[論文レビュー] Tools And Techniques For Network Forensics

Natarajan Meghanathan, Sumanth Reddy Allam+1 more|arXiv (Cornell University)|Apr 5, 2010

Network Security and Intrusion Detection参考文献 10被引用数 42

ひとこと要約

本論文は、パケットキャプチャ、IPトレースバック、ハニーポットを用いたインシデント分析に焦点を当てた、ネットワークフォレンジックスのツールおよび技術に関する包括的なサーベイを提示している。eMailTrackerPro、Web Historian、Etherealといったツールを用いた証拠収集の評価と、パケットマーキングおよびハニーポットの展開による攻撃元の特定と攻撃者行動の理解を検討している。

ABSTRACT

Network forensics deals with the capture, recording and analysis of network events in order to discover evidential information about the source of security attacks in a court of law. This paper discusses the different tools and techniques available to conduct network forensics. Some of the tools discussed include: eMailTrackerPro to identify the physical location of an email sender; Web Historian to find the duration of each visit and the files uploaded and downloaded from the visited website; packet sniffers like Etherea to capture and analyze the data exchanged among the different computers in the network. The second half of the paper presents a survey of different IP traceback techniques like packet marking that help a forensic investigator to identify the true sources of the attacking IP packets. We also discuss the use of Honeypots and Honeynets that gather intelligence about the enemy and the tools and tactics of network intruders.

研究の動機と目的

• サイバー犯罪捜査におけるデジタル証拠収集を支援するため、ネットワークイベントのキャプチャおよび分析に適したツールと技術を特定・評価すること。
• 分散型サービス拒否攻撃などのネットワークベースの攻撃において、悪意あるトラフィックの真正の発信元を特定する課題に対処すること。
• ハニーポットおよびハニーネットが攻撃者の戦術、ツール、行動に関するインテリジェンスを収集する役割を検討すること。
• ネットワークフォレンジックスにおける送信元特定の向上を目的とした、パケットマーキングを含むIPトレースバック手法のサーベイ。
• フォレンジック捜査官がインcidnet発生後の分析および証拠検証に向けたツールを展開するための実用的ガイドを提供すること。

提案手法

• Etherealなどのパケットスナッファーを活用し、証拠としてのネットワークトラフィックをキャプチャおよび分析する。
• eMailTrackerProを応用して、メタデータおよびルーティング情報に基づきメール送信者の物理的位置を特定する。
• Web Historianを活用して、ウェブサイト訪問時間、ファイル転送、ユーザー活動をログ記録し、ウェブベースのフォレンジック分析を実施する。
• 特にパケットマーキングを含むIPトレースバック技術を実装し、悪意あるパケットの発信元をネットワーク内で追跡する。
• 脆弱なシステムをシミュレートするためのハニーポットおよびハニーネットを展開し、攻撃者行動およびツールに関するデータ収集を実施する。
• 複数のフォレンジックツールを統合し、サイバーインcidnetにおける検出力および送信元特定の信頼性を向上させる階層的アプローチを構築する。

実験結果

リサーチクエスチョン

• RQ1 どのツールがネットワークトラフィックのキャプチャおよび分析に効果的であり、デジタル証拠を抽出できるか？
• RQ2 パケットマーキングを含むIPトレースバック技術は、攻撃発信元の特定の正確性をどのように向上させるか？
• RQ3 ハニーポットおよびハニーネットは、攻撃者の行動およびツールに関する実用的インテリジェンスをどの程度提供できるか？
• RQ4 eMailTrackerPro や Web Historian といったツールは、メールおよびウェブ活動に関連するフォレンジック捜査にどのように寄与するか？
• RQ5 実際のサイバー攻撃シナリオにおいて、既存のネットワークフォレンジックツールの長所と短所は何か？

主な発見

• Etherealなどのパケットスナッパーは、ネットワークトラフィックの詳細な検査を可能にし、フォレンジック捜査官が攻撃シーケンスを再構築し、悪意あるペイロードを特定できる。
• eMailTrackerPro は、ルーティング情報およびヘッダ情報を用いてメール送信者を地理的位置にマッピングするのに成功し、メールベースの攻撃の帰属特定を支援する。
• Web Historian は、ユーザーのセッション時間およびデータ転送の正確なログを提供し、ウェブベースの侵入に対するフォレンジック分析を支援する。
• パケットマーキングを含むIPトレースバック技術は、従来のログ記録が不十分なネットワーク環境において、送信元特定の精度を顕著に向上させる。
• ハニーポットおよびハニーネットは、攻撃者ツールおよび戦術に関するリアルタイムのデータを効果的に収集し、進化するサイバー脅威に関する洞察を提供する。
• 複数のフォレンジックツールを統合した連携フレームワークは、デジタル証拠収集の信頼性および包括性を高める。