融合多源日志辅助取证的事件场景关联方法 (2007年)

计算机取证牵涉的证据通常分布在多种不同的日志中，从多源日志进行事件场景关联对于辅助取证意义重大。提出了一种融合多源日志的基于事件“前提/结果”因果关系的事件场景关联方法。首先用基于IDMEF格式的数据模型表示来自多源日志的安全事件,再通过预先定义的事件“前提/结果”知识将这些事件关联成事件场景。实验表明该文提出的方法可辅助取证人员自动关联多源日志信息，生成可视化的事件关联图。