[論文レビュー] Towards a standardised strategy to collect and distribute application software artifacts

Thomas Laurenson, Stephen G. MacDonell+1 more|arXiv (Cornell University)|Jan 1, 2015

Digital and Cyber Forensics参考文献 18被引用数 3

ひとこと要約

本論文では、ライブ差分フォレンジック分析と新しいデータ抽象化形式であるアプリケーションプロファイルXML（APXML）を用いて、アプリケーションソフトウェアアーティファクトの収集および配布のための標準的で自動化された戦略を提案する。このアプローチは、ファイルシステムおよびWindowsレジストリのアーティファクトを1つの機械検証可能なXML構造に統合し、デジタルフォレンジックスにおけるアプリケーションソフトウェアの効率的で繰り返し可能なリバースエンジニアリングを可能にする。

ABSTRACT

Reference sets contain known content that are used to identify relevant or filter irrelevant content. Application profiles are a type of reference set that contain digital artifacts associated with application software. An application profile can be compared against a target data set to identify relevant evidence of application usage in a variety of investigation scenarios. The research objective is to design and implement a standardised strategy to collect and distribute application software artifacts using application profiles. An advanced technique for creating application profiles was designed using a formalised differential analysis strategy. The design was implemented in a live differential forensic analysis tool, LiveDiff, to automate and simplify data collection. A storage mechanism was designed based on a previously standardised forensic data abstraction. The design was implemented in a new data abstraction, Application Profile XML (APXML), to provide storage, distribution and automated processing of collected artifacts.

研究の動機と目的

• デジタルフォレンジックスにおけるアプリケーションソフトウェアアーティファクトの収集および共有における標準化の欠如に対処すること。
• 自動化により手作業の作業を削減し、アプリケーションプロファイル生成の一貫性を向上させること。
• 複数のソースからの証拠（ファイルシステムおよびレジストリ）を、1つの標準形式に統合して保存・配布・自動処理可能にする。
• 異なるバージョンおよび構成のアプリケーションソフトウェアに対して、迅速かつスケーラブルなリバースエンジニアリングを可能にすること。
• 事前に生成され検証済みのアプリケーションプロファイルとターゲットシステムを迅速に比較可能にすることで、フォレンジック調査の効率を向上させること。

提案手法

• アプリケーションライフサイクルフェーズ中のシステム変更をキャプチャできる、ポータブルなWindowsツール「LiveDiff」を開発。
• インストール、実行、アンインストールの前後におけるシステムスナップショットを比較する形式的な差分分析戦略を実装。
• DFXMLを拡張し、ファイルシステムおよびレジストリアーティファクトに加え、ライフサイクルフェーズ分類を含む、XMLベースのデータ抽象化標準「APXML」を設計。
• アプリケーションプロファイルの整合性と相互運用性を保証するため、XML検証用のスキーマ（apxml.xsd）を定義。
• ファイルパス、ハッシュ値、レジストリキーなどのメタデータプロパティをAPXMLに統合。システム固有の値（タイムスタンプやパーティション情報など）は除外。
• DFXMLおよびRegXML標準を基盤として採用し、ライフサイクルメタデータおよびプロビジョナのためのダブリンコアを拡張。

実験結果

リサーチクエスチョン

• RQ1 異なるライフサイクルフェーズにわたるアプリケーションソフトウェアアーティファクトを収集するための標準的で自動化された方法は、どのように開発できるか？
• RQ2 複数のソースからのフォレンジック証拠（ファイルシステムおよびレジストリ）を、フォレンジック的に妥当な方法で効果的に格納・配布・検証できるデータ抽象化形式は何か？
• RQ3 ライブシステム上でリアルタイムに差分分析を適用することで、一貫性があり繰り返し可能なアプリケーションプロファイルを生成するにはどうすればよいか？
• RQ4 異なるターゲットシステム間でのアーティファクトの相関に不可欠なメタデータプロパティは何か。一方で、誤検出を避けるために除外すべきプロパティは何か？
• RQ5 得られたアプリケーションプロファイルを、デジタルフォレンジックスツールおよび実務家間で信頼性高く検証および共有するにはどうすればよいか？

主な発見

• LiveDiffは、Windowsシステム上でライブ差分フォレンジック分析を自動化し、アプリケーションのインストール、実行、アンインストール中の変更を正常にキャプチャした。
• APXMLは、ファイルシステムおよびレジストリアーティファクトを含むアプリケーションプロファイルを格納するための標準的で拡張可能かつ機械検証可能なフォーマットを提供する。
• ライフサイクルフェーズ分類（インストール、実行、アンインストール、再起動）の組み込みにより、アプリケーション使用状況に関するより正確なフォレンジック推論が可能になった。
• APXMLスキーマ（apxml.xsd）は、データの整合性と相互運用性を保証し、ツールがプロファイルを信頼性高く検証および処理できるようにした。
• このアプローチにより、手作業によるリバースエンジニアリング作業が削減され、新しいまたは更新されたソフトウェアバージョンのアプリケーションプロファイルの迅速な生成が可能になった。
• この方法により、アプリケーションプロファイルの自動処理が可能となり、デジタルフォレンジック調査におけるスケーラビリティと一貫性が向上した。