• 中国精品科技期刊
  • CCF推荐A类中文期刊
  • 计算领域高质量科技期刊T1类
高级检索

一种基于隐藏事件触发机制的内存取证方法

崔超远, 李勇钢, 乌云, 王励成

崔超远, 李勇钢, 乌云, 王励成. 一种基于隐藏事件触发机制的内存取证方法[J]. 计算机研究与发展, 2018, 55(10): 2278-2290. DOI: 10.7544/issn1000-1239.2018.20180405
引用本文: 崔超远, 李勇钢, 乌云, 王励成. 一种基于隐藏事件触发机制的内存取证方法[J]. 计算机研究与发展, 2018, 55(10): 2278-2290. DOI: 10.7544/issn1000-1239.2018.20180405
shu
Cui Chaoyuan, Li Yonggang, Wu Yun, Wang Licheng. A Memory Forensic Method Based on Hidden Event Trigger Mechanism[J]. Journal of Computer Research and Development, 2018, 55(10): 2278-2290. DOI: 10.7544/issn1000-1239.2018.20180405
Citation: Cui Chaoyuan, Li Yonggang, Wu Yun, Wang Licheng. A Memory Forensic Method Based on Hidden Event Trigger Mechanism[J]. Journal of Computer Research and Development, 2018, 55(10): 2278-2290. DOI: 10.7544/issn1000-1239.2018.20180405
shu
崔超远, 李勇钢, 乌云, 王励成. 一种基于隐藏事件触发机制的内存取证方法[J]. 计算机研究与发展, 2018, 55(10): 2278-2290. CSTR: 32373.14.issn1000-1239.2018.20180405
引用本文: 崔超远, 李勇钢, 乌云, 王励成. 一种基于隐藏事件触发机制的内存取证方法[J]. 计算机研究与发展, 2018, 55(10): 2278-2290. CSTR: 32373.14.issn1000-1239.2018.20180405
shu
Cui Chaoyuan, Li Yonggang, Wu Yun, Wang Licheng. A Memory Forensic Method Based on Hidden Event Trigger Mechanism[J]. Journal of Computer Research and Development, 2018, 55(10): 2278-2290. CSTR: 32373.14.issn1000-1239.2018.20180405
Citation: Cui Chaoyuan, Li Yonggang, Wu Yun, Wang Licheng. A Memory Forensic Method Based on Hidden Event Trigger Mechanism[J]. Journal of Computer Research and Development, 2018, 55(10): 2278-2290. CSTR: 32373.14.issn1000-1239.2018.20180405
shu

一种基于隐藏事件触发机制的内存取证方法

  • 1(中国科学院合肥物质科学研究院合肥智能机械研究所 合肥 230031)

  • 2(中国科学技术大学研究生院科学岛分院 合肥 230027)

  • 3(中国科学院合肥物质科学研究院应用技术研究所 合肥 230088)

  • 4(北京邮电大学网络空间安全学院 北京 100876) (cycui@iim.ac.cn)

基金项目: 国家重点研发计划项目(2018YFD0700302)；中国科学院STS计划项目(KFJ-STS-ZDTP-004)
详细信息

  • 中图分类号: TP309; TP316

A Memory Forensic Method Based on Hidden Event Trigger Mechanism

  • 1(Institute of Intelligent Machines, Hefei Institutes of Physical Science, Chinese Academy of Sciences, Hefei 230031)

  • 2(Graduate School of Science Island Branch, University of Science and Technology of China, Hefei 230027)

  • 3(Institute of Applied Technology, Hefei Institutes of Physical Science, Chinese Academy of Sciences, Hefei 230088)

  • 4(School of Cyberspace Security, Beijing University of Posts and Telecommunications, Beijing 100876)

摘要

    摘要
  • 摘要: 内存取证是计算机取证科学的重要分支，能够提取和分析操作系统运行状态的数字证据，已经成为对抗网络犯罪的有力武器.现有内存取证方法大多是全面获取内存数据，因而包含大量冗余信息，为后续内存分析带来不便.此外，在取证时间点选取方面存在盲目性，尤其是对具有隐藏特性的恶意软件，无法准确地在攻击发生时进行实时取证.由于内存具有易失性和不可恢复性的特点，取证时间点与攻击过程不匹配将使得取证内容无法表征攻击行为，导致取证数据无效.针对以上问题，提出一种基于隐藏事件触发机制的内存取证方法ForenHD.该方法利用虚拟化技术实时监视目标虚拟机中的内核对象，并通过分析内核对象的逻辑连接关系和运行状态的变化来检测隐藏对象；然后以隐藏对象的发现作为内存取证的触发事件，通过内存映射提取隐藏对象的代码段信息，实现实时和局部内存取证.通过对多种隐藏对象取证的实验，证明了ForenHD的可行性和有效性.
    Abstract: As an important branch of computer forensics, memory forensics can extract and alalyze digital evidence of OS running status, and has become a powerful weapon against cybercrimes. Most of the existed memory forensics approaches obtain memory data completely, and thus contain a large amount of redundant information, which brings inconvenience to subsequent memory analysis. In addition, there is blindness in the selection of forensic time points, especially for malware with hidden characteristics, so it cannot accurately perform real-time forensics when an attack occurs. Because of the volatile and unrecoverable nature of memory, the mismatch between the forensic time point and the attack process will make the forensic content unable to characterize the attack behavior, resulting in invalid forensic data. This study proposes ForenHD, a memory forensics approach based on hidden event trigger mechanism. ForenHD monitors the kernel objects in the target virtual machine in real time by leveraging virtualization technology. It firstly determines hidden objects by analyzing the logical connection and running status of kernel objects, and then uses the discovered hidden objects as the triggering event of memory forensics. Finally ForenHD extracts the code segment information of the hidden object through memory mapping. As a result, real-time and partial memory forensics can be achieved. Experiments on multiple hidden object forensics show ForenHDs feasibility and effectiveness.
    • HTML全文
    • 参考文献(0)
    • 相关文章
    • 施引文献(75)

  • 期刊类型引用(21)

    1. 杜晓丽，李登峰. 基于大老板博弈的国际贸易物流区块链网络共识研究. 中国管理科学. 2024(04): 120-129 . 百度学术
    2. 徐吟歌，郑康宁，周鎏瑜. 基于共识机制的供应链金融信息共享合作博弈研究. 现代商业. 2024(18): 41-45 . 百度学术
    3. 杨朝东，关景火，米群，孙文军，张艳波，刘源淞. 基于区块链DPoS共识机制的三七溯源体系研究. 云南农业科技. 2024(05): 9-15 . 百度学术
    4. 王捷，葛丽娜，张桂芬. 区块链的激励机制权益证明共识算法改进方案. 郑州大学学报(工学版). 2023(05): 62-68 . 百度学术
    5. 谭春桥，杨慧娟，易文桃. 基于纳什谈判的共享经济区块链网络Po S共识传播博弈分析. 控制与决策. 2022(01): 219-229 . 百度学术
    6. 邓小鸿，王智强，李娟，王俊彬，黎康婷. 主流区块链共识算法对比研究. 计算机应用研究. 2022(01): 1-8 . 百度学术
    7. 张沁楠，朱建明，高胜，熊泽辉，丁庆洋，朴桂荣. 基于区块链和贝叶斯博弈的联邦学习激励机制. 中国科学:信息科学. 2022(06): 971-991 . 百度学术
    8. 张旺，葛云生. 基于节点分组的权益证明共识机制. 计算机应用与软件. 2022(05): 267-272+298 . 百度学术
    9. 何帅，黄襄念. 基于信誉授权的DPoS共识机制改进研究. 四川轻化工大学学报(自然科学版). 2022(03): 66-75 . 百度学术
    10. 付晓东，漆鑫鑫，刘骊，彭玮，丁家满，代飞. 基于权力指数的DPoS共谋攻击检测与预防. 通信学报. 2022(12): 123-133 . 百度学术
    11. 康海燕，邓婕. 区块链数据隐私保护研究综述. 山东大学学报(理学版). 2021(05): 92-110 . 百度学术
    12. 李凌霄，袁莎，金银玉. 基于区块链的联邦学习技术综述. 计算机应用研究. 2021(11): 3222-3230 . 百度学术
    13. 何帅，黄襄念，刘谦博，江杨靖. DPoS区块链共识机制的改进研究. 计算机应用研究. 2021(12): 3551-3557 . 百度学术
    14. 孙晶，徐晓雅，赵会群. 基于PSO优化博弈的区块链共识算法. 计算机应用与软件. 2021(12): 251-261+340 . 百度学术
    15. 杨坤桥，王煜翔，郭兵，李强. 委托股权证明共识机制的改进研究. 计算机工程与应用. 2021(24): 107-114 . 百度学术
    16. 陈梦蓉，林英，兰微，单今朝. 基于“奖励制度”的DPoS共识机制改进. 计算机科学. 2020(02): 269-275 . 百度学术
    17. 李萌，武帅，谭建. 基于区块链技术的供应链金融平台优化设计. 信息技术与信息化. 2020(03): 95-97 . 百度学术
    18. 付瑶瑶，李盛恩. 授权股份证明共识机制的改进方案. 计算机工程与应用. 2020(19): 48-54 . 百度学术
    19. 赖英旭，薄尊旭，刘静. 基于改进PBFT算法防御区块链中sybil攻击的研究. 通信学报. 2020(09): 104-117 . 百度学术
    20. 江雨燕，郑炜晨，邵金. 基于改进PBFT算法的区块链技术在供应链溯源中的应用. 南阳理工学院学报. 2020(04): 23-29 . 百度学术
    21. 连耿雄. 基于区块链的可信移动应用市场. 计算机与现代化. 2019(03): 58-61+67 . 百度学术

    其他类型引用(54)

    • 资源附件(0)
计量
  • 文章访问数:  1011
  • HTML全文浏览量:  2
  • PDF下载量:  385
  • 被引次数: 75
出版历程
  • 发布日期:  2018-09-30

目录

摘要
HTML全文
    参考文献(0)
    相关文章
    施引文献(75)
    资源附件(0)

    /

    返回文章
    返回
    邮件订阅 RSS
    微信订阅号<br/>（实时资讯）

    微信订阅号
    （实时资讯）

    微信服务号<br/>（同步网站）

    微信服务号
    （同步网站）

    微信视频号<br/>（视频分享）

    微信视频号
    （视频分享）

    CCF<br/>（扫码入会）

    CCF
    （扫码入会）

    版权所有 © 《计算机研究与发展》编辑部

    本系统由北京仁和汇智信息技术有限公司开发  百度统计