计算机被普遍地应用于人类的生产和生活。随着科学技术与社会的不断发展,人们已越来越离不开计算机。计算机在给社会带来便利的同时,各种形形色色的网络诈骗、网络窃密事件也层出不穷,正不断地威胁着社会的安全和发展。而这些网络犯罪行为都会或多或少地会在计算机中留下一些与犯罪相关的数据。比如犯罪嫌疑人的个人信息、日常行为信息、犯罪行为信息和被攻击者计算机中的攻击痕迹信息等等。这些数据往往隐藏于计算机中,但其存储方式和存储位置复杂多样,因此,需要专业的取证软件工具才能实现合法的取证工作。由于Windows操作系统长期占据着行业主导地位,因此,本文将在Windows操作系统环境下,重点对计算机取证的几个关键技术进行研究,主要工作和贡献如下:1.针对计算机取证中数据恢复结果容易产生大量误报的问题,提出了文件构造和现场文件雕复(in-place file carving)技术相结合的数据恢复方法。根据不同的文件类型有其特有的存储结构的思想,改进现场文件雕复技术的不足。方法首先利用通用框架对文件类型进行识别,然后基于文件结构对文件进行筛选和恢复。通过与现有雕复工具进行对比测试,验证了本方法能够有效地减少误报率,提升文件恢复的准确性。现场文件雕复方法是证据搜索定位和分析研究的基础。2.针对计算机中大量的无用文件信息和取证时效性的问题,提出了基于改进文本相似度的近义信息快速搜索方法。该方法包括两个过程。首先利用信息提取,形成文档信息数据库,去除大量的无用信息;然后根据模式匹配算法的思想,结合文本相似度,实现近义文本的精确搜索和分析。本文通过对计算机文件语料库的实验,证实了改进的取证文本相似度搜索方法在帮助查找有价值的文件方面是非常快速和有效的。3.针对计算机证据存储类型方式复杂、存储量大的问题,本文结合上述的数据恢复和信息搜索方法,实现了一个面向Windows系统(XP、WIN7、WIN8、WIN10)的计算机取证软件原型系统,可以为信息安全管理及保密检查提供的全方位专业检查。该原型系统的功能主要包括系统信息提取、删除文件数据恢复、近义信息快速搜索等功能,同时,在整个证据收集和分析过程中,增加证据监管功能,以此确保证据的无更改和取证的合法性。