[發明專利]一種物聯網設備取證的方法和系統

在審

• 申請號: 201810810228.5
• 申請日: 2018-07-23
• 公開（公告）號: CN108924151A
• 公開（公告）日: 2018-11-30
• 發明（設計）人: 王世晉;范淵;胡冬;黃進;莫金友
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京超凡志成知識產權代理事務所(普通合伙) 11371
• 代理人: 陳曉云

1.一種物聯網設備取證的方法，其特征在于，應用于物聯網設備，包括：

獲取服務器基于取證請求發送的反饋信息，其中，所述反饋信息用于指示待取證設備是否執行取證操作；

如果獲取到的所述反饋信息為指示所述待取證設備執行取證操作的信息，則對待取證設備執行取證操作，得到多個取證結果；

對每個所述取證結果分別進行哈希計算，得到多個計算結果，并將所述多個計算結果和所述多個取證結果發送給服務器。

2.根據權利要求1所述的方法，其特征在于，對待取證設備執行取證操作，得到多個取證結果包括：

對所述待取證設備執行目標取證操作，得到所述多個取證結果，其中，所述目標取證操作包括以下至少之一：內存取證操作，流量取證操作，文件取證操作，系統日志取證操作，進程取證操作，賬戶安全取證操作，業務日志取證操作。

3.根據權利要求2所述的方法，其特征在于，對所述待取證設備執行目標取證操作，得到所述多個取證結果包括：

對所述待取證設備執行內存取證操作，得到內存取證結果，其中，所述內存取證結果中包括所述待取證設備中每個進程的運行數據；

對所述待取證設備執行流量取證操作，得到流量取證結果，其中，所述流量取證結果中包括預設時間內所述待取證設備的流量記錄；

對所述待取證設備執行文件取證操作，得到文件取證結果，其中，所述文件取證結果中包括待取證設備中哈希值發生變化的系統文件，待取證設備的非系統文件；

對所述待取證設備執行系統日志取證操作，得到系統日志取證結果，其中，所述系統日志取證結果中包括待取證設備的各個系統日志；

對所述待取證設備執行進程取證操作，得到進程取證結果，其中所述進程取證結果中包括待取證設備的各個進程的活動狀態；

對所述待取證設備執行賬戶安全取證操作，得到賬戶安全取證結果，所述賬戶安全取證結果中包括待取證設備中各個賬戶的賬戶信息，所述賬戶信息包括以下至少一種：賬戶的創建日期，賬戶的活動情況，賬戶密碼的哈希；

對所述待取證設備執行業務日志取證操作，得到業務日志取證結果，其中，所述業務日志取證結果中包括待取證設備的業務目錄中的各個文件。

4.根據權利要求3所述的方法，其特征在于，所述流量取證結果為pcapng格式的文件。

5.根據權利要求3所述的方法，其特征在于，所述進程取證結果為json格式的文件。

6.根據權利要求1至5中任一項所述的方法，其特征在于，所述反饋信息包括第一反饋信息和第二反饋信息，所述方法還包括：

當獲取到的所述反饋信息為所述第一反饋信息時，所述待取證設備在預設時間段內處于休眠狀態，不執行取證操作；

當獲取到的所述反饋信息為所述第二反饋信息時，所述待取證設備執行取證操作，得到多個取證結果；

其中，所述第一反饋信息用于指示物聯網設備不執行取證操作，所述第二反饋信息用于指示物聯網設備執行取證操作。

7.根據權利要求1至5中任一項所述的方法，其特征在于，所述方法還包括：

按照預設周期向所述服務器發送取證請求，從而獲取所述服務器基于取證請求發送給的反饋信息。

8.一種物聯網設備取證的系統，其特征在于，所述系統包括：待取證設備和服務器，其中，

所述待取證設備用于獲取服務器基于取證請求發送的反饋信息，其中，所述反饋信息用于指示待取證設備是否執行取證操作；如果獲取到的所述反饋信息為指示所述待取證設備執行取證操作的信息，則對待取證設備執行取證操作，得到多個取證結果；對每個所述取證結果分別進行哈希計算，得到多個計算結果，并將所述多個計算結果和所述多個取證結果發送給服務器；

所述服務器用于獲取所述待取證設備發送的取證請求，并基于所述取證請求向所述待取證設備發送所述反饋信息；接收所述待取證設備發送的所述多個取證結果和所述多個計算結果。