序
我的曾祖父是个木匠。我现在就趴在他做的桌子上，坐着他做的椅子写这篇序。他的世界是一门手艺，“熟能生巧”。他生命后期的作品，即使表面上看是个与某个早期作品一样的东西，但旁人仍能看出他技艺的精湛。
网络安全的特点是其革新速度——不光是迅速增长的进步，还有那些时不时冒出来的“惊喜”。用数学术语说，网络安全的“功系数”是不断被技术进步打断的阶梯函数的积分。我的祖先在提高他的技艺时，可不会受困于胡桃木、钢铁或亚麻籽等原材料性状的改变，但在现如今提升网络安全水平时可没有这么好运。
乍一看，取证好像只是为解释已经发生的事而做的简单活计，因此还显得有些矫情。但事实并非如此，究其原因在于它的复杂性。这个复杂性是逐渐积累起来的。而且，就像作者在一开始说过的那样，如果积累足够多的话，即便只是一个最简单的网络，想知道其中发生的所有事也会变得不可能。因此，取证的目的就在于揭示那些发生在网络及其基础设施上的，有意义的，先前不为人知的重要因素。只有在知道了这些因素之后，将来才真正有改进的机会。
取证是一门艺术，勤能补拙。取证的发现过程就在于排除正在调查的事件的可能成因。就像雕刻时，我们的目的就是去掉所有使它看上去不像一头大象的多余石料一样，取证也是要去掉所有经观察并不成立的假说，并最终得出结论。套用EF 舒马赫的观点，取证是个收敛的问题；但网络安全却是个发散的问题。换而言之，在取证中付出的努力越多，解的集合就越趋向于某一个答案，但这一结论在一般的网络安全问题上却不成立。
或许我们应该说：取证不是一门关于安全的学科，而是一门关于“不安全”的学科。安全是关于所有潜在的事件的，正如Peter Bernstein的定义：“风险就是诸多难以预见的情况”。取证不必从越来越复杂的事实中归纳出各种可能性，只须推导出其“何以至此”的原因即可。然而，一般来说，在网络安全中，犯罪分子总是有一种先天的优势，而在取证中，是防御者拥有这一优势。
取证是门艺术，“真的假不了，假的真不了”是它天生具有的战略优势。对你（现在或将来的取证人员）来说，你的任务就是在你拥有战略优势的地方提高你的技艺——不光是理论上的，还要有实际操作技能。这就是你需要这本书的原因。
技精于学生是老师的义务，而“青出于蓝而胜于蓝”同样也是学生的责任。但是在变成顶尖高手之前，你还是需要老师的教导，超越他们并非易事。说到底，技艺非凡的大师能让你知道当前的工具箱中哪些东西是一直能用的，哪些是随着时代的进步可能被淘汰掉的。他同样也能清楚地知道，你缺些什么。从这个角度来讲，这本书的篇幅安排绝对是大师所选。
基本上，由于每起案件案情的不同，各个案件的取证调查过程中，各自所需的工具集也都不尽相同，所以最好的办法就是拥有所有会用到的专业工具，当然其中的一些工具的使用频率会高于其他工具。将工具集的作用发挥到极致的前提是：你深入了解其中的每个功能，当然，这并不是说你需要而无须经常使用其中的每一个工具。Nicholas Taleb是这样描述Unberto Eco的逆图书收藏主义的：“……应该在你的经济状况、按揭利率以及不动产资产允许的情况下，尽可能多地收集你所不了解的资料。”
你，亲爱的读者，能拿到这样一本与众不同的取证书籍，且读且珍惜！
Daniel E. Geer Jr. Sc.D.
译者序
这是一本视角独特的电子取证书籍，令人耳目一新！
我自从2002年起从事电子取证工作至今已有十余年了，应该说这一行里几乎一直不停地涌现出新的技术、思路，你看嘛：
十几年前，几乎所有的取证书籍讨论的都只有一件事——数据恢复/文件系统分析。好像凭着一手数据恢复技术就能包打天下了。2005年出版的File System Forensic Analysis是个巅峰，至此文件系统分析技术已经非常成熟了，并出现了各种傻瓜式的工具。毫不夸张地说，现在用一样的工具，一个初出茅庐的新手做数据恢复，得到的结果已经和老鸟们差不多了——到停滞期了？才不是呢！
接下来的几年时间里，各种奇招、怪招、损招层出不穷。拿注册表里的各种信息（比如通过注册表里缓存的驱动信息，倒推计算机上曾插过几个什么样的USB设备），分析内存中的数据（找被rootkit隐藏的进程/数据），分析应用程序存储下来的信息（比如拿各种IM工具的聊天记录），对应用程序/病毒木马本身进行分析从中获取信息（比如上海2009.7.18私车额度拍卖网站遭DDOS攻击案，就是我通过分析攻击用的木马破获的），等等不一而足。我本人也分别在2008年和2012年在安全焦点峰会上提出过利用信息熵分析重构raid 5阵列和针对单个文件（而非文件系统）做数据恢复的两个思路，也曾和一些朋友合作翻译出版了《Windows取证分析》一书，综述了当年Windows平台下的取证技巧。
不过，这条路貌似又有点……，单机平台上能挖的地方基本上都已经过了一遍了，再要找点新鲜的实在是难啊……
上面的历史经验告诉我们，每到这样的关头就会有全新的思路出现。问题是这个全新的思路是什么呢？是Android/iOS平台？当然这是非常有可能的，不过不要忘了还有另一个重要方向——网络取证，也就是本书的主题。
任何技术要发展都离不开天时、地利、人和。天时者，时代大背景也。目前移动网络、物联网等网络技术的发展普及是所谓“天时”，正如第1章中的那个案例那样，现在丢个手机都能通过单位内部的Wi-Fi热点日志寻踪，这在以前是不可想象的。离开这个背景去谈网络取证都是扯；地利者，所需的各类设备上取证技术的成熟。网络设备种类繁多，但随着近年来网络设备的普及，这些设备的操作方法也不再是少数人的专利了，越来越多的人能玩转这些设备是基础；人和者，人的观念。自从内存取证的概念被提出来之后，证据的易灭失等级就开始受到了大家的重视。传统的计算机取证的眼光囿于计算机单机设备，我们的思路总是从某一台具体的设备入手进行分析的。尽管我们也强调电子现场的还原，但那也仅仅是囿于某台设备内部状态的保护和分析。有人说，具体办案时不是一样会把各台设备中获得的信息串到一起分析吗？这不就是网络取证吗？还真不一样！因为网络取证是把网络整体看作一个现场的高度。这个高度的上升立马导致你分析问题的思路发生了变化。现在你会考虑各个设备上证据的易灭失等级，容易灭失的先取，不容易灭失的后取。而不像以前看到一台设备，不分析网络就拉起袖子开始干活了，结果导致因为没有及时勘查载有易灭失证据的设备而造成证据的永久性丢失。在这方面，本书作者提出的OSCAR方法绝对是个亮点。
也正是由于这些原因，这本Network Forensics: Tracking Hackers through Cyberspace自从2012年6月出版后，在Amazon上一直深受好评排名居高不下。我有幸读到这本书，并将其推荐到国内，深感压力。
本书的翻译团队是个非常强大的团队，有经验丰富的鉴定师（拥有公安部和司法部认证的电子数据鉴定资质的鉴定人各一名），也有来自一线的技术支持人员和网络安全保卫实战单位的办案民警，还有教学经验丰富的外语专业教师。这也是一次公安专业院校与地方网络安全/电子取证专业团队合作的尝试。全书十二章内容翻译的分工安排如下：
第1章由武晓音同志翻译，第2章由龚济悦同志翻译，第3章由殷方同志翻译，第4、5、6、7、8、9章由上海弘连网络科技有限公司的陆道宏同志及数字犯罪调查小组（DCI）的沈永安、罗鸣和蹇星亮同志翻译，第10章由王宏同志翻译，第11、12章及剩余其他部分由我翻译。全书由我和陆道宏同志统一审校。除陆道宏、沈永安、罗鸣和蹇星亮同志之外的其他译者均为上海公安高等专科学校信息化、涉外警务等教研室的教师教官。本书中文版的面世首先要感谢各位译者付出的辛勤劳动。
其次，我要感谢博文视点的各位编辑老师，特别是顾慧芳、刘皎老师，感谢你们对我的一贯支持和耐心的指导，使我从中获益良多！同时也感谢你们为本书的出版所花费的大量时间！
当前，习近平总书记提出了“把我国从网络大国建设成为网络强国”的战略构想，2013版的《中华人民共和国刑事诉讼法》中也首次将电子数据作为一种正式的法定证据类型。可以预见，网络安全-电子取证工作在我国将会有一个较大的发展。本书既可供广大从事电子取证教学和实际工作的人员阅读，也计划作为我校侦查专业第二本科电子取证类课程的参考资料使用。
崔孝晨
2014年5月
![《黑客大追踪：网络取证核心原理与实践》[49M]百度网盘|亲测有效|pdf下载](/uploads/2024-01-20/54b7a316N11e43696.jpg)