近年来,计算机犯罪手段不断升级,单靠网络安全防御技术打击计算机犯罪不可能非常有效。因为被保护的目标系统仍然有可能被入侵,所带来的损失无法通过法律途径进行弥补,因此需要发挥法律的强大威力来对付计算机犯罪,计算机取证正是在这种形势下产生和发展起来的。打击计算机犯罪的关键是具有法律效力的电子证据。日志是目前计算机取证中重要的电子证据来源。传统的计算机取证技术所分析的信息是案发后提取的,很有可能是已被作案者破坏的。针对以上问题,本文提出了基于Windows日志的计算机取证模型。采用实时提取被监控主机的日志信息,解决取证的滞后性问题。提出取证信息完整保护方法,该方法通过数字签名技术和安全散列算法对取证信息的完整性进行严格的保护,以确保日志信息成为电子证据的资格。论述了使用SSL协议将日志信息安全传输到监控机上的可行性。在日志信息的存储上采用信息分散算法(IDA),将日志信息分散在n台日志服务器上存储。取证分析时利用任意m(m<n)个分片即可重建原有日志信息。