磁盘阵列环境下的取证目标系统重构

发布时间：2019-09-30 10:32

【摘要】：封存原始硬盘与业务系统服务的连续性是计算机取证中面临的一对矛盾。在独立硬盘环境中,问题的解决并不困难,但在磁盘阵列(RAID)环境下,目前还缺乏有效的解决办法。为此,为RAID环境下的取证目标系统的重构提出一套解决方案,并设计实现其中关键任务的处理软件。实验表明,该方法可适用于不同RAID等级、不同操作系统下的系统重构,使得用户感受不到重构得到的系统与原系统有任何差异。与数据同步方法相比,该方法可以有效地减少重构的时间开销,且不会破坏原始证据硬盘上的数据。
【图文】：

流程图,目标系统,解决方案,流程图

低?和业务系统能够正常工作。前文已经完成ＲAID元数据的构造，ＲAID硬件将以对应的ＲAID等级所定义的数据布局方式解析新硬盘组上的数据。将原始硬盘组上的ＲAID设备数据区的数据拷贝到对应新硬盘组上的ＲAID设备数据区，就可以实现数据的迁移。在迁移的过程中一定要确保原始硬盘在ＲAID中的顺序和新硬盘在ＲAID中的顺序是一致的。3解决方案的实施方法3．1实施方法的整体架构我们把该方案的实施设计为四阶段，分别是确定ＲAID元数据的模式、提取原始硬盘组上的ＲAID元信息、在新硬盘组上构造ＲAID元数据和迁移数据。图1是实施方法的整体架构，其中步骤2到步骤5分别对应实施方法的四个主要阶段。步骤1是对原始硬盘组进行镜像，步骤6是指在新硬盘组上构造完所有数据后，把新硬盘组按照正确的顺序组成ＲAID。图1ＲAID环境下取证目标系统重构解决方案流程图在方案的实施过程中所涉及的设备包括:被取证主机、源盘、镜像盘、目的盘、测试盘、取证分析机。源盘是被取证主机上的原始硬盘，在对其镜像后，即被封存。镜像盘是源盘的镜像，使用镜像盘上的数据在新硬盘组上进行系统重构。目的盘是用于替换源盘的硬盘，在其上重构出目标系统，它的数量与源盘数量相等，容量都不小于原始硬盘。测试盘是用于辅助分析ＲAID元信息模式的辅助硬盘。取证分析机用于辅助分析ＲAID元信息和数据迁移。不妨假设取证目标系统中的ＲAID是由N块硬盘组成的，下面对四个实施阶段进行介绍。3．2ＲAID元数据模式的确定方法使用测试盘分析被取证主机上ＲAID硬件所使用ＲAID元数据的模式。分为以下几步进行:①选取4块大小相等的硬盘作为测试盘，并将测试盘上的数据全部初始化为零，然后将测试盘挂载到被取证主机ＲAID硬件的硬盘接口，开机进入ＲAID硬件BIOS，使用

系统重构,数据同步

南低持毓顾饽檬奔洌嗤⒔鄋?文的系统重构方法与数据同步方法进行对比分析。数据同步方法是指，每次移除ＲAID中的一块硬盘，由于ＲAID具有冗余性，原ＲAID系统仍可运行，此时将目的盘添加到原ＲAID中，通过数据同步的方法可以在目的盘上构造出正确的数据。这样依次用目的盘替换所有的源盘后，就实现了在目的盘上重构出源系统的任务。数据同步方法在实践中经常用于解决ＲAID扩容问题。使用三块硬盘，在它们上面分别创建容量为30、40和50GB的三个ＲAID5设备。并分别使用本文的系统重构方法和数据同步方法来重构目的系统，图2展示了所用的时间代价。图2系统重构时间对比从图2可以看出，1)在数据量相等时，使用本文的系统重构方法所用的时间要少于数据同步方法所用的时间。使用数据同步方法在构造目的盘上的数据时，需要访问其他两块硬盘上数据，并通过计算得到目的盘上的数据。而使用本文的系统重构方法，只需要访问对应的一块硬盘上的数据就可以得到目的盘上的数据。数据同步方法中随着参与组建ＲAID的硬盘数的增加，，所用的时间也会有明显增加;2)使用本文的系统重构方法在重构系统时，随着数据量的增大所用的时间的增长速度小(下转第74页)
【作者单位】：中国人民大学信息学院;数据工程与知识工程教育部重点实验室(中国人民大学);
【基金】：国家自然科学基金项目(61070192,61170240) 北京市自然科学基金项目(4122041)
【分类号】：TP333

【相似文献】