《中国人工智能学会通讯》——4.28 数据挖掘技术在电子数据取证中的应用-CSDN博客

4.28 数据挖掘技术在电子数据取证中的应用

电子数据取证过程中会获得大量的证据数据，主要来源于三个方面，一是计算机主机系统方面的证据，主要包括来自硬盘、内存、外设中的数据；二是来自网络方面的证据，主要包括实时获取的网络通信数据流网络设备上产生的记录，以及网络安全设备上的日志和登录日志；三是来自其他数字设备的证据，如手机、手持电子设备。这些可疑数据的数据量非常庞大并且不断更新，面对这样庞大的、变化的数据，单纯依靠技术人员的经验去分析、去获取有用的证据是不现实的，需要借助工具从海量的数据中获取有用的证据，或者获取有用的信息来指导下一次的数据分析和检测。数据挖掘就是再合适不过的工具，它能从海量的数据中发现有价值信息。数据挖掘可以发现的模式类型很多，其中关联分析、分类分析是电子数据取证中常用到的方法，这些方法可以运用到电子数据取证系统中去帮助发现证据、发现违法犯罪证据的特征。

数据挖掘[8-12]是一种决策支持过程，主要基于人工智能 (AI)、机器学习、统计学等技术和方法，高度自动化地分析所获取的海量数据，并进行归纳性的推理，从中挖掘出潜在的模式，用以预测分析对象的行为趋势，以帮助决策者或管理者调整策略，做出正确的决策。该技术在违法犯罪行为分析领域中具有很好的应用价值。利用数据仓库和数据挖掘技术，首先解决数据的一致性等问题，建立数据仓库；然后通过所拟定的算法，对大量的违法犯罪行为记录进行分析，从中发现违法犯罪的规律、趋势，了解不同违法犯罪行为之间的关联情况，以及何种状态会导致或诱发何种违法犯罪行为等。因此，采用数据挖掘技术可以在海量数据中发现和特定的违法犯罪有关的数据，这些情况也都是公安、司法等相关领域所迫切需要掌握的，所以数据挖掘这类智能计算与分析技术在电子数据取证中的应用具有相当重要的现实意义。

在利用数据挖掘技术的电子数据取证系统中主要包括数据采集模块、预处理模块、入侵检测模块、数据分析模块、证据鉴定模块、证据保全和提交模块（见图 1）。
（1）数据采集模块：该模块完成数据收集功能，其一方面获取来自主机的信息，包括操作系统的审计日志、应用程序日志等；另一方面获取来自网络的数据，主要包括防火墙及入侵检测系统日志、其他网络工具产生的日志等。