第一章 引言

1.1 本书的写作背景及意义

1.1.1 背景

1.1.2 意义

1.2 本书的主要内容

1.3 本书结构

第二章 计算机取证的相关研究

2.1 计算机取证技术和工具研究现状

2.1.1 取证技术

2.1.2 取证工具

2.1.3 基于网络数据流的计算机取证技术

2.2 计算机取证的理论研究

2.2.1 电子证据的法律认定

2.2.2 计算机取证的原则和过程

2.2.3 计算机取证的框架和模型

2.2.4 形式化方法与计算机取证

2.3 基于操作系统的取证

2.4 基于操作系统命令的取证过程实例

2.4.1 有关命令和软件工具的功能

2.4.2 实验过程

2.5 计算机取证的发展趋势

2.6 本章小结

第三章 计算机取证的优化模型和多维过程模型

3.1 多目标优化模型

3.2 多维取证过程模型

3.3 MDFM的形式化表示

3.3.1 工作流模型的建模方法

3.3.2 MDFM的Petri网表示

3.4 本章小结

4.1 RFOS的取证分析

4.1.1 RFOS的行为表示模型

第四章 实时可取证操作系统的取证行为模型

4.1.2 RFOS的取证服务

4.2 RFOS的取证机制

4.2.1 RFOS的结构

4.2.2 取证主体

4.2.3 取证活动

4.2.4 取证资源

4.2.5 取证策略

4.2.6 取证系统抽象机

4.3 RFOS的数据采集

4.3.1 证据数据源

4.3.2 证据数据的采集点

4.3.3 证据数据的采集方法

4.4 RFOS的证据数据存储溢出处理

4.5 本章小结

5.1.1 方法的体系结构

5.1 确定取证策略的方法

第五章 RFOS按需求确定取证策略的方法

5.1.2 原理

5.2 基于kNN的案件自动分类方法

5.2.1 案件自动分类器的结构

5.2.2 训练样本——案例库

5.2.3 案件的特征项提取

5.2.4 kNN算法简介

5.2.5 案件自动分类算法

5.3 RFOS的取证策略组合

5.4 RFOS的取证策略组合方法的实现

5.4.1 实现思路

5.4.2 方法分析

5.5 本章小结

第六章 电子证据安全保护机制研究

6.1 RFOS的安全需求

6.1.1 取证模块的安全需求

6.1.2 证据数据的安全需求

6.2.1 内核模块保护技术

6.2 内核模块和文件保护技术

6.2.2 操作系统的文件保护技术

6.3 RFOS的取证保护机制

6.3.1 取证模块的保护

6.3.2 电子证据的保护

6.4 本章小结

第七章 基于FreeBSD6.0的实时可取证操作系统原型

7.1 RFOS实现的基础平台及体系结构

7.1.1 FreeBSD6.0简介

7.1.2 RFOS的体系结构

7.2 系统的设计目标

7.2.1 实时取证

7.2.2 按需配置

7.2.3 取证的保护机制

7.3.1 实时取证模块

7.3 RFOS的设计思路

7.3.2 按需定制模块

7.3.3 证据库模块

7.3.4 取证安全保护模块

7.4 RFOS的实现

7.4.1 实时取证的实现

7.4.2 按需定制的实现

7.4.3 安全保护机制的实现

7.5 实验研究

7.5.1 实验一

7.5.2 实验二

7.6 本章小结

第八章 计算机取证实务

8.1 计算机犯罪现场勘察

8.1.1 保护现场

8.1.2 搜查证物

8.1.3 固定易丢失证据

8.1.4 在线勘查

8.1.5 提取证物

8.2 计算机取证过程

8.3 开机进入BIOS的方法及故障排除

8.3.1 进入BIOS的方法

8.3.2 喇叭报警声及含义

8.3.3 现场应急措施

8.4 Encase的使用

8.4.1 有关注意事项

8.4.2 GREP使用速查

8.4.3 Encase的脚本

8.4.4 Encase常用命令及其功能

8.4.5 常见残留痕迹的隐藏位置

8.5.2 Win 2000/xp系统下

8.5.1 Win 9x系统下

8.5 常见网络取证命令用法

8.5.3 Unix/Linux系统下

8.6 取证操作速查

8.6.1 硬盘跳线设置

8.6.2 SCSI硬盘接口种类与连接方法

8.6.3 常见网络端口解释

8.6.4 Win 2000系统进程列表

8.6.5 常见Windows蓝屏代码解析

结束语

主要参考文献

附录

附录1 FreeBSD系统调用列表

附录2 公安机关电子数据鉴定规则

附录3 计算机犯罪现场勘验与电子证据检查规则

附录4 《中华人民共和国刑法》对于计算机犯罪的规定

附录5 RFOS的部分核心源代码