10、移动数据取证中的机器学习方法概述

移动数据取证中的机器学习方法概述

1. 引言

移动取证数据分析（MFDA）是移动取证（MF）领域中一个相对较新且发展不足的子学科。目前，数字取证研究大多集中在数据收集上，而对检查和分析阶段关注较少。众多研究强调了实施智能解决方案以减轻人工调查压力的必要性。

随着移动设备的广泛使用，其在犯罪现场出现的频率增加，移动设备取证的重要性也日益凸显。数字取证在从公司内部审计到执法部门的刑事调查等各种场景中都有应用。移动设备取证旨在从手机等日常使用的设备中恢复和收集数据，它基于既定的方法和标准进行数据收集，以评估物品、事件或人工制品是否属实。

然而，移动设备取证专家在工作中面临诸多障碍。移动设备不断升级，导致现有的数据恢复取证设备难以适配新型号设备。与处理器取证不同，移动设备取证需要应对各种硬件和软件标准，开发通用标准工具十分困难。嵌入式软件更为专业，数据收集方法也不规范，随着新手机的快速推出和新软件的使用，问题愈发严重。

移动设备取证工具的目标是在不改变数据的情况下提取信息，并及时更新以跟上设备硬件和软件的快速发展。设备可分为取证和非取证两类，各有不同问题和解决方案。为解决这些问题，尝试了两种方法：一是缩短手机发布与取证工具可用之间的时间；二是为评估工具在特定设备上的有效性建立基线。

第一种方法通过添加“手机管理器程序过滤”层，在编程边界和库之间提供一定程度的程序信息独立性，且多数移动管理器在Windows上运行。该方法的主要目的是获取并修改移动管理器，防止危险的“写入”指令，通过过滤器实现这一功能，过滤器会阻止危险指令，以二进制形式拦截目标手机信息并传输给手机管理进行解码。第二种方法是提供基准或测试数据用于评估取证工具，用户将所需数据填充到手机中，