基于網絡協議的電子證據獲取研究

吳惠庶

摘要：互聯網的快速發展促進了電子信息時代的到來，這是一個全球信息網絡共享及肆意傳播的互聯網系統上的時代，如此開放性、包容性、廣泛性極強的網絡系統必然會隱藏著巨大的威脅——信息安全問題，將會給國家、社會乃至大量的網友帶來不可估量的損失。因此，建立健全保障信息安全的法律法規勢在必行，保障信息安全、網絡取證或者是電子證據獲取的技術也應運而生，電子證據獲取的技術發展將直接影響計算機技術的發展以及引發高端科技犯罪行為。文章基于網絡協議的分析進行了電子證據獲取的研究。

關鍵詞：網絡協議；電子證據獲取；入侵檢測

1 電子證據概述以及獲取的難度

1.1電子證據概述

電子汪據由于其表面的多樣性以及內在的無形的特點，加之當今電子信息技術的快速發展，以致于一度無電子證據的一個準確定義。我國對電子證據的定義也不統一，大致分為廣義和狹義兩種，廣義上的電子證據認為其功能主要是作為證據使用的一切電子形式的材料或者文本，而狹義上認為電子證據不過是高端科技犯罪分子在計算機亦或是網絡中留下的犯罪記錄。電子證據具有以下幾個特點：（l）易破壞性，因為其在虛擬的互聯網系統中非常容易由于修改、丟失、設備故障、病毒等破壞形式而導致電子證據的毀滅。（2）無形性，仍然是處于虛擬的互聯網體系中，人們不能很直觀地直視電子證據，并且一些高端科技犯罪，其電子證據都不是以某一種形式存在，必須通過一定的技術才可以進行獲取。（3）高科技性，互聯網技術相關的人才永遠都是最匱乏的，黑客預防永遠處于警惕狀態等，無不反映出其高科技性質。正基于此3個特點，筆者認為，電子證據就是在互聯網領域犯罪分子留下的一切能夠證明其犯罪的一切電子形式的材料[1]。

1.2電子證據獲取的幾點難度

1.2.1網絡犯罪難以發現并證據難以找到

隨著計算機技術的快速發展，犯罪分子的技術水平直接決定了電子證據獲取的難度，高科技的網絡犯罪可以通過互聯網相對隱蔽的方式進行或者只是在網絡內部進行盜取、竊聽信息等，此類的犯罪行為十分惡劣，但卻不會對本身的網絡系統或者是硬件造成影響，因而很難被發現，即使發現后犯罪分子也可以及時銷毀證據。

1.2.2電子證據與犯罪場地直接聯系

即使解決了犯罪分子的犯罪事實，很多時候卻無法進行犯罪分子的及時抓捕，因為他們的犯罪只是在網上，這與其本身所處的位置沒有任何關系，他只需要一臺電腦和互聯網就可以操作一切，這也是高科技犯罪的特點之一，就算是通過一些高端科學技術定位到犯罪分子所處位置，但由于地理環境及各種條件的限制，實施抓捕的時間有限，等找到作案地點時候，犯罪分子早己逃之天天。

1.2.3技術障礙與相關經驗不足

公安警官是人民的守衛者，但大多數不可能十分熟悉電子證據獲取的高端技術，這也給公安警官造成了很大麻煩，有了豐富的經驗卻沒有技術，而有技術的人員卻很少有過抓捕網絡犯罪分子的經驗，網絡公安警察隊伍的建設難度大、過程慢與當前的公安警官差別很大，電子證據獲取技術是建立在計算機網技術的基礎之上的。因此，電子證據獲取技術永遠都是落后于計算機網絡技術的發展，這也就間接導致了電子證據獲取技術很難有大的突破。

2 電子證據獲取技術

電子證據的獲取技術主要是指對犯罪分子在互聯網領域犯罪時留下的一切電子形式的證據的獲取，一般分為兩種：計算機取證和手機取證。計算機取證主要包含移動存儲介質的數據獲取、電子郵件存儲數據獲取、在線數據的獲取和計算機硬盤數據獲取；而手機取證主要包括當前流行的普通手機取證和智能機取證。電子證據的獲取技術方法主要有數據獲取技術（即對數據的篡改、修復和提取）和反取證技術（即對電子證據進行刪除、毀滅的方式使得取證工作失去意義）[2]。

2.1數據獲取技術

數據獲取技術主要是指通過應用并行技術對犯罪分子的證據數據以及被毀滅亦或是被篡改的證據進行高效而準確地獲取。并行技術主要是采用串行工作方式提高計算機硬盤的讀寫效率以及計算機的靜態數據分析，而電子取證難度較大一方面很重要的原因就是隨著計算機內存逐漸變大，取證的過程、效率變得越來越慢，只有在靜態數據分析完成以后才可以進行計算機的動態取汪過程，而且取證過程非常復雜而繁瑣，人為干擾的因素太多。同時，數據獲取技術分為兩路方向即解決硬盤數量多、內存大、復制慢等諸多硬件問題的分析與多路硬盤復制并行技術，以及可以降低分析時間的關鍵字搜索與復制并行技術，多路硬盤復制并行技術主要是通過結合軟硬件，實現多路硬盤復制同步進行并且多路硬盤相互不關聯、不干擾，總是處于高速運行的狀態下，解決了復制工作慢的問題。而取證過程慢還有一個原因就是在硬盤中或者是網絡系統中搜索關鍵字的速度慢，關鍵字在硬盤的搜索并不是有規律而是按部就班地全盤搜索，這樣會浪費大量的時間在搜索一些沒有用的信息上面，而關鍵字搜索與復制并行技術恰好就可以解決這一問題，關鍵字搜索與復制并行技術是可以在硬盤進行多路復制的同時也進行關鍵字的搜索，節約了大量的時間，提高了電子取證的效率。

2.2反取證技術

反取證技術主要是指犯罪分子針對公安部門對其進行的電子取證的反抗，應該說反取證技術是伴隨著取證技術發展的，或者說它們是相互依存的，因為它們總是處于相互克制、不斷進步的系統中，其實現的反取證的方式也很常見，就是通過刪除、篡改以及隱藏他們的犯罪證據，使得公安機關無法或者是短時間不能進行電子證據的獲取。因此，研究反取證技術也非常重要，通過反取證技術可以進一步了解犯罪分子進行毀滅證據的方式，也就進一步對取證技術進行改革與發展，反取證技術涉及的領域比較大，因而技術含量也相當高，但卻不得不對反取證技術進行研究，因為其是電子證據獲取、打擊犯罪分子有力的技術方法。

3 基于網絡協議的電子證據獲取

網絡協議分析是網絡入侵檢測系統中的一種非常重要的技術，網絡協議的物理地址以及IP地址是非常規則的，若想在操作中進行數據的盜取或者篡改，就必然會盜用他人的IP地址或者物理地址，而這個過程是可以通過計算機看到網絡的物理地址以及IP地址被盜取的時間，這樣也可以進一步對網絡盜用者進行判斷，而這些都可以通過網絡協議分析得到。網絡協議分析入侵檢測系統主要有兩種技術，即模式匹配技術和基于協議分析的檢測技術，模式匹配技術主要用于入侵的檢測，通過從網絡中讀取數據包而獲得字節，同時在特征庫中獲取字節相對比，對比的字節相同，則代表入侵檢測到了；若不相同，則還要繼續進行字節的提取。而基于協議分析的檢測技術具有一定的層次性，因而可以對網絡協議進行層層檢測與分析，相對于模式匹配技術來說，大大降低了計算機計算量，從而提高了效率。

本文在基于網絡協議的基礎上進行電子證據獲取，提出了一種新的研究方案，即根據網絡協議的高度嚴謹性和規則性，可以對網絡協議進行層層檢測與分析，從而獲得數據包中的大量的信息，如數據類型與流向、IP地址等，再將數據包的獲取結果與網絡數據結合實現對其進行分類，則可以實現對電子汪據的初步判斷，在分析和判斷結束后即可以對電子證據進行保存和獲取，最終實現電子證據獲取。電子證據獲取的過程大致分為網絡數據包捕獲模塊、協議分析模塊、竊取行為判別模塊、響應模塊（報警、阻斷、生成日志）等4個主要模塊。網絡數據包捕獲模塊主要是應用于捕捉目標機數據包并對其進行分析獲取相關信息，使得獲取的電子證據更加全面和準確；協議分析模塊即上文所介紹的網絡協議分析入侵檢測系統的機制，逐層進行數據包的分析和解析，使其獲得數據類型與流向、IP地址等，并且經網絡協議分析后，能實現數據包重組，減少特征值匹配的計算量，還原整個網絡行為；竊取行為判別模塊主要是針對常見的網絡犯罪模式，是根據協議分析模塊分析出的數據進行進一步的分析和判斷；響應模塊主要是根據竊取行為判斷模塊的判斷結果及時作出響應，識別出是犯罪行為立即進行電子證據的取證，并且這一過程是實時進行的，只有這樣才能更加全面準確地實現電子證據的獲取。

本文提出了電子取證的研究方案，并針對其進行方案的設計，給出電子汪據取汪的工作流程，對于系統中各個模塊的功能進行簡介。

4結語

本文在研究了電子證據的國內外發展現狀以及掌握相關知識的基礎上，探究了電子證據獲取的方法和技術，分析了其在電子證據獲取中應用的優缺點，以及當代電子證據獲取所存在的困境及問題，隨后提出基于網絡協議分析的電子證據獲取方案，經分析可以有效地實現快速檢測和獲取電子證據，當然本方案也有一定的不足，還會繼續深入研究。

[參考文獻]

[1]許康定電子證據基本問題分析[J]法學評論，2002 （3）：94-99.

[2]李學軍電子數據與證據[J]證據學論壇，2001（2）：433-463