随着计算机网络技术的发展和普及,计算机网络安全越来越受到人们的关注和重视。网络中存在着越来越多的非法攻击行为,严重影响网络的性能并威胁着个人隐私的安全。计算机取证技术正是在这种应用背景下发展起来的,它的目标就是对计算机系统和计算机网络中发生的犯罪行为进行取证分析,获取入侵事件的电子证据。近些年来,计算机取证技术正在成为人们关注和研究的热点学科之一,已经发展了一批成熟的计算机取证技术和取证工具。在我国,计算机取证技术研究刚刚起步,目前还没有自己的关于计算机网络取证的工具.本论文是在“面向大规模互联网络的信息安全保障体系研究”的背景下,对计算机网络取证技术进行了研究,重点研究了日志的取证分析和完整性保护与验证技术,设计和实现了基于系统日志的计算机网络用户行为取证分析系统。首先,论文对计算机取证技术、电子证据和系统日志的相关概念进行了总结,介绍了Linux系统和Windows系统下常见的系统日志和应用程序日志,论证了日志作为电子证据的可行性,在此基础上提出了基于系统日志的计算机网络取证的实现模型,并分析了计算机日志取证应该注意的问题。其次,论文对日志取证过程中的关键问题进行了研究,包括日志的采集、传输、保存、分析和递交等,其中日志的取证分析和完整性保护与验证是研究的重点。日志的取证分析就是通过对海量日志数据进行分析来挖掘出与入侵事件相关的日志记录,分为统计分析和关联分析。统计分析是按照事件的类型设定日志记录的属性域的范围或值来对日志数据库进行扫描统计,总结出网络和用户的正常行为规律,实现日志记录的聚类,缩小分析的范围,检测出异常的日志记录,判断网络中入侵事件的特征和发展趋势。时间上的顺序性是日志记录的重要特征,大多数黑客入侵行为都不是独立的,而是由多个阶段组成的,这在日志系统中的表现就是对于一次入侵行为会在不同的网络设备或不同的系统日志中进行记录,这些记录在时间上存在一个偏序关系,在某些属性域存在相同的值。因此,作者提出了基于时间戳和多特征匹配的日志关联分析方法,就是通过判断日志记录是否存在因果关系和时间上的先后关系,以及是否存在属性值相同的属性域子集,从而找出存在关联的日志记录,实现对安全事件的重建。数据的完整性是计算机取证成功与否的关键,关系到取证分析结果是否具有法律效力。论文重点提出了利用SSL协议作为日志数据传输中的完整性保护方案,利用CES算法对日志数据的保存和抽取进行签名保护,利用采集对象的选择和日志模板对日志的内容的完整性进行验证。论文接着给出了系统的总体结构设计,并对子系统的模块功能和工作流程进行了详细描述,实现了一个基于日志的计算机网络用户行为取证分析系统,并从系统的安全性、日志采集性能、数据传输性能、日志数据的完整性、取证分析等五个方面对系统的性能进行了测试和分析,分析结果表明,系统具备了基本的网络取证功能。论文最后作了简要的总结,回顾了已完成的工作,指出了其中的不足,并对未来工作进行了展望。