“ 云” 可看作是众多的高性能计算机设备组成的一个庞大且具备并行运算能力的分布式服务器集群。大型公司诸如谷歌、亚马逊、IBM、微软、雅虎等建设的“ 云” 均拥有几十万乃至上百万台服务器, 一般的企业私有云也都拥有数百上千台服务器^[7]。

“ 云” 通过虚拟化技术向其用户提供服务, 打破了各种计算机实体资源如服务、网络、内存、外存之间的壁垒和障碍, 通过虚拟整合提供更强大、快捷和完善的服务, 使得超级计算成为可能。虚拟后的资源不受原资源结构和地域的限制。从用户角度来看, 他们可在不同地点, 使用不同的终端接入“ 云” , 向“ 云” 请求服务, 而无需知道提供服务的设备类型和地点。

云存储是一种分布式存储, 是对云虚拟化的一种延伸, 它通过利用集群应用、分布式文件系统、负载均衡、冗余技术、设备并行扩展以及统一的设备管理等功能, 将网络中大量不同类型的存储设备集合起来, 共同对外提供数据存储和访问。用户通过云服务商建立的数据存储中心及其提供的数据存储接口, 可将数据同步到云中心, 不必担心由于自己的计算机硬盘的数据存储不够会导致无法工作, 也不必担心由于自己的硬盘损坏导致数据丢失。

云计算环境是服务于多用户的, 其分布式架构和巨大的存储、计算能力可以支撑多样化的应用并为不同的用户提供“ 量身定做” 的服务, 能够为用户创建隔离的资源池, 配置符合特定需要的防火墙和安全规则。在大多数情况下, 用户可利用本地基于WEB页面的自助服务终端来获取所需的软件及服务。

对于整个“ 云” 来说, 其灵活的设备扩展和管理技术决定了云设备和云存储是没有上限的, 意味着“ 云” 的规模可以根据应用和用户规模动态地增长和扩展; 对于特定用户来说, “ 云” 可以根据用户的实际需求提供其所需的资源池和应用, 它所分配给特定用户的资源是在需求基础上动态伸缩的。

云计算为用户提供了一个价格低、效率高、可共享的IT应用平台, 但是亚马逊的宕机和谷歌的服务器中断事件让我们开始审视云计算潜在的风险。云计算的超大规模性和复杂性对技术漏洞“ 零容忍” , 因为任何一点技术漏洞甚至细微的部署、配置错误都会导致难以想象的后果; 保护用户隐私的难度和风险正随着云端用户数量和规模的扩大而增加; 云计算还缺乏一个统一的技术标准; 云计算中心若受到黑客攻击就会导致个人信息的泄露、个人数据的篡改甚至丢失; 个人账户受到病毒侵袭还可能会在云端蔓延殃及其他用户; 用户与云服务商的关系是不对等的, 云服务商不一定会对用户隐私泄露及数据破坏、丢失事件负责。

在云计算环境中, 不同的用户数据和各种类型的数据混在一起, 分布式地存储在不同地域的不同设备上, 其数据的抽象性、资源共享性和存储分布性^[3], 使得无法用传统的取证工具再现原始数据, 既无法克隆磁盘, 又难以将某个或某类用户的数据单独地提取出来而不涉及其他用户的隐私, 同时也很难确保证据的完整性^[4], 因为数据是以碎片方式分布存储^[3]而共享使用的。即使做数据迁移, 其耗费的时间和资源也很巨大。在证据提取阶段, 首先要确定数据边界, 对于跨地域/国界的数据取证还要寻求相应的法律支撑, 并将数据的时间属性、关联属性、用户特征、传输轨迹以及系统的审计、安全和应用日志等更多信息纳入到采集和固定的范畴, 同时还要重视元数据的采集和使用。在提取证据后需要仔细甄别数据是否有价值和冗余。对于无价值和冗余数据, 应进行清洗处理。云数据混合交叉带来的取证往往是提取信息量巨大, 但其中可作为证据的数据却可能仅仅几条^[1]。如何通过强大的智能分析方法更迅速地完成电子证据的精确提取分析, 是云计算环境下数字取证需要解决的难题之一。

图1

Fig.1

	Figure Option ViewDownloadNew Window
	图1 云取证的风险和挑战Fig.1 Faced risks and challenges of the “ cloud” forensics because of the unprecedented complexity in the “ cloud” running

海量的用户通过网络分享海量的云存储, 体验不同的云服务, 因此数据丢失风险和数据泄露风险无处不在。云服务商的误操作、云计算环境的漏洞、恶意软件、黑客入侵和其他用户非法窃取数据都可能造成数据丢失和数据泄密, 云计算环境瞬息万变, 试想, 每一秒都有成千上万的用户在上传下载数据信息和体验不同的应用和服务, 新增的数据信息随时有可能覆盖前面的证据。如何在动态、实时变化的云计算环境中准确把握取证的时机, 快速找到、跟踪线索并固定证据就显得极为重要, 否则, 证据就极有可能被覆盖、更改, 甚至丢失。

云计算环境的数据规模超大但却没有统一的数据标准, 很多数据格式和数据资源描述都是各自专有的。结构化、半结构化和非结构化数据并存, 证据类型涵盖了文档、音频、视频、邮件、数据库、网络日志等多种形式。这种数据存储的非标准化和复杂性给电子证据的获取和分析带来了很大的挑战, 需要反复使用数据解密、数据恢复和数据分析技术, 需要取证人员具备较强的数据处理能力和数据关联分析能力, 同时也需要云服务提供商的技术支持和协助。

云平台架构不同于传统的“ 烟囱式” IT架构, 其通过虚拟化与自动化而完成资源整合, 以此构筑成可灵活调度、伸缩的共享资源池, 所提供的云服务涵盖三个层次：基础设施即服务IaaS（Infrastructure as a Service, 如Amazon WebService、SAVVIS、世纪互联等）、平台即服务PaaS（Google App Engine、Windows Azure等）和软件即服务SaaS（Google Apps、Office等）。在云计算环境下, 资源和服务都由云服务商提供, 用户操作行为包括数据的传输、服务的申请和资源的获取都是直接通过网络完成, 因此, 取证调查的重点将由传统的线下取证转移到线上取证, 即从云服务平台去调查涉案违法证据。取证人员需要了解云端服务类项及其技术类型, 如云端设备、平台、软件以及拓扑结构、数据上传工具及云服务商提供时间的准确性和时区信息等。同时要第一时间与云服务商沟通以保全系统的日志信息和特定用户的数据信息, 以防范证据被覆盖或者丢失。下面给出云取证的模型、框架及日志分析较新的研究成果和国外应用较为广泛的云取证工具。

针对云计算环境中取证的可信度和证据的完整性等问题, Zawoad等^[8]提出了开放云取证模型（OCF）, 将云服务商（CSP）和取证人员及用户一道纳入角色管理。在功能模块上, OCF具备以下特征：

1）将“ 易逝” 电子存储信息（ESI）连续同步到可靠的永久存储设备上;

2）通过由加密算法支撑的证据公布模块（PPM）, 将ESI变成可校验并公布;

3）通过安全的只读应用程序界面搭建“ 云” 和取证人员间的桥梁, 使所有的ESI对取证人员“ 可见” , 尽量避免取证人员直接访问“ 云” ;

4）法庭可直接用公布的ESI来校验证据的真实性^[9]。

这个取证模型提出的“ 易逝” 数据同步机制虽理论上可行, 但在一个拥有海量数据和数以万计用户的云计算环境中如何确定连续同步的数据项、数据同步方式及程度, 其实际操作性还需要实践的检验, 因为犯罪的不可预测性使我们难以事先定义哪些ESI需连续同步, 而同步方式和程度对系统带来的计算、带宽和存储的压力也必须考虑。

针对云端取证的时效性问题, 休斯顿大学的Wen等^[9]设计了一个基于MapReduce、Hdfs和Hbase技术管理海量数据的取证模型, 构建成所谓的“ 取证应用程序仓库” , 为取证调查者建立自己的工作流程提供一个接口统一的取证流程框架。该框架包括取证数据管理和取证应用程序管理两部分, 前者提供大量取证数据的上传、存储和跟踪; 后者则通过将各类取证软件分类部署到框架中, 以供取证人员灵活选择和重复使用。取证需求可通过XML配置文件来定义。智能化的流程管理、定制取证需求和分工协作等为需要众多取证工作人员参与的复杂云取证工作搭建了一个提升效率的平台。

提取日志信息是数字取证的关键环节, 但在云计算环境下, 日志格式不统一、存储分散且日志的生命周期短暂, 取证人员可能只提取到日志的部分子集, 甚至不能获得关键信息的日志。Marty^[10]提出日志信息集中管理的框架, 通过跨组件的同步时钟和可信赖的协议确保日志信息的迁移和统一集中管理, 通过加密机制来确保日志信息的保密性和完整性。

取证界广泛应用的软件Encase Servlets和FTK Agents支持从与“ 云” 环境的通信中远程收集与获取证据^[11]。这两种工具界面友好, 易于使用, 若被赋予足够权限, 可较为完整地获取云端信息, 包括内存、日志及其他相关数据, 能在取证服务器端和客户端部署加密网络而保证证据的真实性和可靠性。但其缺点是对恶意代码的免疫能力较差, 取证时需要防火墙开放端口对其“ 放行” , 这无形中会增加系统被攻击的风险。开源数据取证工具Sleuth Kit Hadoop整合了系列取证软件, 使之能在云端运行^[9], 可解决云取证工作中处理海量信息遇到的计算瓶颈、带宽瓶颈和存储瓶颈等问题。Magnet Forensics公司的Internet Evidence Finder (IEF)取证软件能有效地抓取和解析与浏览器（Google Chrome, Mozilla Firefox, Internet Explorer, Opera, Safari）、即时通信工具（Skype, Yahoo Messenger)、云服务(Dropbox, Google Docs, Google Drive, Skydrive)和社交媒体网站（Twitter）、P2P文件传输服务（Torrent, Ares, eMule)、电子邮件等相关的互联网应用信息^[12], 为取证工作者提供详实的报告。在各类网络应用日新月异的今天, IEF的证据获取深度和广度虽仍有一定局限性, 但其在获取上网痕迹方面, 相对快捷, 所支持的网络应用也较为全面。

嫌疑人在利用云计算环境传输和处理信息的过程中会有一些文件碎片、网址缓存遗留在本地终端^[13]（个人电脑、笔记本、手机及其他智能终端）, 因此, 本地终端的数据取证也是必不可少的。本地终端调查取证的工作方式和工作原理与传统的取证方式相同, 需要确定本地终端的角色, 使用现场取证工具收集本地终端的用户活动, 根据文件系统的存储原理从残留区、未分配簇和碎片里查找相关的证据。很多用户会使用本地数据与云数据的同步机制, 在采用本地取证调查时, 了解用户使用了哪些云服务和资源。本地终端调查数据可以与云端调查数据相互佐证和补充。

美国罗德岛大学的数字取证实验室开发了Cloud Signature Creator的终端取证工具, 能帮助调查人员在计算机、手机、iPad等本地设备的网页缓存、Cookie、index.dat、注册表等位置中抓取云应用的残留信息, 提取其所使用的云应用名称、用户名、使用日期和时间以及用户文件/文件夹的名称^[14]。对于云设备分布地域广、数据量大、数据结构类型复杂的跨地域/国别的案件, 通过Cloud Signature Creator可直接产生调查清单提供给云服务提供商从而能对涉案嫌疑人的网络行为轨迹做针对性的定制调查, 既节约调查成本又节省调查时间。