7、数字取证中的Linux平台与图像格式应用

数字取证中的Linux平台与图像格式应用

1. 开源与商业取证软件对比

在数字取证领域，商业软件供应商能为其软件的正常运行提供一定程度的可辩护性和保障。部分取证公司甚至愿意在法庭上为其软件产品得出的结果作证。而在免费的开源社区中，对于所开发的软件，无人承担责任，通常以“原样”提供，用户需“自行承担使用风险”。显然，开源软件并非适用于所有情况，不过它在教育领域以及展示工作原理方面具有一定价值，但难以完全替代专业的商业取证软件。

2. Linux内核与存储设备

2.1 Linux设备理念

Linux继承了传统Unix系统的理念，在这些系统中，一切皆为文件。文件有多种类型，包括普通文件、目录、块设备、字符设备、命名管道、硬链接和软/符号链接（类似于Windows中的LNK文件）。对于取证调查人员而言，在检查工作站上，连接的目标磁盘的块设备文件可能包含重要的取证证据。

2.2 内核设备检测

Unix和Linux系统有一个特殊目录 /dev ，用于存储内核可识别的设备对应的特殊文件。早期的Unix和Linux系统需要手动（使用 mknod 命令）或通过脚本（ MAKEDEV ）在 /dev 目录中创建设备文件。随着即插即用硬件的出现， devfs 应运而生，用于自动检测新硬件并创建设备文件。为了更好地与用户空间脚本和程序交互， udev 得到发展并取代了 devfs 。如今， udev