[論文レビュー] SecLaaS: Secure Logging-as-a-Service for Cloud Forensics

Shams Zawoad, Amit Kumar Dutta+1 more|arXiv (Cornell University)|Feb 25, 2013

Digital and Cyber Forensics参考文献 15被引用数 26

ひとこと要約

SecLaaSは、クラウドフォレンジックを対象とした、安全でプライバシーを守るログサービスアーキテクチャを提案する。フォレンジック捜査官がクラウドプロバイダーを信頼せずに、暗号的証明（過去ログの証明およびログチェーン）を通じてログの完全性と機密性を検証できる。この方式はOpenStackに実装されており、ネットワークアクセスログのセキュリティを確保しながら、監査可能性とSOXおよびHIPAAなどの規制への準拠を実現する実用的妥当性を示している。

ABSTRACT

Cloud computing has emerged as a popular computing paradigm in recent years. However, today's cloud computing architectures often lack support for computer forensic investigations. Analyzing various logs (e.g., process logs, network logs) plays a vital role in computer forensics. Unfortunately, collecting logs from a cloud is very hard given the black-box nature of clouds and the multi-tenant cloud models, where many users share the same processing and network resources. Researchers have proposed using log API or cloud management console to mitigate the challenges of collecting logs from cloud infrastructure. However, there has been no concrete work, which shows how to provide cloud logs to investigator while preserving users' privacy and integrity of the logs. In this paper, we introduce Secure-Logging-as-a-Service (SecLaaS), which stores virtual machines' logs and provides access to forensic investigators ensuring the confidentiality of the cloud users. Additionally, SeclaaS preserves proofs of past log and thus protects the integrity of the logs from dishonest investigators or cloud providers. Finally, we evaluate the feasibility of the scheme by implementing SecLaaS for network access logs in OpenStack - a popular open source cloud platform.

研究の動機と目的

• クラウドインfraストラクチャに対する制御および信頼の欠如を踏まえ、デジタルフォレンジックスのためのクラウドログの取得と検証という重要な課題に対処すること。
• クラウドサービスプロバイダーからのログにアクセス・検証を可能にする一方で、ユーザーのプライバシーを保護すること。
• 不誠実なクラウドプロバイダーまたは捜査官による改ざんに対して、暗号的証明を通じてログの完全性を保証すること。
• OpenStackのような既存のクラウドプラットフォームと統合可能な実用的で展開可能なソリューションを提供すること。
• 検証可能なログを通じて、SOXやHIPAAのような規制基準への準拠を高め、クラウドの監査可能性を向上させること。

提案手法

• クラウドユーザーが暗号化および署名済みのログをアップロードできる集中型ログサーバーを導入し、機密性を確保する。
• 暗号的アキュムレータを用いて、すべてのログを時系列順に束ねた、コンactで検証可能なログチェーン（LC）を生成する。
• 各ログエントリに対して過去ログの証明（PPL）を生成し、監査官が特定の時点でログの存在および完全性を暗号的に検証できるようにする。
• 公開鍵暗号とデジタル署名を用いて、ログを発信者に関連付け、非否認性を確保する。
• OpenStackのネットワーキングコンponentsを活用し、特にネットワークフォレンジックスのためのSnortログと統合する。
• 効率的なアキュムレータ方式を採用することで、ログ量にかかわらず検証時間を一定に保ち、スケーラビリティを確保する。

実験結果

リサーチクエスチョン

• RQ1 クラウドログは、ユーザーのプライバシーを守りつつ、フォレンジック捜査官が安全に保管・アクセスできる仕組みは何か？
• RQ2 ログが悪意あるクラウドプロバイダーによって保管されている場合でも、時間の経過とともにログの完全性をどのように暗号的に検証できるか？
• RQ3 実世界のクラウドプラットフォーム（例：OpenStack）において、安全なログサービスモデルを実用的に実装できるか？
• RQ4 システムはどのようにして、ログの改ざんや改ざんを防ぎ、その真正性を公開で検証可能にするか？
• RQ5 クラウド環境における大規模なログストリームに対して、暗号的証明を維持する際のパフォーマンスオーバーヘッドはどの程度か？

主な発見

• SecLaaSは、暗号的証明を通じて、クラウドログの機密性と完全性を両立する安全なログインfraストラクチャを成功裏に実装した。
• OpenStackに統合し、Snortからのネットワークアクセスログを処理することで、実世界での展開可能性を実証した。
• 効率的なアキュムレータベースの技術のおかげで、ログ数に関係なくログ証明の検証時間がほぼ一定を保った。
• この方式により、クラウドプロバイダーまたは捜査官を信頼せずとも、監査官がログの完全性を公開で検証できるようになった。
• 検証可能なログを提供することで、SOXやHIPAAのような規制基準への準拠を高める。
• デジタル署名と暗号的アキュムレータを用いることで、ログの偽造リスクを低減し、非否認性を実現した。