随着Internet爆炸式的增长,网络上出现的攻击现象越来越多,而且攻击的技术手段也是随着安全防御措施的加固而千变万化,黑客们采用的攻击技术已不仅仅是ARP欺骗、脚本攻击、木马注入等,如超级蠕虫、隐蔽攻击等高级攻击技术也开始涌现,这使得网络安全问题日益凸显。在网络安全问题的研究过程中,出现了一系列的安防产品,如防火墙、入侵检测系统等,但这些产品的应用大多只是一种被动的防御,无法真正有效地打击恶意攻击者。因而计算机取证技术的研究就显得十分重要,通过电子取证技术主动获取非法黑客的攻击行为并完整重建,可以准确有效地打击非法黑客。计算机取证就是对能够为法庭接受的,足够可靠和有说服性的,存在于计算机和相关外设中的电子证据的确定、收集、保护、分析、归档以及法庭出示的过程。基于日志分析的计算机取证研究是对大量日志文件进行取证分析的过程,它主要由被取证机、取证分析机和数据库三部分组成。由于日志文件的易改动性和易逝性,需要对计算机上的日志文件进行及时的保护和保存,充分保证计算机取证的可靠性,使其更具有说服力,在本文主要用到了DSA数字签名对日志文件进行保护。在整个取证过程中对日志的分析是关键的一个步骤,主要用到了核聚类算法对日志进行分析,能够更好地找出可疑入侵日志。在日志分析之前需要对日志文件进行预处理,主要包含:日志清理、日志集成、日志变换和日志归约。最后对基于日志分析的计算机取证做了模型实验,通过实验表明可以把可疑入侵日志提取出来,达到了预期的目的。