13、物联网中的数字取证技术解析

物联网中的数字取证技术解析

1. 数字证据的类型

数字证据根据其状态可分为三类：
- 活跃数据（Active Data） ：在收集时通常存储和维护在存储设备中的文件。这些文件易于访问，无需重建，不过可能受到加密等保护。
- 环境数据（Ambient Data） ：已被删除的文件，可能以碎片化形式存在于磁盘存储中。若要访问这些文件，可能需要扫描磁盘存储以进行重建。
- 存档数据（Archive Data） ：存储在备份数据存储中的数据。

2. 网络杀伤链

“杀伤链”概念最初由军事领域提出，用于定义对手攻击目标的阶段。2011 年，相关研究定义了“网络杀伤链”，描述了攻击者在网络攻击场景中所经历的阶段。通过了解这些阶段，防御者可以更好地识别和阻止攻击。以下是网络杀伤链的七个阶段及相应的防御措施：
|阶段|描述|防御措施|
| ---- | ---- | ---- |
|侦察（Reconnaissance）|攻击者在具体攻击事件发起前，监控并收集受害者的信息。他们常通过互联网搜索、邮件联系、电话询问员工等方式收集信息。|训练有素的员工应意识到可能成为受害者，减少信息公开披露。在分享机密信息前，需核实对方身份，并安全处理和销毁机密记录和文件。|
|武器化（Weaponization）|攻击者利用侦察收集的信息构建攻击手段，如设计受污染文件与个性化钓鱼邮件，或开发可通过 USB 驱动器传播的自我复制恶意软件。|若攻击者对预期受害者进行有限评估，可采取相应安全措施，但总体上此阶段可采取的安全机制较少。| <