一种基于数据关联的自动内存证据分析方法

摘要

一种基于数据关联的自动内存证据分析方法，借助关键数据结构分析以及聚类方法全面分析了进程、文件、用户、动态链接库等主要内存数据之间的各种关系；对于进程与其他信息之间，依次自动识别进程与文件关联、进程与动态链接库关联、进程与用户关联以及进程与网络报关联；对于进程与进程之间的关联，依次可自动识别进程间父子关联、进程间服务关联和进程间通信关联。通过描述这些关系，本方法可以将彼此独立的数据组织成关联图，从更高的语义层次揭示原始证据的含义。