云取证技术是对云计算环境进行电子证据提取和分析的一种电子取证技术,通过对传统电子取证技术和云计算技术进行整合及发展,它能够从动态变化的虚拟实体,如虚拟机和容器,中提取有效的电子证据并对之分析。然而,由于容器虚拟化技术曾因不够成熟而未能大面积应用,目前几乎所有的云取证研究人员都把目光集中在如何对虚拟机进行证据提取和分析上,而对容器取证技术却鲜有研究。如今,容器虚拟化技术已经度过了它的黑暗时期,其轻量化、快置备、低性能损耗的先天优势更使其成为PaaS技术集团的中流砥柱。因此,在容器虚拟化技术应用不断普及的今天,我们应该把更多的精力放在容器取证技术研究,尤其是PaaS环境中的容器取证技术研究上。本文以Docker容器技术为切入点,深入研究了以容器虚拟化技术为基础的PaaS云取证技术,提出了PaaS云取证理论模型PDFF,设计和实现了PDFF原型系统。PDFF模型中,取证控制中心能够提供集中式取证管理服务及证据数据的兼容格式转换、加密存储和完整性验证;取证代理能够实现对容器数据的快速提取和签名;Local Docker Registry能够通过中转容器镜像,提高取证代理和取证控制中心之间的数据传输效率。本文还通过对Shipyard平台进行取证的方式,验证和分析了PDFF的各项功能和取证效率。实验结果表明,PDFF能够有效排除无关容器对证据数据造成的干扰,大幅减少取证过程中容器的运行中断时间,显著改善容器镜像在取证代理和取证控制中心之间的传输效率,有效保障证据数据的安全存储。