[論文レビュー] EviHunter: Identifying Digital Evidence in the Permanent Storage of Android Devices via Static Analysis

Chris Chao-Chun Cheng, Shi Chen+2 more|arXiv (Cornell University)|Aug 18, 2018

Advanced Malware Detection Techniques参考文献 28被引用数 4

ひとこと要約

EviHunter は、アプリのソースコードから事前に App Evidence Database (AED) を生成することで、Android デバイス上のデジタル証拠を含む可能性のあるファイルを自動的に同定する静的解析ツールである。GPS 位置情報、URL、テキスト入力などの証拠データタイプとそれに対応するファイルパスを高い正確性で特定する能力を有しており、キーワードベースや手動手法に比べて、実世界のアプリにおいて関連ファイルを効果的に同定する。

ABSTRACT

Crimes, both physical and cyber, increasingly involve smartphones due to their ubiquity. Therefore, digital evidence on smartphones plays an increasingly important role in crime investigations. Digital evidence could reside in the memory and permanent storage of a smartphone. While we have witnessed significant progresses on memory forensics recently, identifying evidence in the permanent storage is still an underdeveloped research area. Most existing studies on permanent-storage forensics rely on manual analysis or keyword-based scanning of the permanent storage. Manual analysis is costly, while keyword matching often misses the evidentiary data that do not have interesting keywords. In this work, we develop a tool called EviHunter to automatically identify evidentiary data in the permanent storage of an Android device. There could be thousands of files on the permanent storage of a smartphone. A basic question a forensic investigator often faces is which files could store evidentiary data. EviHunter aims to answer this question. Our intuition is that the evidentiary data were produced by apps; and an app's code has rich information about the types of data the app may write to a permanent storage and the files the data are written to. Therefore, EviHunter first pre-computes an App Evidence Database (AED) via static analysis of a large number of apps. The AED includes the types of evidentiary data and files that store them for each app. Then, EviHunter matches the files on a smartphone's permanent storage against the AED to identify the files that could store evidentiary data. We evaluate EviHunter on benchmark apps and 8,690 real-world apps. Our results show that EviHunter can precisely identify both the types of evidentiary data and the files that store them.

研究の動機と目的

• Android の永続ストレージにおける関連するデジタル証拠ファイルを同定する課題に対処すること。これは、主にメモリフォレンジックスの分野に注目が集まる中、しばしば軽視されている。
• 手動解析やキーワードベースのスキャンに起因する制限を克服すること。これらは時間のかかる上、特定のキーワードが存在しないと証拠を漏れなく特定できない。
• フォレンジック捜査官が Android デバイス上で証拠データを含む可能性の高いファイルを優先的に調査できる、自動的かつスケーラブルなソリューションを開発すること。
• アプリコードの静的解析を活用し、位置情報、URL、ユーザー入力などの機密データタイプを格納する可能性のあるファイルを事前に予測すること。
• アプリの動作を特定のファイルパスとデータタイプにマッピングする包括的な App Evidence Database (AED) を構築し、迅速なフォレンジックマッチングを可能にすること。

提案手法

• EviHunter はオフライン・オンラインアーキテクチャを採用する。まず、多数の Android アプリに対して静的データフローアナリシスを実行し、App Evidence Database (AED) を構築する。
• AED は、データソースからファイルシステムのシンクへのデータフローを分析することで、ファイルパスと関連する証拠データタイプ（例：位置情報、URL、テキスト入力）を記録する。
• データタイプとファイルパスの両方を追跡できるように、静的解析ツールにカスタムタグを拡張することで、証拠を格納するファイルの正確な同定を可能にする。
• ファイルパスの構築、特にシステム API やコンponent間通信による動的パス生成に対応するためのプロパゲーションルールを設計する。
• ファイルパス用の新しいソースメソッドを同定し、一般的に使用される Android フレームワーク API のデータフローサマリを統合することで、精度を向上させる。
• オンライン段階では、容疑者デバイスのストレージから抽出したファイルパスを AED と照合し、デジタル証拠を含む可能性の高いファイルをマークする。

実験結果

リサーチクエスチョン

• RQ1 Android アプリコードの静的解析は、GPS 位置情報、URL、ユーザー入力などのデジタル証拠を含む可能性のある永続ストレージ上のファイルを、正確に予測できるか？
• RQ2 事前に生成された App Evidence Database (AED) は、キーワードベースや手動手法と比較して、フォレンジック捜査官の検索空間をどの程度縮小できるか？
• RQ3 強化されたタグ付けとプロパゲーションルールを用いた静的解析は、キーワードの兆候がないファイルに対しても、証拠データをどの程度検出できるか？
• RQ4 ベンチマークアプリを越えた実世界の Android アプリに適用した場合、EviHunter のスケーラビリティと正確性はどの程度か？
• RQ5 ファイルパスの追跡とデータタイプの追跡を統合することで、モバイルフォレンジックスにおけるデジタル証拠同定の正確性はどの程度向上するか？

主な発見

• EviHunter は、証拠データタイプとそれに対応するファイルパスの両方を高い正確性で同定でき、フォレンジック捜査官が関連ファイルに集中できるようにする。
• キーワードベースのスキャンに比べて優れている。過去の研究で示されているように、キーワードが存在しないファイルでは証拠を漏れなく特定できない。
• 8,690 件の実世界 Android アプリを対象とした評価により、EviHunter がアプリの動作をファイルシステム出力に正確にマッピングできることを確認した。
• 静的解析によって構築された App Evidence Database (AED) は、幅広い種類の証拠データタイプとファイルパスをカバーしており、実世界のアプリへのスケーラビリティを示している。
• EviHunter のアプローチにより、数千件のファイルを手動で絞り込む必要がなくなり、高確率の証拠ファイルのセットに限定できる。
• ファイルパスの追跡とデータタイプの伝搬を統合することで、従来のセキュリティ指向の静的解析ツールに比べ、検出正確性が顕著に向上した。