36、数字取证与大规模处理任务稳定性建模

数字取证与大规模处理任务稳定性建模

1. 数字取证证据收集架构

在数字取证调查中，证据收集的标准化和有效处理至关重要。目前存在多种基于不同技术的方法。

• 基于XML的方法 ：有研究提出了DEX（Digital Evidence Exchange）格式，它可以采用基于XML的方式表示各种取证工具的输出，还具备追踪特定指令和工具使用顺序的能力。不过，这些项目虽然促进了标准化格式和工具互操作性，但未能传达其所代表内容的语义信息。
• 基于RDF的方法 ：RDF虽然能够表达任意元数据，但在数字调查领域的应用有限。不过，它支持创建具有标准或自定义类型的属性，而不仅仅是字符串类型，这是一个重要的改进。最著名的应用是在AFF4取证格式项目中，AFF包含原始获取数据的副本以及任意元数据，如系统相关信息或用户指定的信息。
• 基于本体的方法
  • FORE项目 ：FORE（Forensics for Rich Events）架构由法医本体、事件日志解析器和自定义规则语言FR3组成。法医本体基于表示有形对象及其随时间状态变化的两个主要概念。用FR3语言表达的规则会根据知识库进行评估，以在实例之间添加新的因果关系。
  • 其他应用 ：有研究使用空白本体对从取证工具检索的结果进行编码，强调相关数据类型及其关系，并使用本体查询语言（SQWRL）提取具有证明价值的额外信息。还有研究引入了基于三层本体ORD2I的方法来表示任何数字事件，ORD2