才能进行取证分析，这种取证模式无法实现对远程跨机器上的电子数据进行取证分析，也无法实现多人协同并行取证的要求。如果多名办案人员需要同时对同一个物理磁盘进行取证分析，则需要把物理磁盘制作成镜像再分发给办案人员进行取证分析，这种方法不仅需要占用大量的存储空间，而且制作和分发镜像环节也需要耗费大量宝贵的时间。因此，如何实现远程跨机器的电子数据取证分析成为研究的重点。

发明内容

为了解决上述问题，本发明提出了一种远程电子数据取证方法及系统。

具体方案如下：

一种远程电子数据取证方法，包括以下步骤：

S1：将被取证机器中需要进行取证分析的检材映射为镜像文件；

S2：将被取证机器中需要进行远程取证分析的检材对应的镜像文件挂载为共享文件；

S3：取证机器中的取证应用通过网络共享访问并加载共享文件中的镜像文件，向被取证机器发送该镜像文件对应的文件读取请求；

S4：被取证机器接收到文件读取请求后，由应用态向内核态的文件系统请求数据；

S5：被取证机器内核态的文件系统调用对应的文件系统驱动模块；

S6：被取证机器的文件系统驱动模块将读取镜像文件的文件读取请求重定向到读取文件系统中对应检材；

S7：被取证机器对重定向的检材进行读取并返回至取证机器。

进一步的，镜像文件采用DD镜像文件。

进一步的，检材为硬盘、文件夹或文件。

一种远程电子数据取证系统，包括被取证机器和取证机器，所述被取证机器和取证机器均包括处理器、存储器以及存储在所述存储器中并在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现本发明实施例上述的方法的步骤。

一种被取证机器，包括处理器、存储器以及存储在所述存储器中并在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现本发明实施例方法中被取证机器实现的步骤。

本发明采用如上技术方案，可以实现跨机器远程访问电子数据，可以实现多人协同并行取证分析。

附图说明

图1所示为本发明实施例一中方法的流程图。

图2所示为本发明实施例一中远程挂载流程的流程图。

图3所示为本发明实施例一中被取证机器的内部架构原理示意图。

具体实施方式