网络犯罪侦察技术.ppt

文档介绍：,以确认非法的、未经授权的行为–知道Windows系统中的证据存放位置–?内核结构中的易失性数据碎片空间,从中可以获得不可恢复的已删除文件信息空闲和未分配空间,可以取得已删除文件,,,历史纪录(),、,以及浏览器的缓存区域应用程序生成的临时文件回收站打印机的后台打印缓存电子邮件文件,,,有可能需要在以上每个位置进行搜索,这可能是个很复杂的过程。本章将概要介绍一个调查框架。/2000/XP都包括3个独立日志文件系统系统日志–记录系统进程和设备驱动程序的活动,包括设别驱动程序启动失败、硬件故障,IP地址冲突以及相关服务的启动、暂停和终止应用程序日志–用户程序和商业通用应用程序的活动安全日志–•确定访问特定文件的用户•确定已经成功/失败登录系统的用户•确定特定程序的使用情况•追踪对审核策略做出的更改•,可以通过EventViewer事件查看器来访问本地主机的审核日志通过事件ID和描述,可以了解系统上审核的细节–Windows2000事件IDdows2000/techinfo/reskit/ErrorandEventMessages/–/treeview/?url=//prodtechnol/winxpprp/reskit/–需要将审核策略设置为监视详细追踪的成功和失败,–如果需要离线分析,,catorcryptcat)通过网络传送日志文件。网络资源PsLogList:.