[論文レビュー] Current Challenges and Future Research Areas for Digital Forensic Investigation

David Lillis, Brett A. Becker+2 more|arXiv (Cornell University)|Jan 1, 2016

Digital and Cyber Forensics参考文献 30被引用数 63

ひとこと要約

本論文は、データ量、デバイスの多様性、証拠の遅延といったデジタルフォレンジックスにおける重要な課題を特定し、フォレンジックス・アズ・ア・サービス（FaaS）、ハードウェア加速処理（FPGA、GPU）、自動化されたデータ重複削除、高度な情報取得技術といった今後の研究分野を提案することで、分析速度と効率を向上させることを目的としている。主な貢献は、人的作業を削減し調査を迅速化するために、ハイパフォーマンスコンピューティングとAI駆動の手法を統合するためのロードマップを提示することにある。

ABSTRACT

Given the ever-increasing prevalence of technology in modern life, there is a corresponding increase in the likelihood of digital devices being pertinent to a criminal investigation or civil litigation. As a direct consequence, the number of investigations requiring digital forensic expertise is resulting in huge digital evidence backlogs being encountered by law enforcement agencies throughout the world. It can be anticipated that the number of cases requiring digital forensic analysis will greatly increase in the future. It is also likely that each case will require the analysis of an increasing number of devices including computers, smartphones, tablets, cloud-based services, Internet of Things devices, wearables, etc. The variety of new digital evidence sources pose new and challenging problems for the digital investigator from an identification, acquisition, storage and analysis perspective. This paper explores the current challenges contributing to the backlog in digital forensics from a technical standpoint and outlines a number of future research topics that could greatly contribute to a more efficient digital forensic process.

研究の動機と目的

• デジタルフォレンジックスにおける技術的課題が証拠の遅延に与える影響を分析すること。
• 増加するデータ量、デバイスの多様性、クラウド／IoTの証拠を扱ううえでの主要な研究ギャップを特定すること。
• 自動化、スケーラビリティ、効率性を向上させるための今後の研究分野を提案すること。
• 高度なコンピューティングとデータ処理技術の統合によって、人的分析への依存を減らすこと。
• 標準化され、スケーラブルで知能的なフォレンジックシステムを導入することで、デジタル証拠処理の迅速化と正確性を向上させること。

提案手法

• クラウドインfraストラクチャを活用して、スケーラブルでオンデマンドのデジタルフォレンジック処理を実現するフォレンジックス・アズ・ア・サービス（FaaS）を提唱する。
• FPGAとGPUを用いたハードウェア加速を推進し、データ取得、分析、インデックス作成の高速化を図る。
• 同一または類似した証拠が複数の事件で重複して処理されないよう、データ重複削除技術を導入する。
• 再現率／適合率のトレードオフを調整可能な情報取得（IR）手法を適用し、トライエージの段階で関連証拠を優先順位付けする。
• 非構造化テキストからの時系列データ抽出を活用し、複数のデバイスにまたがるイベントの自動的タイムライン再構築を実現する。
• 並列処理および分散コンピューティングモデルを統合し、高容量かつ多様なデジタル証拠ソースを効果的に処理する。

実験結果

リサーチクエスチョン

• RQ1 フォレンジックス・アズ・ア・サービス（FaaS）は、デジタルフォレンジック調査におけるスケーラビリティをどのように向上させ、処理遅延を削減できるか？
• RQ2 FPGAとGPUによる加速は、データ取得および分析に要する時間をどのように短縮できるか？
• RQ3 データ重複削除技術は、同一または類似したデジタル証拠の重複分析をどの程度削減できるか？
• RQ4 再構成可能な情報取得（IR）システムは、再現率と適合率のバランスを考慮した場合、証拠トライエージをどの程度向上できるか？
• RQ5 多様なデータソースからの自動タイムライン再構築は、調査の相関関係と一貫性をどのように向上できるか？

主な発見

• FBIのデジタル証拠の量は2003年から2011年にかけて6.65倍に増加し、1件あたりのデータ量は84GBから559GBにまで上昇した。これは、バックログ問題の規模を浮き彫りにしている。
• クラウドおよびIoTデバイスは、データの多様性と複雑さを顕著に増大させ、取得および分析を困難にしている。
• FPGAとGPUは、I/Oバッティングや計算集約的タスクに適した高速処理を提供し、特にSSDの導入でI/Oボトルネックが軽減された現在の状況では特に有効である。
• 情報取得技術は、関連証拠を優先順位付けすることでトライエージを加速できるが、再現率と適合率のトレードオフを適切に設定する必要がある。
• データ重複削除は、システムファイルや一般的なメタデータに対して、重複処理とストレージの削減に効果を発揮する。
• 非構造化テキストからの時系列抽出を活用した自動タイムライン再構築は、複数デバイスにまたがるイベントの相関関係を求める作業を大幅に削減できる。