[논문 리뷰] Current Challenges and Future Research Areas for Digital Forensic Investigation

David Lillis, Brett A. Becker외 2명|arXiv (Cornell University)|2016. 01. 01.

Digital and Cyber Forensics참고 문헌 30인용 수 63

한 줄 요약

이 논문은 데이터 볼륨, 기기 이질성, 증거 누적 문제와 같은 디지털 포렌식의 핵심 과제를 규명하고, 포렌식 서비스화(Forensics-as-a-Service, FaaS), 하드웨어 가속 처리(FPGA, GPU), 자동화된 데이터 중복 제거 기법, 고급 정보 검색 기법을 포함한 향후 연구 방향을 제안하여 분석 속도와 효율성을 향상시킨다. 주요 기여는 수작업을 줄이고 조사 속도를 높이기 위해 고성능 컴퓨팅과 AI 기반 방법을 통합하는 로드맵을 제공하는 데 있다.

ABSTRACT

Given the ever-increasing prevalence of technology in modern life, there is a corresponding increase in the likelihood of digital devices being pertinent to a criminal investigation or civil litigation. As a direct consequence, the number of investigations requiring digital forensic expertise is resulting in huge digital evidence backlogs being encountered by law enforcement agencies throughout the world. It can be anticipated that the number of cases requiring digital forensic analysis will greatly increase in the future. It is also likely that each case will require the analysis of an increasing number of devices including computers, smartphones, tablets, cloud-based services, Internet of Things devices, wearables, etc. The variety of new digital evidence sources pose new and challenging problems for the digital investigator from an identification, acquisition, storage and analysis perspective. This paper explores the current challenges contributing to the backlog in digital forensics from a technical standpoint and outlines a number of future research topics that could greatly contribute to a more efficient digital forensic process.

연구 동기 및 목표

• 디지털 포렌식의 기술적 과제를 분석하여 증거 누적 문제에 기여하는 요인을 규명한다.
• 증가하는 데이터 볼륨, 기기 다양성, 클라우드 및 IoT 증거 처리의 핵심 연구 격차를 특정한다.
• 자동화, 확장성, 효율성을 향상시키는 향후 연구 방향을 제안한다.
• 고급 컴퓨팅 및 데이터 처리 기법을 통합하여 수작업 분석에 대한 의존도를 줄인다.
• 표준화되고 확장 가능하며 지능적인 포렌식 시스템을 통해 디지털 증거 처리의 적시성과 정확성을 향상시킨다.

제안 방법

• 클라우드 인프라를 통해 스케일러블하고 온디맨드로 디지털 포렌식 처리를 가능하게 하는 포렌식 서비스화(Forensics-as-a-Service, FaaS)를 제안한다.
• 데이터 수집, 분석, 인덱싱 속도 향상을 위해 FPGA와 GPU를 활용한 하드웨어 가속을 주장한다.
• 동일하거나 유사한 증거를 여러 사례에서 반복 처리하는 것을 방지하기 위해 데이터 중복 제거 기법을 도입한다.
• 조정 가능한 리콜/정밀도 트레이드오프를 갖춘 정보 검색(IR) 방법을 적용하여 선별 단계에서 관련 증거를 우선순위 정렬한다.
• 비정형 텍스트에서 시간 정보를 추출하여 다양한 기기 간 사건 간 연관성 재구성 과정을 자동화한다.
• 고용량의 이질적 디지털 증거 소스를 처리하기 위해 병렬 및 분산 컴퓨팅 모델을 통합한다.

실험 결과

연구 질문

• RQ1 포렌식 서비스화(Forensics-as-a-Service, FaaS)는 디지털 포렌식 조사에서 확장성과 처리 지연을 어떻게 향상시킬 수 있는가?
• RQ2 FPGA와 GPU 가속은 데이터 수집 및 분석에 소요되는 시간을 어떻게 줄일 수 있는가?
• RQ3 데이터 중복 제거 기법은 동일하거나 유사한 디지털 증거에 대한 중복 분석을 얼마나 줄일 수 있는가?
• RQ4 조정 가능한 정보 검색(IR) 시스템은 리콜과 정밀도의 균형을 고려할 때 증거 선별 과정을 얼마나 향상시킬 수 있는가?
• RQ5 이질적 데이터 소스에서 비롯된 자동화된 시계열 재구성 기법은 조사 연관성과 일관성을 어떻게 향상시킬 수 있는가?

주요 결과

• 2003년에서 2011년 사이에 연방수사국(FBI)의 디지털 증거량은 6.65배 증가하여 케이스당 84GB에서 559GB로 증가하였으며, 이는 누적 문제의 규모를 보여준다.
• 클라우드 및 IoT 기기들은 데이터 이질성과 복잡성을 크게 증가시켜 수집 및 분석을 복잡하게 만든다.
• FPGA와 GPU는 I/O 집약적이고 계산이 복잡한 포렌식 작업에 대해 고속 처리를 가능하게 하며, 특히 SSD가 I/O 병목 현상을 줄임에 따라 더욱 유용하다.
• 정보 검색 기법은 관련 증거를 우선순위 정렬함으로써 선별 과정을 가속화할 수 있으나, 리콜과 정밀도의 트레이드오프는 주의 깊은 설정이 필요하다.
• 데이터 중복 제거 기법은 시스템 파일과 공통 메타데이터에 대해 특히 중복 처리 및 저장을 줄여준다.
• 비정형 텍스트에서 시간 정보를 추출하여 자동으로 시계열 재구성하는 기법은 다양한 기기 간 사건 연관성 분석에 소요되는 수작업을 감소시킨다.