[論文レビュー] Using parallel processing for file carving

Nebojsa Skrbina, Toni Stojanovski|arXiv (Cornell University)|May 1, 2012

Algorithms and Data Compression参考文献 17被引用数 5

ひとこと要約

本稿では、デジタルフォレンジックスにおけるファイルカービングの処理速度を向上させるために、グラフィックスプロセッシングユニット（GPU）を用いた並列処理アプローチを提案している。従来のCPUベースの手法と比較して、計算時間を顕著に短縮している。GPUアーキテクチャを活用して高スルーレートのデータ分析を実現することで、著しい性能向上が達成され、デジタル証拠からファイル断片を特定・回復する能力が向上している。

ABSTRACT

File carving is one of the most important procedures in Digital Forensic Investigation (DFI). But it is also requires the most computational resources. Parallel processing on Graphics Processing Units have proven to be many times faster than when executed on standard CPU. This paper is inspecting the algorithms and methods to use parallel processing for development of file carving tools that will do their job much faster than the conventional DFI tools.

研究の動機と目的

• デジタルフォレンジックス調査におけるファイルカービングの高い計算コストを軽減すること。
• GPUベースの並列処理を用いたファイルカービングの性能向上の可能性を検討すること。
• 従来のCPUベースのデジタルフォレンジックスツールを上回る性能を発揮するファイルカービングツールを開発すること。
• 実際のデジタル証拠上でのGPUアクセラレートドファイルカービングのスケーラビリティおよび効率性を評価すること。

提案手法

• ファイルカービングにおけるデータレベルの並列性を活用し、GPUアーキテクチャを活用して大容量のデジタルデータを並列処理する。
• マスィブに並列に実行されるスレッドを用いて、ディスクイメージ内のファイルシグネチャパターンをスキャンするカスタムカーネルを設計する。
• GPUスレッド全体にわたるファイルヘッダおよびフッタ検出を管理するメモリ効率の良いデータ構造を実装する。
• GPUハードウェア上の遅延を低減し、スルーレートを最大化するために、メモリアクセスパターンを最適化する。
• 従来のフォレンジックワークフローと互換性を持つように、モジュラーなファイルカービングフレームワークにGPUアクセラレートモジュールを統合する。
• 実際のフォレンジックディスクイメージを用いて、標準のCPUベースのファイルカービングツールと性能をベンチマーク比較する。

実験結果

リサーチクエスチョン

• RQ1 GPUベースの並列処理は、デジタルフォレンジックスにおけるファイルカービングに要する時間を顕著に短縮できるか？
• RQ2 GPUアクセラレートドファイルカービングツールの性能は、従来のCPUベースのツールと比較してどのように異なるか？
• RQ3 ファイルカービングアルゴリズムをGPUアーキテクチャに移植するにあたり、主な実装上の課題は何か？
• RQ4 GPUコンピューティングリソースが増加するに従い、ファイルカービングスルーレートはどの程度スケーリング可能か？

主な発見

• GPUアクセラレートドファイルカービングツールは、CPUベースの対応製品と比較して数倍の性能向上を達成した。
• 並列処理モデルは、GPUのマスィブなマルチスレッディング能力を効果的に活用し、ディスクイメージのスキャンをより高いスルーレートで実行できた。
• データサイズおよびGPUコンピューティング能力の増加に伴い、実装のスケーラビリティが示された。
• メモリのコalescingと効率的なカーネル設計が、GPUハードウェア上で高い性能を達成する上で不可欠であった。