随着计算机技术的飞速发展,计算机犯罪也以惊人的速度增长,逐渐成为人们普遍关心的国际性问题。目前很多关于计算机电子取证的系统主要是建立在对证物的分析上。如果能取得罪犯在作案时间段内对主机操作所产生的日志,并当作有效证据提交给法庭,便能将犯罪者绳之以法。传统计算机取证技术所分析的信息是案发后从涉案计算机中提取的,而这些信息,很有可能是已被作案者破坏过的。本文提出了一种基于Windows日志安全保护的计算机取证模型,可以克服传统计算机取证技术的滞后性。本模型采用分布式结构,驻留在被取证机上的进程将事件日志在产生的同时提取出来,通过SSL协议将日志信息安全传输到另一台用于保存日志的取证机上,使用数据库实现日志的保存,并能够通过验证算法证明日志证据的原始性和真实性,从而保证了日志证据的安全性和抗否认性。通过原型系统的试验,证明本模型能够及时地获取日志信息,并通过多种安全加密技术保证了日志的准确性、可信性和有效性。通过数据挖掘的方法对日志去除搜索引擎的机器人所留信息,并对可疑日志进行初步挖掘,缩小日志的审查范围。