[发明专利]基于联动协同原理的Android数字取证分析方法及系统

说明书

技术领域

本发明涉及数字取证技术领域，尤其涉及一种基于联动协同原理的Android数字取证分析方法及系统。

背景技术

在数字取证过程中，对取证数据的分析过程往往依赖于取证人员个人经验和思考判断来选择恰当的分析方法来实现对取证数据的检测及分析，因为取证人员对取证数据的分析往往会涉及到多种分析方法，例如文件系统分析、日志分析及本地用户数据分析等。这种对取证分析方法主观的选择不但不利于对取证数据的充分有效利用，还对取证效率产生了负面影响。

现有的数据分析方法有很多已经比较成熟，有许多已经被取证人员熟练运用于数字取证领域。然而，在一次数字取证分析时需要运用多种分析方法或所需分析方法未知的情况下，就要考虑如何高效精准地实现数字取证分析了。而且异常数据检测及分析技术在网络入侵检测研究领域的应用较为普遍。在数字取证领域，通常运用于对计算机犯罪的侦查方向。但是，随着Android移动终端用户的爆炸式增长，利用Android移动终端进行犯罪或涉及到Android移动终端设备的案件数量也在与日俱增。由此看出，异常数据检测及分析技术亟需灵活运用于Android数字取证过程中。

行为分析在数字取证过程中是必不可少的关键环节。数字取证的主要作用就是通过取证数据来推断用户的行为或证明假设成立。取证人员在对用户行为进行分析时，必须考虑大量数据之间的复杂关系，同时使用多种分析方法对数据进行分析，再凭借经验来判断用户行为，这样取证人员的工作效率会降低，影响分析结果的客观性，从而降低了取证证据的可采性。

综上所述，如何基于联动协同原理提出有效的、满足取证要求的数字取证分析方案，在分析过程中提高对取证数据的利用率和提升取证分析的精准度方面扮演着重要角色。研究数字取证分析方法之间、数据属性之间及数据特征的联动性，将联动协同原理运用于对Android取证数据的分析过程，对于如今的Android数字取证系统的设计和建设具有重要的研究意义。

发明内容

针对上述问题中存在的不足之处，本发明提供一种基于联动协同原理的Android数字取证分析方法及系统。

为实现上述目的，本发明的基于联动协同原理的Android数字取证分析方法，包括以下步骤：

S1、从Android移动终端获取Android取证数据；

S2、对所述Android取证数据进行数据预处理，得到取证预处理数据，其中，所述数据预处理包括特征化、标准化和离散化；

S3、根据所述取证预处理数据判定取证分析过程是否先进行协同分析，若需先进行协同分析，执行S4；若不需先进行协同分析，执行S5;

S4、基于联动协同原理对S2中的所述取证预处理数据进行取证分析，得到协同取证分析数据，然后执行S5；

S5、对S2获得的所述取证预处理数据或S4获得的协同取证分析数据，参照模型库和特征库中数据之间相互关联的特征及属性，联动检测并分析异常数据，得到异常联动检测分析结果；

S6、对所述异常联动检测分析结果运用联动检测分析方法进行检测和分析，得到行为联动检测分析结果；

S7、展现S5获得的异常联动检测分析结果和S6获得的行为联动检测分析结果。

进一步的，在S2中基于粗糙集和模糊集理论按照数字取证规则对所述Android取证数据进行标准化预处理，对所述Android取证数据中的关系型数据按照数据逻辑结构做特征化处理，对所述Android取证数据中的系统不能识别的数据进行数据格式转换或数据离散化处理。

进一步的，在S5中参照异常数据模型库中数据之间互相关联的特征来联动检测是否存在异常数据，根据异常数据特征库中数据之间互相关联的属性来联动分析异常数据。

进一步的，在S6中参照行为模型库中数据之间互相关联的特征来联动检测用户行为，根据行为特征库中指定数据之间互相关联的属性来联动分析用户行为。

本发明还提供一种基于联动协同原理的Android数字取证分析系统，其包括：

取证数据获取模块，用于获取来自Android移动终端的Android取证数据；

数据预处理模块，用于对所述取证数据获取模块获取的Android取证数据进行数据预处理，得到取证预处理数据，所述数据预处理包括特征化、标准化和离散化；

判定模块，用于根据所述取证预处理数据判定取证分析过程是否先进行协同分析，若需先进行协同分析，执行联动协同分析模块；若不需先进行协同分析，执行异常检测联动模块；