随着网络带宽的增加和高速局域网的普及,已有网络取证系统由于数据捕获和分析能力的不足造成大量信息丢失,削弱了证据的说服力和法律效力。深入研究网络取证相关技术,设计并开发一个高速网络实时取证系统HNFS(High-Speed Network Forensics System)对于增强网络防护能力,打击网络犯罪具有重要的意义。探讨了高速网络实时取证所涉及的相关技术。包括网络取证模型、数据包捕获技术和负载均衡技术。结合高速网络环境应用需求,描述了HNFS的总体结构,包括逻辑结构和物理结构。借鉴已有取证模型思想,设计了一种基于负载均衡和并行处理的HNFS体系结构,并对系统模块划分作了分析。在对已有负载均衡策略分析比较的基础上,讨论了一种基于流的负载均衡策略。针对网络取证目前所面临的问题,围绕提高网络数据流重组效率,阐述了数据流重组算法设计思想。在数据流重组算法中融入了三种策略,分别是:待建连接缓冲、内存缓存和文件缓存融合和连接最近访问优先。分析比较了几种典型的查找算法,并将Hash表和Splay树组合成Hash-Splay算法,其充分利用了Hash表和Splay树各自的优点。在HNFS系统设计的基础上,给出了数据流重组所涉及到的相关技术的实现。通过实验测试,对查找算法的查找时间、重组速率和无损率作了对比分析。模拟测试表明,所设计的数据流重组算法具有较好的实时性和无损性,能满足高速网络环境应用需求,有实用价值。