基于UEFI的Windows系统反删除取证技术研究的开题报告.docx

基于UEFI的Windows系统反删除取证技术研究的开题报告
一、研究背景
UEFI（统一的可扩展固件接口）是一个新一代的固件接口，已经被广泛应用于各种计算设备，在Windows系统中也被称为Win8固件标准，取代了旧有的BIOS系统。相比较BIOS，UEFI具有更好的兼容性、更快的启动速度、更强的安全性和更好的扩展性，这也使得UEFI系统成为了当今计算机系统的主流。
随着UEFI系统的普及，各种新型的取证需求也随之产生。在传统的BIOS系统中，由于其固件特性，可以使用一些特殊的工具对被删除的数据进行取证，而UEFI所采用的是完全不同的启动机制，对数据的取证方式也产生了较大的影响。此时，需要开发出一些可以在UEFI启动机制下进行数据取证的技术，以满足这一方面的需求。
在基于UEFI的Windows系统中，常用的删除数据的方法有“Shift+Delete”和“右键-删除”等，这些删除方式相比于将文件放到回收站中，更容易被当成是恶意软件的行为被删除，同时受损的文件无法在回收站中找回，所以需要一种反删除的技术来弥补这些缺陷。
二、研究的目的和意义
本课题旨在开发一种适用于基于UEFI的Windows系统中的反删除取证技术，以提供一种可行的方法来帮助调查和证明务软件的存在和行为。具体目标包括：
1.掌握UEFI启动机制和UEFI系统的架构特点，实现在UEFI启动方式下的数据取证。
2.针对在UEFI启动方式下删除数据的情况，设计一种高效的反删除取证方案，实现对被删除的数据的自动重建和保存。
3.实现反删除取证技术的封装和集成，提供方便易用的取证工具。
本研究的意义在于，一方面满足了当前需要反删除取证技术的需求，另一方面也促进了UEFI系统的发展和完善，提高了系统的安全性和稳定性。
三、研究内容和技术路线
1.UEFI启动机制和UEFI系统的架构特点分析
2.基于UEFI启动方式下的数据取证技术研究，包括：
（1）分析UEFI启动方式下的文件系统结构和文件存储特点。
（2）通过文件存储方式来研究被删除文件的存储位置，并尝试在UEFI启动机制下实现取证方案。
（3）探索使用UEFI固件接口来重建删除的数据的可能性。
（4）设计一种反删除取证方案，实现对被删除的数据自动重建和保存。
3.反删除取证技术的封装和集成
（1）对开发的反删除取证技术进行封装和集成，开发可视化的取证工具。
（2）在Windows系统上测试反删除取证技术的可行性和效果。
4.技术路线图
（图略）
四、研究预期结果
本研究的预期结果是一种在基于UEFI的Windows系统中可以实现反删除取证的技术方案，包括以下几个方面：
1.掌握UEFI启动方式下的数据取证技术，设计一种适用于UEFI启动方式的反删除取证方案。
2.开发出反删除取证的工具封装和集成。
3.在Windows系统上的反删除取证方案测试。
通过本研究，可以提供使数据无法被恶意删除和保证数据空间有效使用的先进安全技术。同时，也可以为日后的数据取证工作提供一种可行的技术手段。