[論文レビュー] Network Traffic Forensics on Firefox Mobile OS: Facebook, Twitter and Telegram as Case Studies

Mohd Najwadi Yusoff, Ali Dehghantanha+1 more|arXiv (Cornell University)|Jun 25, 2017

Advanced Malware Detection Techniques参考文献 10被引用数 4

ひとこと要約

本研究では、Firefox OSシミュレータとネットワーク監視ツールを用いて、Facebook、Twitter、Telegramの残存ネットワークアーティファクトをキャプチャし、分析することで、Firefox OSにおける最初の包括的なネットワークトラフィックフォレンジックス分析を実施した。主な貢献は、フォレンジックに有用なトラフィックの残渣を同定し、ウェブ中心のモバイルオペレーティングシステムの文脈における将来のモバイルOSデジタルフォレンジックス研究の基盤を確立することにある。

ABSTRACT

Development of mobile web-centric OS such as Firefox OS has created new challenges, and opportunities for digital investigators. Network traffic forensic plays an important role in cybercrime investigation to detect subject(s) and object(s) of the crime. In this chapter, we detect and analyze residual network traffic artefacts of Firefox OS in relation to two popular social networking applications (Facebook and Twitter) and one instant messaging application (Telegram). We utilized a Firefox OS simulator to generate relevant traffic while all communication data were captured using network monitoring tools. Captured network packets were examined and remnants with forensic value were reported. This paper as the first focused study on mobile Firefox OS network traffic analysis should pave the way for the future research in this direction.

研究の動機と目的

• Firefox OSにおけるソーシャルメディアおよびメッセージングアプリケーションの残存ネットワークトラフィックアーティファクトを調査すること。
• Firefox OSでキャプチャされたネットワークトラフィックパケットのサイバー犯罪捜査におけるフォレンジック価値を評価すること。
• 特にウェブ中心のシステムであるFirefox OSを対象とした、将来的なモバイルOSネットワークトラフィックフォレンジックス研究のベースラインを確立すること。
• 未だ十分に研究されていないモバイルOSプラットフォームであるFirefox OS上で、デジタル証拠をネットワークトラフィックから抽出する可能性を示すこと。

提案手法

• Firefox OSシミュレータを用いてネットワークトラフィックを生成し、ネットワーク監視ツールで通信データをすべてキャプチャした。
• Firefox OS環境上でFacebook、Twitter、Telegramとの相互作用中にネットワークトラフィックパケットをキャプチャした。
• キャプチャしたパケットの詳細な分析により、フォレンジック的に有意義な残存データを同定・抽出した。
• 暗号化されていないメタデータ、セッショントークン、通信パターンなどのネットワークトラフィックアーティファクトの同定に焦点を当てた。
• トラフィック構造の分析とフォレンジック痕跡の検出を目的として、標準的なパケット分析手法を採用した。
• デジタルフォレンジックスの文脈で報告を行い、ネットワークトラフィックからの回復可能な証拠に重点を置いた。

実験結果

リサーチクエスチョン

• RQ1 Facebook、Twitter、Telegramを使用する際、Firefox OSから回復可能な残存ネットワークトラフィックアーティファクトの種類は何か？
• RQ2 Firefox OS上のネットワークトラフィックは、ユーザーの活動状況や通信パターンをどの程度明らかにするか？
• RQ3 Firefox OSでキャプチャされたネットワークトラフィックパケットは、デジタル調査においてどの程度のフォレンジック価値を持つのか？
• RQ4 Firefox OS上でのFacebook、Twitter、Telegramのネットワークトラフィック行動は、追跡可能性の観点でどのように異なるか？

主な発見

• Facebook、Twitter、TelegramのFirefox OSトラフィックから、暗号化されていないメタデータやセッション関連データを含む残存ネットワークトラフィックアーティファクトが、正常に抽出された。
• 本研究では、HTTPヘッダーやリクエストパターン、接続シーケンスなどの複数のフォレンジック痕跡が同定され、ユーザー特定や活動再構築に役立つ可能性が示された。
• ネットワークリモニタリングにより、プライバシーを重視したOSとして知られるFirefox OSでも、通信において顕著なフォレンジック痕跡が残存することが判明した。
• 研究結果は、プライバシーとセキュリティに重点を置くFirefox OSにおいても、ネットワークトラフィックフォレンジックスがデジタル調査の有効な手法であることを示している。
• 本研究は、ウェブ中心のモバイルオペレーティングシステムにおけるネットワークトラフィックアーティファクト分析のための基盤となるデータセットと手法を確立した。