[發明專利]一種基于GoIP設備的自動化取證方法及系統

有效

• 申請號: 202010900394.1
• 申請日: 2020-09-01
• 公開（公告）號: CN111770203B
• 公開（公告）日: 2020-12-22
• 發明（設計）人: 李維;張瑞冬;童永鰲;朱鵬
• 申請（專利權）人: 成都無糖信息技術有限公司
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/12;H04L9/32
• 代理公司: 成都為知盾專利代理事務所(特殊普通合伙) 51267
• 代理人: 李漢強

1.一種基于GoIP設備的自動化取證方法，其特征在于，包括以下操作：

S1，PC機與GoIP設備連接：將PC機與GoIP設備采用網線連接；

S2，PC機與GoIP設備的連接配置：配置IP，建立PC機與GoIP設備的連接，配置IP分為靜態IP地址配置、動態IP地址配置；

所述靜態IP地址配置是在PC機上啟動一個ARP掃描服務，獲取與PC機使用網線相連接的GoIP設備上配置的IP地址，并將PC機與GoIP設備相連接的網卡設置為GoIP設備同網段的IP地址，實現PC機到GoIP設備的訪問；

所述動態IP地址配置是在PC機上啟動一個DHCP服務，等待與PC機使用網線相連接的GoIP設備來向DHCP服務器申請IP地址；在GoIP設備分配到IP地址后，PC機也向DHCP服務申請同網段的IP地址，實現PC機到GoIP設備的訪問；

S3，GoIP設備的識別：檢測識別GoIP設備屬于哪個廠家的產品，獲得該設備的取證規則；

S4，取證：根據獲得的取證規則，將GoIP設備各類數據導出到PC機上并計算文件哈希，提取重要數據并生成取證報告文檔。

2.根據權利要求1所述的基于GoIP設備的自動化取證方法，其特征在于，S1中所述GoIP設備有多個以太網口，選擇具有PC標識的網口，如果沒有則任意選擇其中一個LAN口或ETH口。

3.根據權利要求1所述的基于GoIP設備的自動化取證方法，其特征在于，

在動態IP地址配置時，如果GoIP設備獲取IP的等待時間超過預設時間，GoIP設備沒有向DHCP服務申請IP，則判定GoIP上配置了靜態的IP地址，那么PC機向GoIP設備發送ARP協議的數據包，詢問GoIP設備的IP地址；

如果GoIP設備已經配置了靜態IP地址，則通過ARP協議獲取IP地址，并給PC機的網卡自動配置與GoIP設備相同網段的IP地址以使PC與GoIP設備相連通。

4.根據權利要求1所述的基于GoIP設備的自動化取證方法，其特征在于，S3中檢測識別GoIP設備是預先提取現有不同GoIP設備的指紋特征并形成信息庫，GoIP設備與PC機連接后，根據信息庫的儲備的指紋特征與 GoIP設備進行比對判斷出該GoIP設備的廠家、產品信號相關信息。

5.根據權利要求1所述的基于GoIP設備的自動化取證方法，其特征在于，在生成取證報告文檔后，用戶可將本報告和導出的證據拷貝、導出或打印，將報告遠程發送給技術支撐，便于技術支撐方根據報告中的目標快速地進行更深層取證和溯源。

6.一種基于GoIP設備的自動化取證系統，其特征在于包括：

DHCP服務器：用于PC機和GoIP設備的IP地址自動分配；

ARP掃描器：用于已配置IP地址的GoIP設備的IP地址掃描，通過ARP協議數據包，主動探測GoIP設備的IP地址；

網卡管理器：用于對PC機的網卡進行配置管理，所述網卡管理器自動化的備份原PC機的網絡配置，根據GoIP設備的配置情況針對性的將PC機的網卡自動配置成和GoIP設備相同網段的IP；當取證完成后，自動恢復原PC機的網卡配置；

GoIP設備識別器：用于識別連接的GoIP設備的廠家和型號；

數據采集器：用于已識別GoIP設備的內部數據采集和存儲；

數據哈希計算器：用于已采集的GoIP設備的證據數據的哈希校驗，保證取證數據沒有被篡改；

報告生成器：用于GoIP設備已采集數據的可視化生成和展示，形成一個完整易讀的整體報告和證據內容索引，便于用戶從雜亂的證據數據中快速概覽和定位重要數據，幫助用戶理解證據的結構和內容。

7.根據權利要求6所述的一種基于GoIP設備的自動化取證系統，其特征在于：所述GoIP設備識別器根據已收集到的各廠家設備的軟件特征與當前已連接的GoIP設備的信息進行比對，確定當前已連接的GoIP設備的廠商和型號。

8.根據權利要求6所述的一種基于GoIP設備的自動化取證系統，其特征在于：所述數據采集器根據不同廠商和型號的GoIP設備，自動選擇相應的數據采集規則進行GoIP證據數據提取，將采集的證據數據存儲到PC機磁盤上。