[論文レビュー] Forensic Acquisition of Cloud Drives

Vassil Roussev, Andres Barreto+1 more|arXiv (Cornell University)|Jan 26, 2016

Digital and Cyber Forensics参考文献 9被引用数 6

ひとこと要約

本論文は、クラウドドライブのフォレンジック取得モデルをAPIベースで提案し、クライアント側での証拠収集の限界を克服する。著者らは、Google Drive、OneDrive、Dropbox、Boxをサポートするkumoddというツールを実装し、リビジョンやGoogle Docsのようなクラウドネイティブなアーティファクトを含む、完全で再現可能かつフォレンジック的に妥当なクラウドストレージデータの取得を可能にした。

ABSTRACT

Cloud computing and cloud storage services, in particular, pose a new challenge to digital forensic investigations. Currently, evidence acquisition for such services still follows the traditional method of collecting artifacts on a client device. This approach requires labor-intensive reverse engineering efforts, and ultimately results in an acquisition that is inherently incomplete. Specifically, it makes the incorrect assumption that all storage content for an account is fully replicated on the client; further, there are no means to acquire historical data in the form of document revisions, nor is there a way to acquire cloud-native artifacts, such as Google Docs. In this work, we introduce the concept of API-based evidence acquisition for cloud services, which addresses these concerns by utilizing the officially supported API of the service. To demonstrate the utility of this approach, we present a proof-of-concept acquisition tool, kumodd, which can acquire evidence from four major cloud drive providers: Google Drive, Microsoft OneDrive, Dropbox, and Box. The implementation provides both command-line and web user interfaces, and can be readily incorporated into established forensic processes.

研究の動機と目的

• クラウド環境における従来のクライアント側デジタルフォレンジックスの欠陥を是正する。特に、ローカルレプリカが不完全であり、履歴データが失われる問題を解消する。
• クラウドサービスプロバイダーの公式APIを介して、直接的に元のソースからクラウドに保存された証拠を取得する手法を開発する。
• 静的ファイルとして保存されない、Google Docsのようなクラウドネイティブアーティファクトを取得可能にする。
• 逆コンパイルに依存するのを減らし、文書化済みで標準化されたAPIを活用することで、信頼性が高く再現可能なデータ取得を実現する。
• 将来的なスケーラビリティと拡張性を確保し、マルチプロバイダー対応およびフォワードデプロイドなフォレンジックシナリオに対応する。

提案手法

• クラウドサービスプロバイダーをデジタル証拠の真実のソースとみなす、APIファーストの取得モデルを設計・実装する。
• 各クラウドプロバイダー（Google Drive、OneDrive、Dropbox、Box）に対して、専用で再利用可能なドライバーコンponentを備えたモジュラーアーキテクチャを構築する。
• 既存のフォレンジックワークフローおよびリモートデプロイメントシナリオへの統合を可能にするために、コマンドラインインターフェースとWebベースのユーザーインターフェースを両方実装する。
• サービスプロバイダーのAPIを活用して、ファイルコンテンツ、メタデータ、リビジョン履歴、検索機能を取得し、トライエージやフィルタリングに活用する。
• データ整合性の検証と再処理を回避するためのコンテンツベースのフィルタリングを可能にするために、暗号ハッシュ（例：SHA-256）を活用する。
• 将来的なクラウドプロバイダー対応および、高帯域幅のデータ取得に適したコロケートドフォレンジックVMを想定した拡張性を設計する。

実験結果

リサーチクエスチョン

• RQ1 クライアント側ストレージが本質的に不完全である場合、クラウドドライブのデジタルフォレンジック取得をどのようにしてフォレンジック的に完全に保証できるか？
• RQ2 ファイルリビジョンや静的ファイルとして保存されないクラウドネイティブアーティファクト（例：Google Docs）を取得するためのメカニズムは何か？
• RQ3 APIベースの取得モデルは、複数のクラウドプロバイダーにわたって、証拠の再現性、整合性、検証可能性を保証できるか？
• RQ4 フォレンジックツールは、クラウドインfraストラクチャ内でマルチサービス管理とフォワードデプロイメントをサポートするようにどのようにアーキテクチャすべきか？
• RQ5 クラウドネイティブドキュメントの編集履歴を、元のサービスプロバイダーに依存せずに、長期的に保存・再現する上での課題は何か？

主な発見

• kumoddツールは、クラウドプロバイダーからの直接的なAPIベースの取得が、リビジョンやクラウドネイティブアーティファクトを含む、フォレンジック的に完全で再現可能なデータコピーを実現できることを明確に示した。
• 各クラウドプロバイダーのドライバの実装には、232～620行のPythonコードで完了しており、クライアント側の逆コンパイルに比べて開発コストが著しく低いことが示された。
• 暗号ハッシュを活用したコンテンツフィルタリングが可能であり、検索およびプレビューAPIを用いた事前トライエージが可能となり、取得後の処理負荷が削減された。
• kumoddのWebインターフェースは、帯域幅制限を克服するため、フォレンジックインスタンスをターゲットのクラウドインfraストラクチャとコロケートするフォワードデプロイドフォレンジックソリューションのプロトタイプとして機能する。
• 本研究では、現在の実務における深刻なギャップが特定された。すなわち、クライアント側の取得では、履歴編集やクラウドネイティブドキュメントのログを捉えることができず、ソースベースの取得に移行する必要がある。
• 著者らは、今後のフォレンジック研究は、元のサービスプロバイダーに依存せずに、クラウドネイティブドキュメントの完全な編集履歴を保存・再現することに焦点を当てるべきだと結論づけた。