[發(fā)明專利]一種對(duì)存儲(chǔ)介質(zhì)進(jìn)行自動(dòng)化智能取證的方法及其系統(tǒng)

無效

• 申請(qǐng)?zhí)枺?/td>: 200810072533.5
• 申請(qǐng)日: 2008-12-29
• 公開（公告）號(hào): CN101546364A
• 公開（公告）日: 2009-09-30
• 發(fā)明（設(shè)計(jì)）人: 滕達(dá);王海濱
• 申請(qǐng)（專利權(quán)）人: 廈門市美亞柏科資訊科技有限公司
• 主分類號(hào): G06F21/00
• 分類號(hào): G06F21/00
• 代理公司: 廈門市首創(chuàng)君合專利事務(wù)所有限公司
• 代理人: 連耀忠

1.一種對(duì)存儲(chǔ)介質(zhì)進(jìn)行自動(dòng)化智能取證的方法，其特征在于：包括如下步驟：

自動(dòng)加載分析功能模塊步驟，該步驟是在啟動(dòng)分析后，取證計(jì)算機(jī)運(yùn)行取證系統(tǒng)，自動(dòng)尋找系統(tǒng)可用分析功能模塊插件，并將所有插件的所有分析功能模塊自動(dòng)加載到取證計(jì)算機(jī)中，使取證計(jì)算機(jī)具備全面的分析功能；

智能選擇需分析模塊步驟，該步驟是由取證人員根據(jù)案件的類型、特點(diǎn)向取證計(jì)算機(jī)輸入設(shè)定條件，取證系統(tǒng)根據(jù)所述設(shè)定條件智能選擇需要采用的分析模塊；

開始分析步驟，該步驟是啟動(dòng)進(jìn)入功能分析；

從存儲(chǔ)介質(zhì)讀取部分?jǐn)?shù)據(jù)步驟，該步驟是由取證計(jì)算機(jī)從待分析的存儲(chǔ)介質(zhì)中讀取部分?jǐn)?shù)據(jù)；

功能分析步驟，該步驟是由取證計(jì)算機(jī)的取證系統(tǒng)從所述智能選擇需分析模塊步驟所選擇確定的需被采用的分析模塊中調(diào)出其中的一個(gè)分析模塊；

智能識(shí)別有用結(jié)果步驟，該步驟是由功能分析步驟中所調(diào)用的所述分析模塊對(duì)從存儲(chǔ)介質(zhì)讀取部分?jǐn)?shù)據(jù)步驟中讀取的所述部分?jǐn)?shù)據(jù)進(jìn)行分析處理，智能識(shí)別出有用信息；

保存有用結(jié)果步驟，該步驟是將智能識(shí)別有用結(jié)果步驟所識(shí)別出的有用信息存儲(chǔ)在取證計(jì)算機(jī)所對(duì)應(yīng)的存儲(chǔ)區(qū)域中；

分析判斷步驟，該步驟是對(duì)智能選擇需分析模塊步驟所選擇確定的需被采用的所有分析模塊是否被調(diào)用完進(jìn)行判斷；當(dāng)判斷結(jié)果為未調(diào)用完時(shí)，返回功能分析步驟選擇調(diào)用另一個(gè)分析模塊進(jìn)行分析取證；當(dāng)判斷結(jié)果為已調(diào)用完時(shí)，轉(zhuǎn)到下一步驟；

數(shù)據(jù)讀取判斷步驟，該步驟是對(duì)被取證的存儲(chǔ)介質(zhì)的數(shù)據(jù)是否讀取完畢進(jìn)行判斷；當(dāng)判斷結(jié)果為所述存儲(chǔ)介質(zhì)的數(shù)據(jù)未讀完時(shí)，返回從存儲(chǔ)介質(zhì)讀取部分?jǐn)?shù)據(jù)步驟，繼續(xù)讀取所述存儲(chǔ)介質(zhì)的未被讀取的數(shù)據(jù)；當(dāng)判斷結(jié)果為所述存儲(chǔ)介質(zhì)的數(shù)據(jù)已讀完時(shí)，取證分析完成。

2.根據(jù)權(quán)利要求1所述的一種對(duì)存儲(chǔ)介質(zhì)進(jìn)行自動(dòng)化智能取證的方法，其特征在于：所述自動(dòng)加載分析功能模塊步驟中，進(jìn)一步的還包括如下步驟：

枚舉功能模塊控件步驟，該步驟是讀取取證計(jì)算機(jī)上安裝的取證插件；

加入自動(dòng)分析列表步驟，該步驟是把讀取出來的取證插件信息加入自動(dòng)分析列表里，讓自動(dòng)分析功能具備全面的分析功能；

枚舉判斷步驟，該步驟是對(duì)枚舉取證計(jì)算機(jī)上安裝的所有取證插件是否枚舉完畢進(jìn)行判斷；當(dāng)判斷結(jié)果為枚舉未完畢時(shí)，返回枚舉功能模塊控件步驟，繼續(xù)讀取取證計(jì)算機(jī)上安裝的取證插件；當(dāng)判斷結(jié)果為枚舉完畢時(shí)，加載完畢，結(jié)束自動(dòng)加載分析功能模塊步驟。

3.根據(jù)權(quán)利要求1所述的一種對(duì)存儲(chǔ)介質(zhì)進(jìn)行自動(dòng)化智能取證的方法，其特征在于：所述智能選擇需分析模塊步驟中，進(jìn)一步的還包括如下步驟：

選擇案件類型步驟，該步驟是由取證人員根據(jù)案件實(shí)際情況，向取證計(jì)算機(jī)的取證系統(tǒng)所顯示的案件屬性表填入對(duì)應(yīng)的內(nèi)容，取證系統(tǒng)根據(jù)案件屬性自動(dòng)生成分析該案件時(shí)所要采用的分析策略；

加載智能庫(kù)分析模塊步驟，該步驟是加載智能庫(kù)里面的所有分析模塊；

確定要分析模塊步驟，該步驟是由取證計(jì)算機(jī)的取證系統(tǒng)根據(jù)選擇案件類型后所產(chǎn)生的分析策略，以及取證系統(tǒng)可分析的所有分析模塊，智能挑選出適于該案件進(jìn)行分析所需要的一個(gè)或多個(gè)功能分析模塊，以便在后續(xù)步驟中提供調(diào)用。

4.一種對(duì)存儲(chǔ)介質(zhì)進(jìn)行自動(dòng)化智能取證的系統(tǒng)，其特征在于：包括：

一自動(dòng)加載分析功能模塊裝置，該裝置用來在啟動(dòng)分析后，能自動(dòng)尋找系統(tǒng)可用分析功能模塊插件，并將所有插件的所有分析功能模塊自動(dòng)加載進(jìn)來；

一智能選擇需分析模塊裝置，該裝置用來接收取證人員根據(jù)案件的類型、特點(diǎn)所輸入的設(shè)定條件，根據(jù)所輸入的設(shè)定條件智能選擇需要采用的分析模塊，并將被選用的各分析模塊存入存儲(chǔ)裝置中；

一存儲(chǔ)裝置，設(shè)有第一存儲(chǔ)區(qū)用來存儲(chǔ)被選用的各分析模塊，設(shè)有第二存儲(chǔ)區(qū)用來存儲(chǔ)有用信息；

一讀取待分析存儲(chǔ)介質(zhì)部分?jǐn)?shù)據(jù)裝置，該裝置用來逐次讀取被檢測(cè)存儲(chǔ)介質(zhì)的部分?jǐn)?shù)據(jù)；

一調(diào)用分析模塊裝置，該裝置用來從存儲(chǔ)裝置中逐個(gè)調(diào)取被選用的分析模塊；

一智能識(shí)別有用信息裝置，該裝置是利用分析模塊對(duì)從存儲(chǔ)介質(zhì)讀取的部分?jǐn)?shù)據(jù)進(jìn)行分析處理，智能識(shí)別出有用信息，并將該有用信息存儲(chǔ)到存儲(chǔ)裝置的第二存儲(chǔ)區(qū)中；

一第一比較判斷裝置，該裝置對(duì)存儲(chǔ)裝置中所存儲(chǔ)的被選用的各分析模塊是否調(diào)用完進(jìn)行判斷，并根據(jù)判斷結(jié)果輸出控制信號(hào)；

一第二比較判斷裝置，該裝置對(duì)待分析存儲(chǔ)介質(zhì)內(nèi)的數(shù)據(jù)是否讀取完進(jìn)行判斷，并根據(jù)判斷結(jié)果輸出控制信號(hào)；

自動(dòng)加載分析功能模塊裝置的輸出接至智能選擇需分析模塊裝置，前者將加載的分析模塊輸出給后者，由后者根據(jù)設(shè)定條件進(jìn)行選擇；智能選擇需分析模塊裝置與存儲(chǔ)裝置相連接，前者將選定的各分析模塊存儲(chǔ)在后者對(duì)應(yīng)的存儲(chǔ)區(qū)中；讀取待分析存儲(chǔ)介質(zhì)部分?jǐn)?shù)據(jù)裝置與待分析存儲(chǔ)介質(zhì)相連接，前者讀取后者的部分?jǐn)?shù)據(jù)；讀取待分析存儲(chǔ)介質(zhì)部分?jǐn)?shù)據(jù)裝置與調(diào)用分析模塊裝置相連接，后者調(diào)取前者對(duì)待分析存儲(chǔ)介質(zhì)所讀取的部分?jǐn)?shù)據(jù)；調(diào)用分析模塊裝置與存儲(chǔ)裝置相連接，前者從后者中逐個(gè)調(diào)取被選用的分析模塊；調(diào)用分析模塊裝置的輸出接至智能識(shí)別有用信息裝置的輸入，前者將所調(diào)取的來自待分析存儲(chǔ)介質(zhì)的部分?jǐn)?shù)據(jù)和被選用的分析模塊輸給后者，由后者根據(jù)分析模塊對(duì)所述的部分?jǐn)?shù)據(jù)進(jìn)行分析處理；智能識(shí)別有用信息裝置的輸出接至存儲(chǔ)裝置，前者將分析處理后所得到的有用信息存儲(chǔ)到后者對(duì)應(yīng)的存儲(chǔ)區(qū)中；智能識(shí)別有用信息裝置的輸出接至第一比較判斷裝置的輸入，前者將已分析處理完成的信號(hào)輸出給后者；第一比較判斷裝置與存儲(chǔ)裝置相連接，前者從后者調(diào)取各分析模塊的信息，對(duì)分析模塊是否調(diào)取完進(jìn)行比較判斷；第一比較判斷裝置的控制信號(hào)輸出接至調(diào)用分析模塊裝置的控制端，后者根據(jù)前者的指令決定是否從存儲(chǔ)裝置中調(diào)用分析模塊；第一比較判斷裝置的輸出接至第二比較判斷裝置的輸入，前者將已處理完成的信號(hào)輸出給后者；第二比較判斷裝置與待分析存儲(chǔ)介質(zhì)相連接，前者從后者獲得比較信號(hào)，并對(duì)待分析存儲(chǔ)介質(zhì)的數(shù)據(jù)是否讀取完進(jìn)行比較判斷；第二比較判斷裝置的控制信號(hào)輸出接至讀取待分析存儲(chǔ)介質(zhì)部分?jǐn)?shù)據(jù)裝置的控制端，后者根據(jù)前者的指令決定是否從待分析存儲(chǔ)介質(zhì)中繼續(xù)讀取數(shù)據(jù)。