公安院校電子取證課程基于云平臺的建設(shè)與實踐

張萍 彭建新

摘要：電子取證作為一門新興的科研和教育學(xué)科已陸續(xù)在各大高校中開設(shè)。對于最早開設(shè)電子取證課程的公安院校來說，建設(shè)一個集高校學(xué)歷教育和公安在職培訓(xùn)為一體的電子取證云平臺可以達到雙贏的效果。本平臺依托云容器技術(shù)，建立融合教學(xué)、科研為一體的“新工科教育”云實踐平臺。通過引進模擬仿真教學(xué)的理念，云平臺為電子取證教學(xué)虛擬各種實驗操作環(huán)境，讓學(xué)生體驗真正的實際取證操作過程。同時，它的以課程管理為中心、以學(xué)習(xí)活動為驅(qū)動的一套輔助性培訓(xùn)信息化軟件系統(tǒng)，可根據(jù)教學(xué)和培訓(xùn)目的動態(tài)調(diào)整實驗內(nèi)容。并且，電子取證云平臺創(chuàng)新性地以案例庫的形式納入了近期新型網(wǎng)絡(luò)犯罪頻發(fā)的典型案件類型，借助云平臺的特有優(yōu)勢，可以多維度地開發(fā)公安院校電子取證課程的獨有特點。

關(guān)鍵詞：云容器;電子取證;云平臺;互聯(lián)網(wǎng)犯罪;實踐教學(xué)

中圖分類號：TP393.08-4;G642? 文獻標識碼：A? 論文編號：1674-2117（2021）14-0101-07

● 引言

伴隨著刑事案件和民事糾紛涉及電子設(shè)備類型物證的不斷增多，電子數(shù)據(jù)自2012年修訂《刑事訴訟法》后，正式被列為了八類證據(jù)類型之一。作為取證科學(xué)分支之一的電子取證，得到了社會更加廣泛的重視，最高檢、最高法、公安部相繼在2016年和2019年針對涉及電子數(shù)據(jù)的刑事案件發(fā)布了電子取證的相關(guān)規(guī)定和規(guī)則。社會對電子取證類人才的需求也在日益增加，其中主要包括計算機類信息安全公司、國際會計師審計師事務(wù)所、專業(yè)咨詢類公司，特別是經(jīng)濟管理類的集成軟件供應(yīng)商和大型跨國公司對電子取證類人才更加重視。作為一門綜合類跨學(xué)科的課程，電子取證陸續(xù)在多所公安和普通高校中被設(shè)置為專業(yè)課程[1]，同時，社會對專業(yè)性的電子取證職業(yè)培訓(xùn)的需求也越來越多。

國內(nèi)外學(xué)者對電子取證課程的高校教育和職業(yè)培訓(xùn)模式與體系進行了大量的探討[2-4]，在公安院校的本科教育中，電子取證課程初期作為選修課開設(shè)，而今已成為專業(yè)核心課程。課程的理論教學(xué)內(nèi)容已逐漸形成成熟的知識體系，但是電子取證課程實訓(xùn)內(nèi)容卻一直是教學(xué)上的一個難點。[5]由于電子取證實驗涵蓋大量的實驗內(nèi)容，且實驗的素材和所需的分析軟件一般都占有較大的存儲空間，因此，搭建一個電子取證云實驗平臺具有重要的實際意義。同時，借助此平臺可建立豐富的案例庫，并根據(jù)不同的教學(xué)或培訓(xùn)對象選擇不同類型的電子取證實驗類型，進行便捷的調(diào)試和修改，實現(xiàn)動態(tài)實驗環(huán)境部署和優(yōu)化。云平臺下無需重復(fù)搭建復(fù)雜的實驗環(huán)境，也節(jié)省了購買實驗檢材的費用，方便學(xué)生在課堂或自習(xí)室隨時隨地進行學(xué)習(xí)。

● 電子取證云平臺的建設(shè)意義與優(yōu)勢

1.電子取證課程的特點

電子取證作為公安院校網(wǎng)絡(luò)安全與執(zhí)法專業(yè)的核心主干類專業(yè)課程，具有十分明顯的專業(yè)特色，實驗課程教學(xué)的占比較重，而且與實際案件關(guān)系密切。該課程具有以下幾個顯著的特點：

①電子取證與其他學(xué)科“頂層到底層”的架構(gòu)體系不同，電子取證是從實際的破案需求中開始萌芽，進而吸納各個與之相關(guān)聯(lián)的跨學(xué)科技術(shù)而形成的一個新學(xué)科。電子取證是從實踐中破土而出的，也時時刻刻離不開實踐，因此在教育和培訓(xùn)中，實驗與理論課程同等重要。

②實驗涵蓋的內(nèi)容廣泛，實驗涉及的操作系統(tǒng)類型、數(shù)據(jù)類型和電子設(shè)備類型紛繁復(fù)雜，所關(guān)注的設(shè)備對象不僅僅是傳統(tǒng)的計算機[6-7]，也包括智能移動終端[8-9]，還涉及各種網(wǎng)絡(luò)互連設(shè)備和網(wǎng)絡(luò)安全設(shè)備。[10]

③電子取證實驗的素材數(shù)據(jù)類型繁多且占據(jù)存儲空間較大。不論是硬盤、手機還是遠程取證獲取的網(wǎng)絡(luò)數(shù)據(jù)，都是數(shù)據(jù)量龐大的取證對象，而傳統(tǒng)的基于本地的實驗環(huán)境每次僅僅拷貝一個實驗鏡像文件都要耗費幾個甚至十幾個小時。

④利用高科技進行的犯罪逐年呈上升趨勢，針對涌現(xiàn)出來的新型犯罪案件，傳統(tǒng)的技術(shù)和思路必須不斷改進才能夠打擊犯罪，保障國家和人民的安全。廣州市法學(xué)會、廣東省公安廳、中國人民公安大學(xué)等部門和院校也相繼成立了新型犯罪研究中心。這對電子取證同樣帶來了很大的挑戰(zhàn)，在云計算、大數(shù)據(jù)、IoT[11-13]、智能汽車[14]、網(wǎng)絡(luò)貨幣[15-16]、暗網(wǎng)[17]等新技術(shù)領(lǐng)域中，傳統(tǒng)數(shù)字取證的技術(shù)和工具大多不再適用，并且取證過程涉及的調(diào)查對象比傳統(tǒng)數(shù)字取證更多，交互也更加復(fù)雜。

2.電子取證云平臺的優(yōu)勢

針對課程特點，本項目依托云容器技術(shù)建立了一個電子取證實驗云平臺，本平臺的優(yōu)勢有以下幾點：

①利用云計算技術(shù)更便捷地對各類不同類型的電子取證案例進行模擬，無需重復(fù)搭建復(fù)雜的實驗環(huán)境，也節(jié)省了購買實驗檢材的費用，方便學(xué)生在課堂或自習(xí)室隨時隨地進行學(xué)習(xí)。同時，云實驗平臺的使用可以更加便捷地達到加強學(xué)生管理、校園管理，提高校園資源利用率的目的。

②建立了一個豐富的電子取證實驗案例庫，可以實現(xiàn)根據(jù)不同的教學(xué)或培訓(xùn)對象選擇不同類型的電子取證實驗類型，同時實現(xiàn)動態(tài)實驗環(huán)境部署和優(yōu)化。例如，針對學(xué)歷教育主要側(cè)重于普適性教育，針對在職民警培訓(xùn)會涉及一些重點網(wǎng)絡(luò)犯罪案件類型的實驗，針對企業(yè)取證培訓(xùn)則側(cè)重于公司審計方向的電子取證。

③實現(xiàn)將科研、實驗所需要的材料、虛擬機資源、網(wǎng)絡(luò)、存儲資源等整合成全新的實驗供學(xué)生使用。實驗平臺所需的計算資源均通過虛擬化的方式提供，可靈活適應(yīng)教學(xué)實驗與科研工作需要，實驗平臺通過虛擬機的方式為學(xué)生提供了實驗開發(fā)與操作平臺，同時也為教師科研提供了便利。

④如今，隨著越來越多的高科技犯罪利用云服務(wù)搭建服務(wù)器，針對傳統(tǒng)數(shù)字取證的框架和取證工具大多不太適用，借助本取證平臺可以更好地銜接新型犯罪取證實驗環(huán)境。

● 電子取證云平臺的設(shè)計框架

1.基礎(chǔ)建設(shè)

本項目的總體建設(shè)框架，共分為三層（如下頁圖1）：依托華云的CloudUltra4.0技術(shù)搭建容器資源層，主要包括計算機集群、數(shù)據(jù)存儲集群、鏡像倉庫的搭建;中間層為容器管理層，是調(diào)度與管理所有容器虛擬主機的部分，能夠靈活調(diào)度大規(guī)模Docker容器虛擬主機;門戶層的建設(shè)支持本地私有云（KVM）虛擬化環(huán)境資源納管，以確保其擴展性，亦支持對接公有云資源，最終實現(xiàn)對學(xué)校云計算環(huán)境資源的統(tǒng)一管理。

本平臺向后臺管理運營人員提供統(tǒng)一的Iaas、PaaS、物理主機、虛擬主機的管理和調(diào)度入口，同時也可面向終端用戶提供簡單的虛擬主機自助管理服務(wù)。云計算虛擬平臺通過云計算管理平臺為計算機教學(xué)虛擬各種實驗操作環(huán)境，讓學(xué)生進行各種電子數(shù)據(jù)取證實驗的演示和操作，體驗真正電子取證的實際操作過程。同時，平臺將課程學(xué)習(xí)及考試與培訓(xùn)班有機結(jié)合，對在線培訓(xùn)進行有效管理，以滿足學(xué)歷教育和在職培訓(xùn)的需求。本項目的基本建設(shè)環(huán)節(jié)和已實現(xiàn)的功能如圖2所示。

本項目共部署了三臺應(yīng)用主機，可用CPU總量88核，內(nèi)存總量為314.12G，磁盤總量為1363.05GB，依靠華云的CloudUltra4.0底層支持。圖3為平臺的全局總覽界面。

2.平臺功能

（1）用戶管理功能

本平臺共設(shè)置了三個用戶類型，分別是管理員、教師、學(xué)生，且不同類型用戶的權(quán)限依據(jù)信息安全基本特性設(shè)置訪問權(quán)限。用戶和權(quán)限的具體配置如下頁表1所示。

（2）資源權(quán)限管理功能

本平臺根據(jù)使用人員的身份進行不同類型賬戶的開通并授予不同的權(quán)限，其中管理員可以設(shè)置教師用戶和學(xué)生用戶的權(quán)限。本平臺現(xiàn)在運行狀態(tài)下的具體權(quán)限如下頁表2所示。可以設(shè)置的權(quán)限包括主機權(quán)限、集群權(quán)限、應(yīng)用權(quán)限、備份權(quán)限和產(chǎn)品權(quán)限，其中應(yīng)用權(quán)限又可針對每個單獨的服務(wù)進行權(quán)限的授予和回收。教師用戶和學(xué)生用戶都可以被授予對主機、集群、應(yīng)用（包括應(yīng)用下面具體的某個服務(wù)）的操作權(quán)限，具體權(quán)限動作包括增加、修改和刪除。上頁圖4是本平臺具體的對某一用戶的權(quán)限管理界面。

（3）應(yīng)用管理功能

應(yīng)用可以理解為一組服務(wù)的集合，而服務(wù)可以理解為一組特定微服務(wù)的集合，三層分開管理。本平臺內(nèi)對應(yīng)用的管理包括添加或刪除應(yīng)用，在應(yīng)用中則可添加或刪除服務(wù)，可用的服務(wù)模板如圖5所示。

此外，本平臺根據(jù)電子取證實操需求，定制化地將電子取證處理和分析檢材最常用、最實用的數(shù)款軟件和服務(wù)集成在了虛擬機和虛擬桌面內(nèi)，其中包括Encase軟件、XWays軟件、FTK、PassWareKit等。

（4）實驗內(nèi)容管理功能

本平臺將不同的取證實驗以不同的應(yīng)用進行設(shè)立，再根據(jù)取證實驗的具體需要進行服務(wù)的設(shè)立及環(huán)境的配置。同時，由于通常電子取證需要分析的檢材占據(jù)存儲空間較大，為了不使服務(wù)器過于臃腫，本項目將取證鏡像文件存儲在FTP服務(wù)器中。用戶根據(jù)案件或課程需求自行選擇需要的資源進行下載。

3.案例庫功能

電子取證課程最大的特點之一就是實驗類型豐富，針對這一特點，本項目對入庫的實驗進行了如圖2所示的流程規(guī)劃。

（1）典型案例入庫

根據(jù)不同專業(yè)電子取證的本科教學(xué)大綱和針對不同培訓(xùn)對象的職業(yè)培訓(xùn)規(guī)劃，將典型的電子取證實驗案例納入到平臺內(nèi)。以符合最新的電子取證實戰(zhàn)需求為基準，以最大限度的不重復(fù)建設(shè)實驗資源為原則，使案例庫涵蓋基礎(chǔ)電子取證實操和進階電子取證實訓(xùn)。

（2）案例分類

根據(jù)實驗案例的類型進行分類，由于本科教學(xué)和職業(yè)培訓(xùn)的范疇有一定的交叉，且不同專業(yè)的學(xué)生或不同主題的培訓(xùn)也會有不同的實驗需求，內(nèi)容上可能會有重疊。因此，為了能夠從多維度對實驗進行分類且最大限度地方便教師組織實驗，本項目采用標簽標識的方式。

（3）案例部署

根據(jù)不同實驗的特點搭建具體的應(yīng)用、服務(wù)和所需的配置，將典型案例經(jīng)過統(tǒng)計總結(jié)典型特點，建立貼合實戰(zhàn)的具體取證實驗。

● 特色實驗搭建

本項目針對典型新型犯罪案件分別建立了特色實驗應(yīng)用，契合了教育部近年來大力發(fā)展新工科教育的發(fā)展理念，同時可以方便在職民警快速掌握當(dāng)前的信息犯罪新技術(shù)、新手段。

1.云端服務(wù)器取證實驗

近年來，隨著云服務(wù)的商用和民用的快速普及，傳統(tǒng)類型犯罪也逐漸向云服務(wù)平臺轉(zhuǎn)移。其中，多數(shù)為涉及云服務(wù)器的案件，通常是犯罪嫌疑人租賃云服務(wù)搭建服務(wù)器，這樣既可節(jié)省維護硬件的成本，也給公安部門調(diào)查取證增加了難度。本平臺原生態(tài)支持云服務(wù)器，這大大方便了本實驗的部署。本團隊統(tǒng)計了新型犯罪案件中的云服務(wù)器配置，選取了常用的CentOS和Windows 7操作系統(tǒng)兩類云服務(wù)器，兩類云服務(wù)器中的配置服務(wù)具體參數(shù)如表3所示。

本實驗中部署的基于Docker的云服務(wù)器是后續(xù)取證實驗的搭建基礎(chǔ)，因此本實驗僅具備基本的云服務(wù)器環(huán)境。本平臺是基于Docker容器技術(shù)搭建起來的平臺，因此在取證中也可利用docker的獨有功能。具體的取證過程可有以下幾種選擇，在實驗過程中可根據(jù)實驗的具體需要選擇一種或多種方法。

①利用dd命令制作物理鏡像，并通過取證軟件對鏡像文件進行分析，掌握云服務(wù)器的架構(gòu);

②利用云平臺的特點，學(xué)生可以在取證平臺內(nèi)運行云服務(wù)器的副本，在云服務(wù)器中進行動態(tài)取證，類似于傳統(tǒng)取證技術(shù)中的仿真實驗;

③利用tar命令制作邏輯鏡像，并通過取證軟件對鏡像文件進分析，掌握云服務(wù)器的架構(gòu)。

2.賭博網(wǎng)站取證實驗

賭博網(wǎng)站也是近年來出現(xiàn)頻率較高的一類刑事犯罪案件，賭博的開展方式由傳統(tǒng)的線下面對面進行發(fā)展至網(wǎng)絡(luò)賭博、微信賭博、APP賭博等新類型賭博。本實驗在云服務(wù)器基礎(chǔ)上，模擬構(gòu)架了一個依托云服務(wù)器的賭博網(wǎng)站。

本實驗總結(jié)了此類案件網(wǎng)站的一些共性和特點，選取了經(jīng)典的PHP7.2+Apache2+Mysql組合部署網(wǎng)站。同時通過對近期此類案件的梳理發(fā)現(xiàn)，犯罪嫌疑人對網(wǎng)站數(shù)據(jù)的安全防護十分注重，因此實驗搭建中增加了一些典型的安全防御機制，增大了取證的難度。賭博網(wǎng)站實驗的架構(gòu)如圖6所示。

由于賭博網(wǎng)站的賭博方式大同小異，實驗選取了“比大小”“轉(zhuǎn)盤抽獎”和“老虎機”三個最具有代表性的賭博游戲。很多賭博網(wǎng)站除了詐騙錢財外，還可能附帶經(jīng)營洗錢業(yè)務(wù)，其中利用“比大小”進行洗錢是較為常見的方式。為模擬真實案件的效果，本實驗部署時綜合了幾種典型的反取證的保密技術(shù)。

本實驗的取證要求學(xué)生主要針對賭博網(wǎng)站的云服務(wù)器進行取證實驗，通過分析云服務(wù)器中的數(shù)據(jù)，梳理網(wǎng)站的經(jīng)營模式，厘清賭博網(wǎng)站的資金流向和經(jīng)營賭博網(wǎng)站的人員架構(gòu)。

3.團伙犯罪取證實驗

團伙性犯罪是近年來公安機關(guān)嚴厲打擊的對象，團伙往往內(nèi)部分工明確，犯罪行為多樣，社會危害性較大，對此類案件的取證工作也較為煩瑣，而且信息網(wǎng)絡(luò)空間是現(xiàn)代犯罪團伙的重要活動地點，給犯罪團伙提供了天然的隱匿之地。對于團伙性犯罪案件的取證實驗，本項目選取了某犯罪團伙通過網(wǎng)絡(luò)進行敲詐勒索為案情背景，創(chuàng)建了實驗環(huán)境。本實驗?zāi)M了犯罪團伙在論壇上進行撒網(wǎng)式發(fā)布廣告，對潛在意向客戶進行有目的性的推銷。在模擬的案情中，犯罪嫌疑人在論壇對被害人實施誹謗和敲詐勒索的犯罪行為，通過社交軟件與委托實施網(wǎng)絡(luò)暴力的客戶進行具體的交易細節(jié)溝通，并將交易的記錄詳細信息保存在加密文件中。

本實驗依然依托于之前搭建的云服務(wù)器，在此基礎(chǔ)上創(chuàng)建了現(xiàn)實生活中普遍流行的Discuz架構(gòu)的論壇，具體版本是Discuz_X3.4_SC_UTF8。本實驗的犯罪團伙人員組織架構(gòu)如圖7所示。

由于本項目以模擬真實案件為出發(fā)點，所以本實驗的背景設(shè)定為犯罪嫌疑人電腦中發(fā)現(xiàn)虛擬機（Windows 7），且需要登錄密碼，但嫌疑人拒絕告知密碼。此實驗的取證過程大致包括：要求學(xué)生利用SAM文件和system文件獲取系統(tǒng)的登錄密碼;通過對QQ數(shù)據(jù)的分析，獲得雙方交易協(xié)商記錄，以及嫌疑人完成客戶委托后發(fā)送的壓縮文件，作為證據(jù)之一;查看瀏覽器歷史記錄和存儲的設(shè)置獲取嫌疑人在涉案論壇上的賬號和密碼;通過分析關(guān)鍵文件、破解文件密碼獲取關(guān)鍵證據(jù)。

● 總結(jié)

本項目引進了模擬仿真教學(xué)的理念，借助云容器技術(shù)、虛擬化技術(shù)建設(shè)了一個契合公安院校建設(shè)“新工科教育”理念的實驗平臺。該平臺針對公安院校的特色電子取證課程進行平臺的建設(shè)，形成了一個結(jié)合理論與實戰(zhàn)、教學(xué)與科研的可持續(xù)化發(fā)展實驗平臺，實現(xiàn)動態(tài)實驗環(huán)境部署和優(yōu)化。通過不斷調(diào)整案例庫的實驗素材，時刻緊跟電子取證的發(fā)展步伐，做到與時俱進，為建設(shè)具有公安本科院校特色的“新工科教育”進行了具有強執(zhí)行性、高拓展性的嘗試。

參考文獻：

[1]周建華，鐘鋼.在公安高校開設(shè)計算機犯罪取證課程的探索[J].湖南警察學(xué)院學(xué)報，2006，18（03）：101-104.

[2]丁麗萍.電子數(shù)據(jù)取證人才培養(yǎng)的思考[J].中國信息安全，2019（05）：74-75.

[3]高云飛，徐志強.論電子數(shù)據(jù)取證培訓(xùn)及考核體系建設(shè)[J].電信科學(xué)，2010（S2）：187-192.

[4] Zhang X ， Yuen T T ， Choo K K R . Experiential Learning in Digital Forensics[M]// Digital Forensic Education. 2020.

[5]王亮，劉磊，張華，等.網(wǎng)絡(luò)工程類人才“取證型”仿真教學(xué)模式的探索[J].通訊世界，2018（11）.

[6]Quick D，Choo KKR. Impacts of increasing volume of digital forensic data： A survey and future research challenges[J].Digital Investigation，2014，11（04）：273-294.

[7]Van Der Horst L，Choo KKR，Le-Khac N A. Process memory investigation of the bitcoin clients electrum and bitcoin core[J].IEEE Access，2017（04）：22385-22398.

[8]Barmpatsalou K，Cruz T，Monteiro E，et al. Current and future trends in mobile device forensics： A survey[J].ACM Computing Surveys （CSUR），2018，51（03）：1-31.

[9]Scrivens N，Lin X. Android digital forensics： data，extraction and analysis[C]//Proceedings of the ACM Turing 50th Celebration Conference-China. 2017：1-10.

[10]韓馬劍. 路由器取證研究[J].信息網(wǎng)絡(luò)安全，2016（09）：51-55.

[11]Quick D， Choo K K R. IoT device forensics and data reduction[J].IEEE Access， 2018（06）： 47566-47574.

[12]Rondeau C M，Temple M A，Lopez J.Industrial IoT cross‐layer forensic investigation[J].Wiley Interdisciplinary Reviews： Forensic Science，2019，1（01）：e1322.

[13]Stoyanova M， Nikoloudakis Y， Panagiotakis S， et al. A Survey on the Internet of Things （IoT） Forensics： Challenges， Approaches and Open Issues[J]. IEEE Communications Surveys & Tutorials，2020.

[14]Le-Khac N A，Jacobs D，Nijhoff J， et al. Smart vehicle forensics： Challenges and case study[J].Future Generation Computer Systems，2020（109）：500-510.

[15]Weber M，Domeniconi G，Chen J，et al. Anti-money laundering in bitcoin： Experimenting with graph convolutional networks for financial forensics[J].arXiv preprint arXiv：1908.02591，2019.

[16]Cebe M，Erdin E，Akkaya K，et al.Block4forensic： An integrated lightweight blockchain framework for forensics applications of connected vehicles[J].IEEE Communications Magazine，2018，56（10）：50-57.

[17]Jadoon A K，Iqbal W，Amjad M F，et al. Forensic Analysis of Tor Browser： A Case Study for Privacy and Anonymity on the Web[J].Forensic Science International，2019：59-73.

作者簡介：張萍（1986—），女，山東青島人，講師，博士，主要研究方向為信息安全、電子取證、網(wǎng)絡(luò)犯罪偵查研究;彭建新（1977—），通訊作者，男，湖南雙峰人，主任，教授，主要研究方向為網(wǎng)絡(luò)與信息安全、電子取證。

基金項目：教育部科技發(fā)展中心高校產(chǎn)學(xué)研創(chuàng)新基金項目“云計算在公安院校電子取證課程建設(shè)中的應(yīng)用研究”（2018A01002）;廣東省教育廳普通高校特色創(chuàng)新項目（自然科學(xué)）“電子取證在云容器技術(shù)下的應(yīng)用研究”（項目編號：CIA120150）。