基于透明度的取证效果评估方法、取证分析装置及方法

摘要

本发明提供一种基于透明度的取证效果评估方法、取证分析装置及方法。该取证分析装置以基于透明度的取证效果评估方法为设计依据，包括：基于裸机的运行环境、近透明取证系统和取证分析系统；所述基于裸机的运行环境，构建于真实的裸机平台上，不开启新的硬件接口，并构建有真实硬件设备的运行记录；所述近透明取证系统设置在内核中，包括Snipschedule快照调度器，所述Snipschedule快照调度器采用被动唤醒策略，所述被动唤醒策略指当攻击触发时，唤醒Snipschedule快照调度器对内存页当前状态进行快照留存，并将快照传送至取证分析系统；所述取证分析系统，用于根据接收的快照对内核进程数据、proc文件和task_struct相关数据进行交叉比对分析。