12、虚拟机计算中法医证据的识别

虚拟机计算中法医证据的识别

在当今数字化快速发展的时代，虚拟化计算逐渐成为主流，对虚拟机进行法医调查在事件响应过程中变得至关重要。下面将详细介绍在Windows系统中可用于法医调查的各类证据及其相关信息。

1. 注册表中的互联网使用证据

注册表中存储了一些与互联网使用相关的有趣证据，例如用户输入的URL、表单自动完成信息以及浏览器偏好设置等。这些信息可以为调查人员提供用户在互联网上的活动线索。

2. Windows系统日志证据

Windows操作系统会详细记录计算机上发生的各种事件，这些日志对调查人员来说是宝贵的信息来源，因此需要特别关注。主要的日志类型包括Windows事件日志和Windows更改日志。
- Windows事件日志 ：包含了计算机上发生事件的大量数据，主要有安全日志、系统日志和应用程序日志三种。它们都位于 “C:\Windows\System32\Winevt\Logs” 目录下，在FTK中查看时，每个日志文件的扩展名是 “.evtx”。
- 安全日志 ：记录了计算机上的所有安全事件，如登录事件、登录失败、用户创建、用户权限更改、用户删除以及进程执行等。这些信息能清晰呈现特定用户登录期间的活动情况，还能记录尝试登录计算机的人员信息。通过分析安全日志，调查人员可以重建事件时间线。
- 应用程序日志 ：记录了运行应用程序产生的事件，包括错误、警告和信息性消息。调查人员可以通过登录事件确定用户的时间线，进而分析在此期间运行的应用程序以及用户在每个应用程序中的操作。
- 系统日