CN111522625B - 一种云端数据在线取证系统及方法 - Google Patents

Abstract

本发明公开了一种云端数据在线取证系统及方法，本方案由云取证分析系统，存证数据云，调证接口，存证接口配合构成；云取证分析系统用于获取动态的取证分析需求，根据取证分析需求通过调证接口向对应的云服务商调取取证分析所需的云数据；存证数据云通过存证接口接收并存储云服务商返回的云数据；云取证分析系统从存证数据云中获取云服务商返回的云数据进行云数据的取证分析形成数据证据。本方案通过构建能够进行在线取证的云平台，实现进行云端数据的全程在线取证，大大简化了云数据取证的难度，有效解决了现有云端取证整体所面临着数据固定难、证据提取难、事件重现难的问题。

Description

一种云端数据在线取证系统及方法

技术领域

本发明涉及数据取证技术，具体涉及云端数据的取证技术。

背景技术

随着云计算的普及，越来越多的网站、APP后端都架设在公有云上。数据库、日志数据也在云端存储，云端数据成为非常重要的线索和证据来源，在案件查办的过程中具有重大意义。云上数据的取证和传统的取证相比具有较大的难度，公有云平台服务器规模大、待取证数据量大、网络环境复杂、数据分布范围广，涉及的机器多，也较难扣押，获取数据和分析数据的难度都很大。

传统针对计算机和手机等设备的取证方式较为直接，可以获取或者扣押设备，采用专用的分析设备和软件进行数据提取。这种取证方式将无法应用于对云端数据的取证。

当前，对云端数据的取证方式主要有两种：

第一种，远程取证，例如使用爬虫的方式，远程获取网站的数据；对于部署在云端的APP，可以从用户设备上提取到凭证，进行登录，远程获取云上数据。

第二种，调证，向云服务商提出调证文书和需求，从云服务商获得日志数据、虚拟机镜像等，目前主要是线下调证的方式(人工进行递交文书、拷贝相关数据)，之后对于获取到的镜像，目前一般采用离线仿真的方式，搭建环境，将镜像加载运行，进行现场还原。

通过上述两种方式进行对云端数据进行取证，整体面临着数据固定难、证据提取难、事件重现难的问题。

上述问题在实际操作过程中具体体现如下。

(1)调证时间久：大型的案事件，可能涉及到上百台服务器，向云服务商线下调证的方式，需要拷贝大量数据，需要的时间长。

(2)仿真成本高：需要采用提前购买服务器，并搭建云环境进行仿真，不能按需申请并使用资源，这里的仿真主要为加载虚拟机镜像，并还原操作系统、应用、网站等过程。

(3)仿真操作复杂：将大量的涉案虚拟机镜像加载、配置，并分析网络连接关系并配置，操作复杂，难度高。

(4)分析协作性差：在一个地点搭建的云环境并进行仿真分析，难以支持异地分析，还需搭建安全接入环境等，较为复杂。

发明内容

针对现有云端数据取证方案所存在的问题，本发明的目的在于提供一种云端数据在线取证系统，并基于该取证系统提供一种云端数据取证方法，由此实现对云端数据进行快速且有效的数据固定、证据提取、事件重现。

为了达到上述目的，本发明提供的云端数据在线取证系统，包括：云取证分析系统，存证数据云，调证接口，存证接口；所述云取证分析系统用于获取动态的取证分析需求，根据取证分析需求通过调证接口向对应的云服务商调取取证分析所需的云数据；所述存证数据云通过存证接口接收并存储云服务商返回的云数据；所述云取证分析系统从存证数据云中获取云服务商返回的云数据进行云数据的取证分析形成数据证据。

进一步地，所述云取证分析系统以云服务的形式运行。

进一步地，所述云取证分析系统中至少包括如下一种功能单元：

调证单元，所述调证单元接收调证指令，生成标准格式的调证请求，通过调证接口向对应的云服务商调取证据数据；

仿真单元，所述仿真单元从存证数据云中获取云服务商返回的数据，进行仿真环境的搭建，实现事件现场还原，从而可进行证据数据的提取；

分析单元，所述分析单元对仿真还原的现场进行分析，定位到证据数据；

报告与展示单元，所述报告与展示单元对分析单元产生的分析结果进行展示，呈现数据证据。

进一步地，所述存证数据云存储从云服务商返回的各项云数据，并可将不同用户的数据进行隔离存储。

进一步地，所述云端数据在线取证系统可进行跨地域远程分析，基于隔离技术对于同一份证据数据可并行多组的虚拟仿真和取证分析。

进一步地，所述调证接口可标准化地传输调证指令，使得云服务商能够自动化的识别调证指令，快速定位并生成符合格式的证据数据。

进一步地，所述存证接口可对存证数据云中的证据数据进行快速调取和解析。

进一步地，，所述存证接口还可定义数据类型和/或数据量。

进一步地，所述仿真单元通过仿真接口与存证数据云进行数据交换。

进一步地，所述分析单元通过分析接口与存证数据云进行数据交换。

为了达到上述目的，本发明提供的云端数据取证方法，所述方法构建能够进行在线取证的云平台，基于该可在线取证的云平台对云服务商进行在线数据调证。

进一步地，在进行在线数据调证时，可进行在线仿真还原现场。

进一步地，所述方法可进行同源同构的在线仿真，在构建的能够进行在线取证的云平台中搭建相应事件在云服务商中运行时的仿真环境，将从云服务商中获取到的证据数据在搭建的仿真环境运行，完成数据证据的固定保全。

进一步地，所述方法进行在线仿真时，按需动态分配仿真资源，自动分析网络拓扑、配置所需环境。

进一步地，所述能够进行在线取证的云平台可由相应可信任第三方运行。

本发明提供的云端数据取证方案通过构建能够进行在线取证的云平台，据此实现对多个云服务商的兼容，并实现进行云端数据的全程在线取证，包括云数据的获取、存储、仿真分析等全部在线完成，大大加快了云数据取证的效率，大大简化了云数据取证的难度，有效解决了现有云端取证整体所面临着数据固定难、证据提取难、事件重现难的问题。

再者，本方案在具体实施，通过引入可信任第三方，统一在线调证、存证接口，实现全程线上调证，加快数据获取的获取。

附图说明

以下结合附图和具体实施方式来进一步说明本发明。

图1为本发明实例中云数据在线取证系统的系统原理图。

具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。

本实例针对云端数据进行取证的问题，通过构建能够进行在线取证的云平台，并基于该可在线取证的云平台兼容对接相应的云服务商，实现进行在线数据调证。

在进行在线数据调证时，同样基于该可在线取证的云平台进行在线仿真还原现场，由此来降低云端数据取证的难度，提高云端数据取证的效率。

参见图1，期所示为本实例给出的云数据在线取证系统的系统原理图。该系统能够针对云端数据进行全程的在线取证。

由图可知，本云数据在线取证系统100在构成上主要由云取证分析系统110，存证数据云120，调证接口130，存证接口140相互配合构成。

本系统中的云取证分析系统110拥有获取用户200动态的取证分析需求，根据取证分析需求通过调证接口130向对应的云服务商300调取取证分析所需的云数据；与此同时，存证数据云120通过存证接口140接收并存储云服务商300返回的云数据。再者，云取证分析系统110从存证数据云120中获取云服务商返回的云数据进行云数据的取证分析形成数据证据，并反馈给相应的用户200。

作为举例，本云取证分析系统110为了满足在线取证的要求，其具有调证、仿真、分析、报告和展示功能中的一种或多种功能。

具体的，本云取证分析系统110主要包括调证单元111、仿真单元112、分析单元113以及报告与展示单元114。

这里的调证单元111用于从用户200处接收调证的权限说明和具体调证指令，生成标准格式的调证请求，并通过调证接口130对接云服务商300，并向云服务商300调取证据数据。在具体实现时，这里的调证请求可由具有权限的监管方进行审批。

仿真单元112，其主要用于针对从云服务商获取到的云数据，比如虚拟机镜像，进行仿真运算实现现场还原，即将虚拟机镜像加载运行，还原操作系统、网站、数据库等，之后可进行证据数据的提取。作为举例，该仿真单元112可通过相应的仿真接口150从存证数据云120中获取其存储的从相应云服务商获取到的云数据。

分析单元113，其用于针对仿真单元112仿真运算还原的现场，如操作系统、网站、数据库等，进行具体分析，定位到证据数据。这里的分析单元113可通过相应的分析接口160从存证数据云120中获取复制的证据数据，用于进行仿真分析。由于整个系统可基于云端部署，数据调取的过程是云上执行拷贝，数据处理速度快；再者，分析单位113可根据需求调取不同的数据，实用性强。

这里需要说明的，本分析单元113具体进行怎样的分析可根据实际情况，此处不加以限定。

报告与展示单元114，其用于将分析单元113所形成的分析结果展示出来，实现云端数据证据的呈现。

由此形成的云取证分析系统110在具体运行时，可运行在相应的公有云，该公有云可由云服务商运行管理。同时，在此基础上进一步引入可信任第三方(TTP)400，由该可信任第三方(TTP)400进行运行管理，以云服务的方式提供相应的功能服务或资源。

本系统中的存证数据云120用于通过存证接口140获取并存储云服务商300根据调证请求所返回的云数据，这里的云数据包括但不限于证据数据、仿真环境及相关数据、分析结果数据等。

在具体实现时，本存证数据云120可采用VPC隔离的方式，将不同用户的数据进行隔离。同时，根据需要还可采用VPN等手段实现跨地域远程分析即，可对于同一份证据数据例如多个服务器镜像，可以根据不同用户的需求，支持多用户同时在线进行仿真。多用户同时仿真时，例如一份证据数据包括10个服务器镜像，用户(如取证分析人员)A可以选择其中1台进行仿真取证，用户B可以选择其中8台进行仿真取证；用户A和用户B所运行的仿真环境使用同一份源镜像数据，但是分别构造两个仿真取证运行环境，通过VPC(虚拟专用网络)隔离，互不影响，而远程仿真通过VPN实现。

作为举例，在远程云服务器上实现存证数据云120和云取证分析系统110，这样将获取的云服务器镜像(证据数据)存储在远程云服务器上，并且在远程云服务器上进行在线仿真。跨地域远程分析利用VPC隔离的技术，可以同时支持多个案件的并行虚拟仿真和取证分析。

在基于VPN实现跨地域远程分析时，由云取证分析系统生成VPN证书与VPN客户端软件。取证分析人员下载VPN客户端软件与相关配置文件，在需要加入到仿真网络中的取证设备上直接运行VPN客户端即可加入取证分析环境。取证人员可通过获取存证云服务器地址和登陆账号密码进行证据的获取和分析，通过这种方法可实现云服务器数据的在线获取、查看与分析，同时可支持多人在线远程协作，完成案件跨地域的协作。

进一步地，在通过授权之后，可获取云服务器镜像的相关入口，取证分析人员可通过VPN可获得存证数据云上的数据。

由此构成的存证数据云120在具体运行时，可运行在相应的公有云，该公有云可由云服务商运行管理。同时，该存证数据云120可由该可信任第三方(TTP)400进行运行管理。另外，根据需求，该存证数据云120也可以运行私有云。

本系统中在云取证分析系统110和存证数据云120以及相应的云服务商300之间采用相应的接口进行数据交换，这样通过统一调证接口、存证接口，便于统一与多家云服务商对接，实现可扩展、易部署、兼容性强。

在具体实现时，为了提高可扩展性、兼容性，可采取接口统一标准化的方式，作为举例可采用XML等协议，实现对接口传输的数据进行标准化，并定义相关字段。

在此基础上，对本方案中涉及到的接口的实现进行举例说明。

作为举例，本实例方案中的调证接口130可用于标准化地传输调证指令。

针对不同的云服务商，本实例通过调证接口130发送格式化的调证需求，使得不同的云服务商能够自动化的识别调证指令，如需要的数据的标识、类型、位置、格式等信息，快速定位并生成符合格式的证据数据。

另外，根据需要，本调证接口还可以根据云平台容量、地域等需求，指定调证数据的存储位置。

再者，为了满足在线数据取证的要求，本调证接口130可以传输以下信息中的一种或多种，包括：云服务商标识(作为举例，如阿里云、腾讯云、电信云等)、案件编号、案件信息、案件类型、调证权限信息(正式文书、电子证书、用户token等)、数据调取类型(作为举例，如ecs服务器镜像、rds服务器镜像等)、地域信息、用户标识、IP公网地址/私网地址、域名对应的网站数据、虚拟机标识、数据库名称、用户登录日志、用户注册信息、实名信息、用户缴费信息、服务器配置日志、服务器管理日志等。

进一步地，本调证接口130可以选取备份时长，比如1个月内的数据库备份。

再者，本调证接口130还可传输存证位置信息，如在调证指令中加入位置信息，由此实现告知云服务商调取的证据数据存储位置，便于高效利用存证资源，提高在线调证的效率和准确性。

本实例方案中的存证接口用于对存证数据云中的证据数据进行快速调取和解析。针对云服务商遵守接口传输格式，将证据数据发送到存证数据云120，通过存证接口从存证数据云120中调取证据数据时，可以自动化的解析存证云的数据。

本存证接口140在具体实现时，其可定义数据类型(镜像/系统日志/数据库等)、数据量。

作为举例，这里的数据类型定义方法为根据市场上主流云服务商所支持的数据，例如云服务器镜像、云数据库镜像、云存储镜像，以及其主要格式。

当然，除了镜像外，调证的数据类型还可能包括：

日志：云平台、操作系统、应用系统、数据库；

配置信息：云平台、操作系统、应用系统、数据库。

再者，这里的数据量的定义方法可采用预留字段，说明某种数据的大小，例如云服务器镜像的大小，便于存证云调配存储资源。

本实例方案中的仿真接口150，其可定义虚拟机数量，虚拟机镜像位置(位于存证云)，网络拓扑描述(例如，虚拟机公网IP/私网IP、交换机/路由器数量及连接关系等)，VPN配置信息等。

本实例方案中的分析接口160用于配合分析单元113按需且快速的从存证数据云120中获取复制的证据数据，用于进行仿真分析。

根据上述方案形成的云数据在线取证系统100，其通过在线调证的方式，统一调证接口、存证接口，兼容多个云服务商，将调证数据存储于存证云，由此有效解决现有云端数据取证时调证时间久的问题。

本系统可实现在线仿真，同时引入可信任第三方(TTP)，运行在线仿真的服务，使得用户(调查员)可以根据需求，动态地向TTP提出仿真资源需求，TTP以云服务的方式提供所需资源，由此大大降低仿真成本，有效解决现有云端数据取证时仿真成本高的问题。

本系统可通过在线仿真，并引入可信任第三方(TTP)，实现进行同源同构的仿真，实现包括网络拓扑分析、镜像格式分析、不同版本的虚拟机密码绕过等技术。

作为举例，本云数据在线取证系统运行在可信任的第三方云平台，形成相应的在线仿真云服务器平台，进行在线仿真，即从云服务器调数据证据后，云平台(云服务商)将镜像文件推送到在线仿真服务器平台直接进行在线仿真，无需进行镜像下载操作。

由于云平台独特的底层软硬件支撑环境，使得通过镜像等方式固定保全的云服务器数据无法利用传统取证技术手段进行虚拟仿真。对此，本云数据在线取证系统运行所形成的在线仿真云服务器与云服务平台(云服务商)具备同源的底层架构，使得固定保全的证据数据在取证云上具备同样的存储结构。

如此，作为举例，在固定保全阶段，可以将调取的云资产信息完整复制到待取证的网络中，并配置好路由信息、主机信息和IP信息，完成之后就可以在虚拟取证网络中进行访问浏览。通过VPC保证不同的网络之间的隔离，采用脚本自动化配置和原环境相同的虚拟主机IP、主机名、路由信息、DNS解析信息以及虚拟主机信任关系，即可将待取证的证据信息进行系统仿真。

本系统通过提供在线仿真服务的方式，可按需动态分配仿真资源，自动分析网络拓扑、配置所需环境，降低用户离线手动仿真的复杂度，这样用户(调查员)只需给出仿真的指令或需求，既可实现在线仿真，这样大大简化仿真操作复杂程度。

作为举例，本云数据在线取证系统运行在可信任的第三方云平台，这样仅需要把数据放到仿真平台，即可按需分配资源，如通过挂载Qemu-img工具可将导入镜像转化为仿真平台支持的格式，以此达到自动化的加载不同云平台上的各类格式镜像的功能。同时，系统还可自动配置网络环境，快速还原案件的网络现场，进而降低了用户离线仿真的复杂度，缩减取证时间。这样使得用户(调查员)只需给出仿真的指令或需求，既可实现在线仿真，这样大大简化仿真操作复杂程度。

本系统还可实现共享的在线仿真环境，即多个具有权限的用户(例如异地用户调查相同的案件)可以通过相应的安全手段，接入到调证、仿真和分析数据，如采用VPN连接的方式，由此实现在线仿真环境共享，有效解决现有云端数据取证时分析协作性差的问题。

以下基于本实例给出的云数据在线取证系统100来进行云端数据取证的实施过程举例说明。

参见图1，通过本云数据在线取证系统100进行云端数据取证时，主要包括调证和存证阶段，以及仿真分析阶段。

其中，调证和存证阶段的实现如下：

1)用户200向云取证分析系统110发起调证请求，这里的调证请求可包含：授权信息(调证文书等)、调证描述(如某公有云、IP地址为xxx、名称为yyy的虚拟机镜像)，具体可携带的字段见上述接口说明。

2)云取证分析系统110审核授权信息通过后，其中的调证单元111以标准的格式(如XML)，生成调证信息描述，形成相应的调证请求。

3)调证单元11将调证请求通过调证接口130发送到相应的云服务商300。在具体实施现时，可选地点，可以指明存证的位置，可根据实际需求而定。

4)云服务商300在接受到相应的调证请求后，在内部进行数据收集，并通过存证接口140，将相关云数据以标准的规则格式，存入存证数据云120，例如<数据类型，数据量，数据>。

接着，进入仿真分析阶段。

5)云取证分析系统110从用户200接收仿真请求，作为举例，这里的仿真请求包括仿真节点信息(虚拟机id、ip等信息)，但并不限于此。

6)云取证分析系统110中仿真单元112根据用户请求信息，通过仿真接口到存证数据云120中获取相关数据，例如虚拟机镜像等。

7)云取证分析系统110中仿真单元112在获取到相应的数据后，根据需求，划分计算、存储和网络资源，模拟运行环境，加载虚拟机镜像并配置网络连接等，实现操作系统、网站和云端应用的还原。

通过上述实例方案可知，本方案在具体应用时，相对于现有云端数据取证方式，具有如下优点

(1)调证速度快，接口统一标准，减少人工操作；

(2)仿真速度快，降低了用户操作仿真过程的复杂性；

(3)按需申请和释放仿真资源，资源有效利用

(4)证据数据和仿真数据的存储，采用安全隔离策略，允许具有权限的多用户异地访问。

最后需要说明的，本发明的方法，或特定系统单元、或其部份单元，为纯软件架构，可以透过程序代码布设于实体媒体，如硬盘、光盘片、或是任何电子装置(如智能型手机、计算机可读取的储存媒体)，当机器加载程序代码且执行(如智能型手机加载且执行)，机器成为用以实行本发明的装置。上述本发明的方法与装置亦可以程序代码型态透过一些传送媒体，如电缆、光纤、或是任何传输型态进行传送，当程序代码被机器(如智能型手机)接收、加载且执行，机器成为用以实行本发明的装置。

以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。

Claims (10)

1.云端数据在线取证系统，其特征在于，包括：云取证分析系统，存证数据云，调证接口，存证接口；所述云取证分析系统用于获取动态的取证分析需求，根据取证分析需求通过调证接口向对应的云服务商调取取证分析所需的云数据；所述存证数据云通过存证接口接收并存储云服务商返回的云数据；所述云取证分析系统从存证数据云中获取云服务商返回的云数据进行云数据的取证分析形成数据证据；所述云取证分析系统中至少包括如下一种功能单元：

调证单元，所述调证单元接收调证指令，生成标准格式的调证请求，通过调证接口向对应的云服务商调取证据数据；

仿真单元，所述仿真单元从存证数据云中获取云服务商返回的数据，进行仿真环境的搭建，实现事件现场还原，从而可进行证据数据的提取；

分析单元，所述分析单元对仿真还原的现场进行分析，定位到证据数据；

报告与展示单元，所述报告与展示单元对分析单元产生的分析结果进行展示，呈现数据证据；

所述存证数据云存储从云服务商返回的各项云数据，并可对不同案件、不同调证用户的数据进行隔离存储；所述云端数据在线取证系统可进行跨地域远程分析，基于隔离技术对于同一份证据数据可并行多组的虚拟仿真和取证分析；所述调证接口可标准化地传输调证指令，使得云服务商能够自动化的识别调证指令，快速定位并生成符合格式的证据数据；所述存证接口可对存证数据云中的证据数据进行快速调取和解析。

2.根据权利要求1所述的云端数据在线取证系统，其特征在于，所述云取证分析系统以云服务的形式运行。

3.根据权利要求1所述的云端数据在线取证系统，其特征在于，所述存证接口还可定义数据类型和/或数据量。

4.根据权利要求1所述的云端数据在线取证系统，其特征在于，所述仿真单元通过仿真接口与存证数据云进行数据交换。

5.根据权利要求1所述的云端数据在线取证系统，其特征在于，所述分析单元通过分析接口与存证数据云进行数据交换。

6.权利要求1-5中任一项所述的云端数据在线取证系统的云端数据取证方法，其特征在于，所述方法构建能够进行在线取证的云平台，基于该可在线取证的云平台对云服务商进行在线数据调证。

7.根据权利要求6所述的云端数据取证方法，其特征在于，在进行在线数据调证时，可进行在线仿真还原事件现场。

8.根据权利要求7所述的云端数据取证方法，其特征在于，所述方法可进行同源同构的在线仿真，在构建的能够进行在线取证的云平台中搭建相应事件在云服务商中运行时的仿真环境，将从云服务商中获取到的证据数据在搭建的仿真环境运行，完成数据证据的固定保全。

9.根据权利要求7所述的云端数据取证方法，其特征在于，所述方法进行在线仿真时，按需动态分配仿真资源，自动分析网络拓扑、配置所需环境。

10.根据权利要求6所述的云端数据取证方法，其特征在于，所述能够进行在线取证的云平台可由相应可信任第三方运行。

Images