17、云系统数字取证实验探究

云系统数字取证实验探究

在云系统的数字取证研究中，有多种关键的操作和实验值得深入探讨，下面将详细介绍相关的内容。

1. 实验操作方法

在实验中，主要采用了三种不同的方法来获取硬盘镜像，具体操作步骤如下：
- 受控关机（Controlled Shutdown） ：
1. 关闭实例操作系统，使实例虚拟机停止运行。
2. 通过控制台使用Unix的halt命令关闭节点。
3. 等待机器完成关机流程后，拔掉连接到墙上插座的电源插头。
4. 移除硬盘，并获取硬盘镜像。
5. 对硬盘镜像进行分析。
- 非受控关机（Uncontrolled Shutdown） ：
1. 由于使用的是标准个人计算机作为节点，直接从计算机的电源供应单元拔出电源线。
2. 机器立即关机后，移除硬盘并进行镜像处理。
3. 对硬盘镜像进行分析。
- 网络捕获（Network Capture） ：
1. 让节点保持运行状态，不进行关机操作。
2. 从外部机器通过安全外壳隧道（ssh）连接到节点。
3. 使用dd命令在连接到外部机器的分析驱动器上创建节点硬盘的镜像，该操作通过标准的TCP/IP局域网完成。需要注意的是，在捕获操作期间不能使用写阻止器，因为它会阻止镜像被创建到分析驱动器上。
4. 对捕获的硬盘镜像进行分析。

2. 实验硬件与软件配置

• 硬件配置 ：