虚拟化教学平台在电子取证实践中的应用

张斐

本文对虚拟化教学平台在电子取证实践教学中的应用研究进行了分析，指出在现有情况下开展此类教学和研究活动存在的一些问题，并对解决这些问题提出了一些方法，最后对未来的发展进行了展望。

【关键词】虚拟化 电子取证 实践教学

1 国内研究现状分析

近年随着我国网络安全的需要，电子数据取证在我国得到了较快的发展，国内几乎所有的公安、政法类大学均开设有电子数据取证的相关课程，并建立了一整套匹配的实验实训教程。

以国内公安院校为例，中国人民公安大学的电子取证教学近年已经实现了X-Ways Forensics和虚拟硬盘Mount Image Pro在教学中的结合，将虚拟硬盘工具引入到实训教学过程中后，绝大多数学生都能够迅速准确的掌握该知识点。究其原因主要在于虚拟硬盘工具的呈现方式非常直观，使学生很容易在磁盘镜像文件和虚拟硬盘之间建立起联系，进而理解教学内容。湖北警官学院2011年即开始探索虚拟化技术在电子取证教学和科研中的应用，裸机型Hypervisor的服务器虚拟方式以及桌面虚拟化VDI技术在其所辖的三真司法鉴定所的电子取证实验室中开始运用，有效优化了其网络安全与执法本科专业学生的电子取证教学环境。

2 虚拟平台的应用

2.1 虚拟硬盘的应用

磁盘镜像文件是电子取证课程中最常见的数据载体和检材，也是教学中的重点。在教学中，很少有学生能直接将单个磁盘镜像文件与包含若干文件的硬盘联系起来，甚至讲解后仍有少数学生并不完全理解，因此它也是教学中的难点内容。

虽然相关高校使用的取证工具X-Ways Forensics功能强大，但直接使用专业工具给学生进行演示和讲解的效果不理想，而将虚拟硬盘工具引入到教学中，多数学生都能够迅速准确的掌握该知识点。原因是虚拟硬盘工具的呈现方式直观，使学生容易在磁盘镜像文件和虚拟硬盘之间建立起联系，进而理解内容。虚拟硬盘工具有很多种，其中比较适合在实训教学过程中使用的是Mount Image Pro。

如果所在的教学环境不能正常安装新的软件并且教学内容只是需要利用虚拟硬盘进行分区、格式化或数据擦除等演示，则可使用Windows系统自带的磁盘管理工具创建虚拟磁盘。该工具只支持“.vhd”和“.vhdx”格式的文件，而不支持“.dd”等其他格式的文件。这是因为二者与“.dd”的文件结构均不相同，在“.vhd”文件的尾部有一些特有的数据，而“.vhdx”文件的结构与“.dd”的差异更大，因此磁盘管理工具不能加载常见的磁盘镜像文件。

除了上述由磁盘镜像文件生成的虚拟硬盘外，还有另外一种由内存生成的虚拟硬盘，这种虚拟硬盘不占用物理磁盘空间，但会占用内存空间，数据在计算机断电后不保存。通过引导学生使用此类工具生成虚拟硬盘，并在计算机重启后观察虚拟硬盘中数据的保存情况，能使学生深入理解易失性和非易失性存儲器这两个重要概念。

2.2 虚拟软件的应用

虚拟机是虚拟化技术的一个主要应用方向，也是一种可以被应用于信息技术相关实验课程的重要工具。利用虚拟机工具可以在一台物理计算机上生成许多独立运行的虚拟机实例，并且每台虚拟机都可以安装独立的操作系统。在虚拟机上安装操作系统时，可对虚拟机中的硬盘进行分区而不影响物理硬盘的分区，完全可将虚拟机中的硬盘当作虚拟硬盘使用，只是不方便。

对于实训课程中的病毒分析实验、数据擦除及恢复等对系统环境具有破坏性的实验，则可以利用VMware的克隆和快照功能，迅速简便的将虚拟机恢复至指定状态。VMware中还包含有一个图形化的快照管理器，非常直观的为虚拟机创建多个快照并进行管理。

此外在开展网络课程的路由和交换教学中，利用packet tracker模拟真实环境，对于初学者比较适宜，尤其是加深对抽象的通信原理的了解有一定的帮助。如果要满足深度的学习需求，就是用GNS3，这个软件是用dynamips为核心，图形化界面，操作方便。但是只能模拟几个型号的IOS，可以用相关module来练习交换命令，但是和真实的交换机还是有区别的。如果要模拟交换机，只能是用IOU（IOS On Unix），这个是思科做的虚拟机，可以用思科开发的IOS来模拟交换和路由环境，消耗资源不大，可以搭建CCIE RS的环境。

3 对高职教育改革与发展的意义

针对我院司法信息安全专业，电子数据取证类课程的实践教学是巩固和验证所学知识，培养学生对于电子证据的分析和解决问题能力的重要环节。当前的计算机实践教学注重在现有硬件环境下进行实验教学，注重硬件环境的建设，对配套软件环境的建设重视不够。随着学院的大量投入，实验室的硬件环境得到了很大改善，很多计算机专业课程实验得以顺利开设，尤其是电子取证类的实践教学在没有专业实验实训室的情况下，已经开始利用现有的通用计算机设备开展教学，但有些实验在没有引进新的软件环境和采用新的教学方法前仍然是无法进行的，因此我们探索使用虚拟机搭建取证平台，从而模拟计算机犯罪现场，最大可能实现对现有硬件资源的利用，对于电子取证教学不失为当前一条行之有效的解决方案。

普通计算机机房的PC机一般都是固定安装Windows操作系统，要学习配置使用多种操作系统的话是不现实的。目前借助福建锐捷的云课堂技术，实现了在不改变当前机房的操作系统、不增加硬件投入的情况下实现多操作系统的实验教学。对于信息类相关专业，教学中需要大量在不同操作系统环境下进行的计算机实验，尤其是以电子取证课程的实践教学为例，需要大量在特定环境下的计算机犯罪现场模拟和计算机病毒样本，这给我们现有的实验室软件环境带来了很大的挑战。

4 结语

电子取证是法学和计算机科学的交叉学科，其研究领域日益丰富，在当前涉及电子证据案件日趋增多的情况下，如何从我院自身专业实际情况出发，深刻认识电子取证教学中的许多问题，通过建立虚拟化的教学平台，推动模拟电子取证实务化教学的开展，进一步提高相关专业学生的专业技能意义重大。

作者单位

陕西警官职业学院 陕西省西安市 710021