内存取证数据具有种类多、数量大、复杂度高的特点,而且多数取证数据均为文字形式,因此人工分析内存取证数据是一项艰巨的任务。为了帮助取证人员提高分析内存取证数据的效率,设计了一种内存取证数据动态可视化方法,在三维空间中全面、动态地展示内存取证数据。内存取证数据动态可视化方法分为三个模块:内核对象展示模块、内存空间展示模块和异常事件分析模块。内核对象展示模块负责将内核对象抽象成以进程为主干、其他内核对象为分支的网状图并在三维空间中展示。针对内核对象数据量庞大的特点,提出八叉树力导向布局算法对网状图进行布局,生成每个节点在三维空间中的位置。内存空间展示模块负责将内存空间抽象成一棵虚拟地址描述符树并进行展示,每一个树节点代表一段内存地址。异常事件分析模块负责用定义好的一系列异常事件判断规则对内存取证数据进行分析,标记出其中存在的异常事件。通过读取不同时刻的内存取证数据,实现动态展示一段时间内虚拟机内存的变化。根据以上方法,以定制的三维建模软件Blender为展示平台,实现内存取证数据动态可视化系统,同时对10个正常软件、40个恶意软件样本进行实验,并将实验结果和知名可疑软件分析引擎VirusTotal Graph的结果对比,表明原型系统展示的种类更加丰富,能让用户直观感受到系统运行过程中发生的变化,而且在异常事件标注上更具有准确性。此外,通过比较八叉树力导向布局算法、Fruchterman Reingold算法和Kamada Kawai算法的稳定性和布局速度,实验结果表明八叉树力导向布局算法具有较强布局稳定性的同时还大幅提高了布局速度。