数字取证是一个交叉前沿技术，涉及计算机科学、法学、刑侦学以及网络空间安全等学科的技术。本书首先讲述数字取证过程模型；接着从数字证据提取和分析着手，介绍磁盘、网络和内存等不同存储介质的取证原理、关键技术，以及相应的系统，针对智能手机取证的热点问题，探讨即时通信取证技术；最后分析云计算取证模型和技术。本书在学术理论上具有交叉性、前沿性、创新性和可读性，在实践应用中注重可操作性和实用性。
本书可作为网络空间安全、法学专业的本科教材，也可作为数字取证相关方向的研究生教材，对于司法工作者、律师、司法鉴定人员和IT安全从业人员，也具有良好的参考价值。

第1章 数字取证技术概述
1.1 研究背景
1.2 数字取证概念及其内涵演化
1.3 数字证据及其特点
1.3.1 磁盘数据证据
1.3.2 网络数据证据
1.3.3 内存数字证据
1.3.4 数字证据特点
1.4 数字取证技术研究现状
1.4.1 取证模型
1.4.2 证据获取技术
1.4.3 证据分析技术
1.4.4 取证技术标准、规范
1.4.5 国内数字取证调查技术现状
1.5 发展动态
1.6 本书主要内容及结构
1.7 小结
第2章 数字取证模型
2.1 相关工作
2.1.1 数字犯罪现场调查过程模型
2.1.2 综合数字调查过程模型
2.1.3 基于目标的层次框架
2.1.4 端到端数字调查过程模型
2.2 文档碎片数据特性
2.2.1 类型特性
2.2.2 内容特性
2.2.3 逻辑特性
2.3 取证分析模型
2.4 模型优缺点
2.5 同现有模型比较
2.6 模型应用——案例
2.7 模型应用——案例
2.8 小结
第3章 磁盘取证技术
3.1 磁盘取证技术综述
3.1.1 磁盘取证技术研究背景
3.1.2 磁盘取证相关概念
3.1.3 磁盘映像及证据存储技术
3.1.4 磁盘元数据的取证分析技术
3.1.5 磁盘文件数据识别与雕刻技术
3.2 基于磁盘映像的新型数字证据存储容器
3.2.1 基于GPU的并行磁盘数据映像获取方法
3.2.2 基于模型的数字证据快速转换算法
3.2.3 新型数字证据容器
3.3 基于磁盘元数据的信息盗取行为取证分析方法
3.3.1 术语定义
3.3.2 基于k-low的数据盗取抽样检测算法
3.3.3 基于差分矩阵的数据盗取行为取证分析算法
3.3.4 基于Windows回收站的异常文件发现
3.4 隐藏证据识别与数据雕刻方法
3.4.1 隐藏文件类型检测方案
3.4.2 基于2DDPCA的隐藏文件类型识别算法
3.4.3 基于文件特征可视化的SQL mdf文件雕刻算法
3.4.4 基于SQLite的位置信息雕刻算法
3.4.5 基于集合论的E-mail 碎片雕刻模型及算法
3.4.6 基于磁盘碎片熵值特征的文件雕刻算法
3.5 交换分区取证算法
3.5.1 算法系统功能
3.5.2 算法系统结构
3.5.3 软件界面设计
3.6 文件雕刻恢复和交换分区取证系统
3.6.1 文件雕刻平台
3.6.2 基于交换分区主机行为取证检测系统
3.7 小结
第4章 网络证据获取技术
4.1 网络监视目标与类型
4.1.1 网络监视目标
4.1.2 网络监视类型
4.2 设置网络监视系统
4.3 部署和评估网络监视器
4.4 网络元数据获取
4.5 监控和维护全内容数据
4.5.1 用tcpdump进行全内容监控
4.5.2 维护全内容数据文件
4.5.3 基于Wireshark的网络流数据获取
4.5.4 收集基于网络的日志文件
4.6 小结
第5章 网络证据分析技术
5.1 用tcpdump捕获网络数据流
5.2 基于tcptrace的网络会话数据分析
5.2.1 解析捕获文件
5.2.2 解释tcptrace输出
5.3 基于Snort的安全事件分析
5.3.1 检查SYN报文
5.3.2 解释Snort输出
5.4 基于tcpflow的网络会话内容重建
5.4.1 聚焦FTP会话分析
5.4.2 解释tcpflow输出
5.4.3 审查SSH会话
5.4.4 改进tcpdump过滤器
5.5 基于Wireshark会话重组
5.6 小结
第6章 物理内存取证技术
6.1 研究意义和现状
6.2 物理内存取证方法与系统结构
6.2.1 物理内存取证方法
6.2.2 系统实现方案
6.3 Windows系统物理内存映像技术
6.3.1 设计思路
6.3.2 基于内核驱动的物理内存映像算法流程
6.3.3 关键技术
6.3.4 实现特色
6.4 物理内存进程识别与分析机制
6.4.1 设计思路
6.4.2 操作系统元数据识别机制
6.4.3 进程分析基础
6.4.4 进程识别与分析实现流程
6.4.5 关键技术
6.4.6 实现特色
6.5 文档信息恢复技术
6.5.1 设计思路
6.5.2 进程实时文档信息恢复技术
6.5.3 剪贴板数据恢复技术
6.5.4 关键技术
6.5.5 实现特色
6.6 网络攻击行为重建技术
6.6.1 设计思路
6.6.2 网络行为重建
6.6.3 基于命令行的网络行为重建
6.6.4 关键技术
6.6.5 实现特色
6.7 即时信息搜索机制
6.7.1 实现原理
6.7.2 实现方案
6.8 物理内存取证分析系统
6.9 宙斯病毒入侵取证分析案例
6.9.1 物理内存获取案例
6.9.2 宙斯病毒入侵取证分析
6.10 小结
第7章 即时通信取证技术
7.1 即时通信取证技术的研究现状
7.1.1 即时通信取证的概念、犯罪类型及研究概况
7.1.2 数字取证模型相关研究
7.1.3 会话主题挖掘算法相关研究
7.1.4 社交关系取证方法相关研究
7.1.5 位置取证技术相关研究
7.1.6 存在的问题及解决思路
7.2 即