针对取证过程中所获取的进程异常行为, 提出进程行为事件重建犯罪过程的方法。该方法使用 CSP(通信顺序进程 )理论来形式化描述具有威胁乃至破坏性的进程操作及进程间的通信,根据系统保存的进程行为记录建立进程通信状态模型, 使用基于路径搜索的进程行为解释算法分析模型内所有可能的进程通信序列, 形成进程通信行为规则, 在排除不符合规则的通信序列的基础上, 找到能够形成合理证据链的通信序列。通过案例分析进行了证据的形式化及 CSP建模,给出了进程行为的具体分析解释和原型系统,验证该方法的可行性和有效性。