【摘要】云计算技术的快速发展引发了第三次IT技术革命，同时因云计算具有资源共享性、存储分布性等特点，方便了犯罪分子利用云平台进行犯罪且不易留下方便侦查的电子证据，这给电子取证带来了较大困难。故文章一方面研究云计算网络环境下新型的电子取证方法，以满足云计算时代的取证准确性需求；另一方面研究一种新型的基于云计算平台的取证架构，以满足云计算时代高速取证需求。
　　【关键词】电子取证；云计算；取证云；新型取证技术
　　近年来随着云计算的迅猛发展及快速普及，它已铺天盖地出现在了我们的生产和生活中。云计算作为新一代IT服务模式，将推动众多领域变革、重组与整合，电子取证领域也不例外[1-3]。传统电子取证技术侧重单机取证和弱推理取证，所取得的电子证据往往存储在单台机器上，一般没有通过复杂的数据挖掘与推理分析，在云计算环境下如果仍采用传统电子取证技术在单机上取证和不做逻辑推理的直接取证，将无法得到真实有效的可作为判罪依据的电子证据。因为在云计算环境下大部分完整数据是以碎片的形式存储在不同计算机上，如果只从单台机器上取证将得不到完整的证据信息，进而也就无法将其作为定罪依据。本文提出了云计算环境下新型的电子取证方法及取证对策来解决新环境下的取证问题。云计算技术的革命催生了大数据时代的到来，如何在海量的数据中快速获得所需要的电子证据成为了电子取证专家目前颇为头疼的问题，如没有一个高效的取证架构将会使取证周期极大地延长， 这可能会导致电子证据的损毁与破坏，进而影响案件的顺利侦破。本文利用云计算平台资源极大共享和计算能力可按需扩展的优点，提出了基于云计算架构的取证云来解决取证时效性差的问题。
　　一、云计算及电子取证
　　（一）云计算
　　1.云计算概念
　　自云计算应用元年（2008年）以来，业界不同的人从不同的角度出发对云计算的定义就会有不同的理解，因为他们都有自己的云产业链、云产品链和云运营链，当他们在为云计算下定义时考虑的更多的是自己现有的云基础，故给出的云定义可能有所偏颇。笔者将介绍一种比较权威的云计算定义，同时也阐释自己对云计算定义的理解。
　　NIST（美国国家标准技术研究所）的云计算定义为[4]：云计算是一种对IT资源的使用模式，是对共享的可配置的计算资源（如网络、服务器、存储、应用和服务）提供无所不在的、方便的、随需的网络访问。资源的使用和释放可以快速进行，不需要多少管理代价。
　　综合NIST对云计算的定义和业界对云计算的定义，笔者认为云计算就是对资源交付模式的改变，之前要完成某种计算服务本地必须有CPU、存储等实体资源，但云平台出现后， 云服务提供商把CPU、存储等实体资源打包成服务并以资源包的形式提供给用户， 在客户端只需将终端设备（如智能手机、上网本、平板电脑）接入网络即可享受云服务提供商提供的计算服务。使用云计算提供的服务可以极大地降低用户使用资源的成本且可随需、随处使用所需资源。
　　（二）云计算特点及优势
　　云计算是在分布式、虚拟化技术基础上而发展的，故它综合了分布式和虚拟化技术的特点及优势，这些特点及优势既是造成IT界重新洗牌与革命的原因，同时也导致了电子取证必须做出相应变革以适应云环境中取证的要求。从以下特点及优势中我们要理解到传统电子取证的瓶颈。
　　1.安全、可靠的数据存储中心
　　云服务提供商会在各自公共云服务后端建立数据存储中心，在公共云服务前端为用户提供数据存储接口，用户可通过自己的浏览设备随时随地的将自己所需要存储的数据传到云端，而后这些数据将会通过互联网同步到数据存储中心。从此，用户不需要为自己的存储设备容量不足而担心，也不需要为数据丢失而担心。
　　2.快速、便捷的云服务
　　云运营商将无数的软件和服务置于后台的云服务器中，统一管理和维护，用户使用起来方便、快捷。当用户需要使用某款软件时只需通过接入Internet的电脑和浏览器即可使用该软件，并不需要下载该软件到客户端且软件的升级也是动态的无需用户手动更新。
　　3.极高的经济效益
　　使用云平台提供的服务，只需完成简单的配置而无需花费大量的时间搭建和维护计算机环境，用户可以即取即用以服务方式提供的计算及存储资源并按需取用按需付费，这样的弹性资源使用和按需付费方式将会产生巨大经济效益。
　　4.超强的计算能力
　　云计算通过采用自动化、虚拟化技术为用户提供了超强的计算能力，任何对计算量要求高的用户都可以通过云计算的弹性计算能力为其提供所需的计算服务以完成各种大计算量的应用。这在我们普通的计算机环境下是很难达到的。
　　二、电子取证
　　（一）电子取证概念
　　1991年在美国举行的国际计算机专家会议IACIS（International Association of Computer Specialists）上首次提出了“计算机取证”的概念。通常计算机取证也称为电子取证，是指对取证人员按照符合法律规范的方式，对能够成为合法、可靠、可信的且存在于计算机、相关外设和网络中的电子证据的识别、获取、传输、保存、分析和提交数字证据的过程[5-6]。
　　（二）传统电子取证方法
　　传统的电子取证方法是非云平台下获得犯罪线索及证据的重要方法，故所取得电子证据的真实性、合法性和相关性就非常重要，因为电子证据是定罪、量刑的重要依据。为探明传统电子取证方法可否适用于云环境，本篇先介绍传统电子取证方法。
　　1.数据挖掘技术。数据挖掘技术是从海量的电子数据中挖掘出隐藏在数据背后的规律及信息，然后从这些规律及信息中提取犯罪证据及可能的犯罪线索。电子取证领域通常用的挖掘技术有分类、聚类、关联规则分析、偏差分析等[7]。
　　2.数据恢复技术。犯罪分子在实施犯罪后通常会把相关犯罪数据删除或破坏，如不对这些已损毁的数据进行恢复，将会对案件的顺利侦破带来重重困难。数据恢复技术在这里就显得尤为重要，通常使用的数据恢复软件有EasyRecovery、DataExplore、Recuva等。3.日志分析技术。日志是记录犯罪分子网络行为的重要资料，通过分析日志可以得到相关的IP地址、入侵操作行为等信息，进而把握犯罪分子的犯罪证据、行踪及犯罪特点为案件尽早侦破及量刑定罪提供有力依据。通常需要分析的日志有网络监控设备日志、网络通信设备日志、主机日志、防火墙等[8]。
　　4.数据截获技术。数据截获技术是一种动态取证技术，即电子证据的提取和犯罪分子的犯罪过程是同时发生的，达到及时确定犯罪行为及犯罪嫌疑人的目的。通常使用的数据截获工具有Netxray、SinfferPro、TCP Dump等。
　　5.蜜阱取证技术。蜜阱取证技术是以诱骗网络犯罪人员到虚拟系统上进行犯罪活动的取证技术。取证人员通过伪造与真实系统相仿的计算机系统，诱骗犯罪人员攻击该系统，然后从中提取极为有利的电子证据（如攻击过程信息、攻击路径信息）。蜜阱技术通常包括蜜罐技术和蜜网技术。
　　6.入侵检测系统取证技术。入侵检测系统是对网络运行状态监控的有效工具，当网络被非法攻击时，入侵检测系统可及时检测到攻击者行为状态，从而收集到相关电子证据用于后期犯罪分析。
　　7.人工智能技术。人工智能技术是预测和发现未知犯罪行为有效的技术手段，通过建立专家系统使系统具有自动识别与判断异常数据的能力，从而将犯罪行为得到有效控制。
　　8.恶意代码技术。通过将能破坏系统稳定性的恶意代码嵌入在目标计算机中，秘密窃取对方相关信息，掌握对方犯罪行踪，及时提供犯罪证据。
　　三、传统电子取证方法在云计算环境下的取证难点
　　随着云计算、互联网、物联网等新型信息技术的快速发展，传统的网络拓扑结构和资源使用方式已经发生了巨大的改变，用传统电子取证方法取得的电子证据有真实性、合理性、有效性等重要问题，如用数据恢复技术在云计算环境中的某台机器上恢复已被损毁或格式化的数据，将得不到完整的、真实的原始数据。同时，云计算催生海量数据正以指数形式快速增长，面对如此海量的数据，一方面会引发取证速度慢问题，另一方面会导致找不到取证切入点等问题。综合以上云计算环境下电子取证包括以下难点：
　　（一）所取得电子证据的有效性问题
　　这一问题是云计算平台本身所决定的， 云计算平台具有资源共享性、资源抽象性和存储分布性，如直接用传统电子取证方法在云平台中某台机器上取证，将得不到完整的证据数据，因为云平台将数据以碎片的形式存储在完全不同的机器上。
　　（二）所取得电子证据的有用性、深度性问题
　　传统电子取证基本是弱推理取证，即得到什么就是什么，而云平台下数据众多且混杂，如果不做数据处理而直接分析取得的电子证据将很难得到有用的、有深度的证据。
　　（三）云计算时代取证的实时性问题
　　云计算的发展推动我们进入了大数据时代，传统单机取证及软件取证的手段已经不能适应海量数据时代的电子取证，取证的实时性问题将是云计算时代取证的又一重大问题。
　　（四）云计算时代取证的可靠性问题
　　传统电子取证技术取证过程往往没有数据备份过程，故可靠性不高，一旦因取证失误导致证据破毁，将会导致严重后果。
　　四、云计算环境下新型电子取证方法
　　为解决第三节的问题（一）（二），本文提出了区别于传统电子取证技术而适合于云计算环境的新型电子取证方法。将软件取证技术融入云环境下电子取证流程中，以解决取证不完整、不充分等问题；将Hadoop架构下Mahout数据挖掘与分析技术引入取证流程中，以解决证据有用性不足、深度不够等问题。云计算环境下电子取证流程具体如下：
　　（一）确定取证目的及范围
　　确定取证目的是要把握本次取证的目标及意义，确保最终所取得的证据符合真实性、合法性、关联性从而能被法院在诉讼审查阶段所采纳并在质证过程中被采信，同时也可防止取证过程的消极性和被动性。
　　确定取证范围即确定本次取证过程所采取的证据与该案件是相关联的，避免采取到不相关电子证据而浪费案件侦破时间。
　　（二）确定取证的数据来源
　　由于在云计算环境下进行电子取证时取证的数据来源是自多方面的，有来源于大规模云计算中心的数据，也有来源于云服务提供商提供的数据，同时也有来源于客户端的数据，不同数据源涉及的取证对象是不同的，云数据中心的取证对象是大型云存储器、云服务提供商的取证对象是规模相对较小的存储器而客户端的取证对象是客户机的内存、缓存、文件等。较早地确定取证数据来源可以缩小取证范围，达到加快取证速度的目的。
　　（三）实际取证阶段
　　在云计算环境下用取证软件取证可确保所取得证据的可靠性、完整性和充分性，以避免传统电子取证技术在云计算环境下的取证缺陷。
　　（四）证据信息处理阶段
　　由于云计算环境中有海量的电子数据，这不可避免的会导致取证阶段取得大量证据信息，而这些证据信息中有相当一部分是冗余信息，如不对这些信息进行处理，将无法保证证据的深度性和有用性。在这一阶段笔者提出用Hadoop架构中的Mahout来对证据信息进行挖掘与处理以获得有用的电子证据。
　　（五）证据信息分析阶段
　　从第（四）步中获得的证据信息中查找涉案痕迹和违法证据，从而为案件顺利、快速侦破提供有力的支持。
　　五、基于云计算平台的新型电子取证架构
　　本文提出基于云计算平台的新型电子取证架构即“取证云”，它用来解决第三节的问题（三）（四）。该取证云层次结构如图1所示，最底层为硬件资源池层，主要包括CPU、内存、存储器、网络设备、带宽等资源，它是取证云的基础设施层提供底层硬件支持；往上一层为虚拟化软件层，它的作用是用虚拟化软件如VMvare、XenServer、Hyper-V等将底层硬件资源池虚拟为多台逻辑上的机器即虚拟机（VM）；再往上一层为虚拟机（VM）层，它的作用同实体机，所不同的是资源的使用方式；虚拟机（VM）层上为Hadoop分布式云计算平台，该平台是云取证系统的核心，它通过MapReduce并行编程模型和HDFS分布式存储模块共同完成高速的、实时的、可靠的电子取证，同时取证后还会对冗余的证据信息进行清洗与分析然后提供给取证人清晰的证据数据；最后一层为电子取证客户端，主要完成证据信息的收集与显示。云计算平台本身具有计算速度快和使用可靠性强等优势，故将云计算技术（包括虚拟化技术、Hadoop分布式云计算平台）入电子取证架构中，可解决大数据时代电子取证实时性低、取证速度慢和可靠性弱等问题。将云计算技术引入电子取证架构还可给我们带来的好处如下：（一）能够动态、弹性的使用云计算平台提供的资源，最大限度的满足取证需求。（二）对取证人所使用的取证设备要求降低，只需拥有一个能安装浏览器和能上网的终端即可，这将极大地降低取证成本。（三）在公有取证云上可以构建私有取证云，以确保证据的机密性，但在需要时，私有取证云之间可以远程协助、远程协同。
　　六、结语
　　随着云计算时代的到来，计算机网络犯罪已经成为了非常突出的犯罪形式，但传统的电子取证方法已不能适应新环境下的电子取证要求，这给取证工作带来了巨大的挑战。本文在分析云计算环境下电子取证难点的基础上，提出云计算环境下新型电子取证方法和基于云计算平台的新型电子取证架构，以解决在云环境中所取得电子证据的有效性、有用性、深度性问题和云计算时代取证的实时性、可靠性问题。本文的研究成果将为电子取证技术研究人员提供新的研究方法与研究视角，也将为有效地打击计算机网络犯罪提供一些建议与思考。
　　参考文献：
　　[1]周刚，麦永浩，曹强等.云计算应用对计算机取证技术的挑战和对策[J].警察技术，2011（2）：38-40.
　　[2]吴绍兵.云计算环境下的电子证据取证关键技术研究[J].计算机科学，2012，39（z3）：139-142.
　　[3]尹丹.电子数据司法鉴定技术的发展与挑战[J].中国司法鉴定，2011（6）：后插4-后插7.
　　[4]National Institute of Standards and Technology.The NIST Definition of Cloud Computing[EB/OL].http：//csrc.nist.gov/publications/nistpubs/800-145/SP800-145.Pdf，2012-09-12.
　　[5]陈龙.计算机取证技术[M].武汉：武汉大学出版社，2007.
　　[6]戴莹.电子证据及其相关概念辨析[J].中国刑事法杂志，2012（3）：73-77.
　　[7]杜威，彭建新，杨奕琦等.网络电子证据取证技术研究[J].广东公安科技，2012，20（1）：38-41，50.
　　[8]吴春生，邱敏.ASP动态网站信息电子取证方法[J].刑事技术，2010（5）：43-45.