基于虚拟化技术的在线I/O电子取证系统及其取证方法

摘要

一种基于虚拟化技术的在线I/O电子取证系统，包括：静默虚拟化模块：用于动态地创建虚拟机监视器层，把原先计算机操作系统悄悄地上托和封装为虚拟机；内存隐藏模块：对于所述的系统安装和运行时所占用的物理内存，通过建立私有页表的方式来进行隐藏；和在线I/O电子取证模块：对硬件设备的I/O活动进行监视和拦截，以获得所需的电子证据，及其电子取证方法。本发明在不影响被取证计算机系统正常运行的情况下，安全而准确地对针对特定硬件设备的各项I/O活动进行监控和记录，且不需要重新启动或者重装原系统；在虚拟机监视器层被创建后，取代操作系统而获得对硬件设备的控制权，并且独立运行于更高的特权模式中，从而保证了取证工作的准确性和有效性。

主权项

一种基于虚拟化技术的在线I/O电子取证系统，其特征是该系统包括：静默虚拟化模块：用于动态地创建虚拟机监视器层，把原先计算机操作系统悄悄地上托和封装为虚拟机；内存隐藏模块：对于所述的系统安装和运行时所占用的物理内存，通过建立私有页表的方式来进行隐藏；在线I/O电子取证模块：对硬件设备的I/O活动进行监视和拦截，以获得所需的电子证据。