大數據環境下的電子取證研究

劉衛華

摘 要：隨著網絡信息技術的快速發展，高科技犯罪正在興起，特別是近年來，云計算技術發展迅速，信息數據量劇增、數據加密等都給電子取證帶來了新的挑戰，因此大數據環境下的電子取證問題具有重要的科學研究和實際應用價值。文章將對傳統電子取證技術進行分析研究，并結合已有的取證方法，提出了層次化電子取證模型來進行海量數據的挖掘與處理，從而解決傳統電子取證的局限性，在電子取證工作和案件的偵破方面具有極高的理論和應用價值。

關鍵詞：電子取證；大數據；云計算；云存儲

中圖分類號：TP181 文獻標志碼：A 文章編號：2095-2945（2018）35-0075-02

Abstract： With the rapid development of network information technology， high-tech crime is on the rise， especially in recent years， the rapid development of cloud computing technology， the rapid increase in the amount of information， data encryption and other electronic forensics have brought new challenges. Therefore， the issue of electronic forensics under the environment of big data has important scientific research and practical application value. This paper will analyze and study the traditional electronic forensics technology， and based on the existing forensics methods， propose the hierarchical electronic forensics model to carry on the massive data mining and the processing， thus solves the limitation of the traditional electronic forensics. This has the extremely high theory and the application value in the electronic forensics work and the case detection aspect.

Keywords： electronic forensics； big data； cloud computing； cloud storage

1 概述

隨著大數據時代的到來，“數據”越來越受到人們的重視，其價值也超越了以往其他時候。預計到2020年，全球的數據總量將達到40ZB，而地球上人均數據預計將達到5247GB。那么，面對如此巨大的數據量，我們如何獲取有效數據，并分析利用這龐大的數據將成為未來信息化建設進程中亟待解決的問題。特別是近年來，云計算技術的迅速發展，使得信息數據量劇增、數據的維度增多，這就給電子取證帶來了挑戰同時也帶來了機遇。因此，大數據環境下的電子取證具有極其重要的研究價值。

2 電子取證的基本概念

電子證據就是信息數字化過程中形成的以數字形式存在的能夠證明案件事實情況的數據。隨著計算機技術以及網絡信息技術的快速發展，電子證據越來越受到人們的重視。

美英等西方國家是最早設立電子數據取證機構的國家，早在1984年，聯邦調查局就已經建立了計算機分析與響應小組；隨后，英國在大都會警察局設立了計算機取證部門。我國的電子取證發展較晚，2013年1月1日施行的 《中華人民共和國刑事訴訟法》首次將“電子數據”正式列入證據類型中，標志著我國電子取證技術的日益成熟。作為新的證據種類，電子證據的作用越來越凸顯。

3 傳統電子取證的局限性

傳統電子取證研究的關鍵問題是：如何獲取有效的數據并將獲得的數據關聯起來以作為證據，并且通常采用線性方式處理單個案件，而在大數據環境下，電子證據不再局限于單個機器，而是存在于不同的物理主機和服務器上[1]。由于地理空間的分離，案件處理人員無法及時分析中間數據，無法共享和交換數據，因此，無法實現“傳播”和“共享”通信[2]。

網絡犯罪形式呈多樣化、高科技化發展，海量數據的存儲逐漸變成本地與云端相結合，而不再是僅僅存于計算機中[3]。云端數據因其方便的傳輸也在很多案件中被犯罪分子利用，面對這些改變，傳統的電子取證技術、工具已不再適用[1，4]。

4 構建層次化電子取證模型

為了解決傳統電子取證的難題，并且應對數據的快速增長，新的電子取證必須解決三大問題：證據存儲、證據分析和證據管理。針對圖1中執法部門實際工作的四個主要場景[5]，提出構建大數據環境下的層次化電子取證模型，模型如圖2所示，分為資源調度層、公共服務層、證據分析層、取證監管層、證據獲取層和基本服務層，每層模塊都有自己單獨的作用[6]，下層模塊服務于上層模塊，上層模塊調用下層模塊，幾大模塊之間彼此關聯組合，能夠從源頭上、流程上、功能上全面解決執法工作范圍大、取證環境復雜、時效性強、現有設備難以滿足證據管理等需求[7，8]。

基本服務層：本層是整個取證過程的基礎服務層，為整個平臺提供主機、服務器、虛擬化設備、軟件、數據庫、網絡等基礎物理設備資源。包括日志服務、虛擬機服務以及平臺管理服務等。而這里我們將重點放在虛擬機服務中，并且必須將相關的內容都進行認真處理和記錄。

證據獲取層：證據獲取層是大數據環境中電子取證的關鍵層、核心層。傳統的證據獲取只需要對瀏覽痕跡、日志文件、上網記錄等進行證據的分析提取即可，而這些是屬于物理資源取證。但對于大數據環境下的云計算電子取證，除了傳統的物理資源取證外，最重要的還需要對虛擬資源取證，需要對虛擬機進行隔離遷移到取證服務器或者本地，再進行取證分析[2]。

取證監管層：取證監管層的主要任務是對上面的基礎服務層和證據獲取層的所有操作進行監管、記錄，并生成報告，以確保數據的有效性，而且能成為法律的依據[1，2]。

證據分析層：完成證據的分析與處理是證據分析層的主要任務，利用數據挖掘技術對證據獲取層獲取的數據資源進行有效的證據處理分析。在分析過程中，為了保證證據的安全有效，每一環節都要進行時間記錄[1]。

公共服務層：公共服務層也可以稱為證據呈現層，本層主要是根據取證分析層給出的結果利用網絡等為辦案人員呈現出取證結果。

資源調度層：根據整個系統的資源使用情況，及時合理的進行調度安排，防止出現網絡堵塞、速度緩慢等故障，確保系統高效運行。

以上各層都既有自己單獨的功能，又彼此關聯，能很好地服務于電子取證工作，給工作人員提供幫助，減少辦案人員的工作量。

5 結束語

大數據以及云計算技術的高速發展，給電子取證以及案件的偵破帶來了許多困難，但也為偵破人員提供了新技術和新方法。本文提出層次化電子取證框架，為大數據環境下的電子取證工作提出了取證思路，解決了取證工作中證據不易于發現搜集、難存儲等問題。

當然，面對著網絡科技的飛速發展和網絡犯罪技術手段的不斷提高，靠個人技術進行電子取證已經無法滿足需要，取證技術的發展趨勢是伴隨著信息科技發展而同步的，未來單機版的取證工具將被分布式的綜合取證工具系統代替，結合人工智能、機器學習等進行智能化的自動關聯、碰撞、比對，獲取各數據源之間的關聯性，以反映網絡罪犯的真實犯罪過程。

參考文獻：

[1]姜鳳燕，姜瑾，姜吉婷.基于大數據環境的電子取證研究[J].信息網絡安全，2016（9）：60-63.

[2]張昆.云計算環境中電子取證技術研究與實現[D].成都：電子科技大學，2014：1-5.

[3]許蘭川，盧建明，王新宇，等.云計算環境下的電子取證：挑戰及對策[J].刑事技術，2017（2）.

[4]付忠勇，趙振洲.電子取證現狀及發展趨勢[J].計算機與網絡，2014：67-70.

[5]付連超.淺談大數據下的電子數據取證[J].技術與市場，2014（7）.

[6]楊曉超.大數據下電子數據取證在職務犯罪偵查中的應用[J].網絡法務，2015（413）.

[7]駱虎.信息安全預見與大數據時代的電子取證[J].中小企業管理與科技，2016（6）.

[8]王燃.大數據時代個人信息保護視野下的電子取證——以網絡平臺為視角[J].山東警察學院學報，2015（5）.

[9]楊芳菊.基于云的計算機取證系統研究[J].網絡安全技術與應用，2016（5）.