[논문 리뷰] Forensic Acquisition of Cloud Drives

Vassil Roussev, Andres Barreto외 1명|arXiv (Cornell University)|2016. 01. 26.

Digital and Cyber Forensics참고 문헌 9인용 수 6

한 줄 요약

이 논문은 클라우드 드라이브를 위한 API 기반 디지털 포렌식 확보 모델을 제안하며, 클라이언트 측 증거 수집의 한계를 해결하기 위해 클라우드 서비스 API에 직접 접근한다. 저자들은 Google Drive, OneDrive, Dropbox, Box를 지원하는 kumodd라는 도구를 구현하여 클라우드 스토리지 데이터, 특히 수정 이력과 Google Docs와 같은 클라우드 네이티브 아티팩트까지 완전하고 재현 가능하며 포렌식적으로 타당한 확보를 가능하게 한다.

ABSTRACT

Cloud computing and cloud storage services, in particular, pose a new challenge to digital forensic investigations. Currently, evidence acquisition for such services still follows the traditional method of collecting artifacts on a client device. This approach requires labor-intensive reverse engineering efforts, and ultimately results in an acquisition that is inherently incomplete. Specifically, it makes the incorrect assumption that all storage content for an account is fully replicated on the client; further, there are no means to acquire historical data in the form of document revisions, nor is there a way to acquire cloud-native artifacts, such as Google Docs. In this work, we introduce the concept of API-based evidence acquisition for cloud services, which addresses these concerns by utilizing the officially supported API of the service. To demonstrate the utility of this approach, we present a proof-of-concept acquisition tool, kumodd, which can acquire evidence from four major cloud drive providers: Google Drive, Microsoft OneDrive, Dropbox, and Box. The implementation provides both command-line and web user interfaces, and can be readily incorporated into established forensic processes.

연구 동기 및 목표

• 클라우드 환경에서 전통적인 클라이언트 측 디지털 포렌식의 한계를 해결하기 위해, 로컬 복제본이 완전하지 않거나 이력 데이터가 손실되는 문제를 해결한다.
• 공식 API를 통해 클라우드 서비스 제공업체에서 직접 증거를 확보할 수 있는 방법을 개발한다.
• 정적 파일로 저장되지 않는 Google Docs와 같은 클라우드 네이티브 아티팩트를 확보할 수 있도록 한다.
• 역공학에 의존하는 것을 줄이고, 잘 문서화되고 표준화된 API를 활용하여 신뢰할 수 있고 반복 가능한 데이터 확보를 확보한다.
• 다중 제공업체 및 향후 배포된 포렌식 시나리오를 고려한 향후 확장성과 유연성을 지원한다.

제안 방법

• 클라우드 서비스 제공업체를 디지털 증거의 최종 기준으로 간주하는 API 우선 확보 모델을 설계하고 구현한다.
• 각 클라우드 제공업체(Google Drive, OneDrive, Dropbox, Box)가 전용으로 재사용 가능한 드라이버 컴ponent로 구성된 모듈식 아키텍처를 개발한다.
• 기존 포렌식 워크플로우 및 원격 배포 시나리오에 통합할 수 있도록 명령줄 인터페이스와 웹 기반 인터페이스를 모두 지원한다.
• 서비스 제공업체의 API를 활용해 파일 콘텐츠, 메타데이터, 수정 이력, 검색 기능을 확보하여 선별 및 필터링을 지원한다.
• 내용 기반 필터링을 위해 재처리 없이도 가능하도록 암호학적 해시(SHA-256 등)를 사용해 데이터 무결성 검증을 수행한다.
• 향후 클라우드 제공업체 및 고대역폭 데이터 확보를 위한 공유된 포렌식 VM과 같은 고급 사용 사례를 고려해 확장성을 설계한다.

실험 결과

연구 질문

• RQ1 클라이언트 측 스토리지가 본질적으로 불완전한 상황에서 클라우드 드라이브의 디지털 포렌식 확보를 어떻게 포렌식적으로 완전하게 만들 수 있는가?
• RQ2 파일 수정 이력과 Google Docs와 같은 클라우드 네이티브 아티팩트(정적 파일로 저장되지 않는 것들)를 확보하기 위한 메커니즘은 무엇인가?
• RQ3 API 기반 확보 모델이 여러 클라우드 제공업체 간에 포렌식 증거의 재현 가능성, 무결성, 검증 가능성을 보장할 수 있는가?
• RQ4 포렌식 도구는 어떻게 설계되어 다중 서비스 관리 및 클라우드 인프라 내에서 사전 배포된 포렌식 솔루션을 지원할 수 있는가?
• RQ5 서비스 제공업체에 의존하지 않고 클라우드 네이티브 문서의 편집 이력을 장기적으로 보존하고 재생하는 데 있어 어떤 과제가 존재하는가?

주요 결과

• kumodd 도구는 클라우드 제공업체의 직접 API 기반 확보가 수정 이력과 클라우드 네이티브 아티팩트를 포함한 완전하고 재현 가능한 데이터 복사본을 제공함을 성공적으로 입증했다.
• 각 클라우드 제공업체 드라이버의 구현에 평균 232~620줄의 파이썬 코드가 소요되었으며, 이는 클라이언트 측 아티팩트를 역공학하는 것에 비해 낮은 개발 부담을 의미한다.
• 암호학적 해시를 통한 콘텐츠 기반 필터링을 지원하며, 검색 및 미리보기 API를 활용한 선별 기능을 통해 확보 후 처리 오버헤드를 줄였다.
• kumodd의 웹 인터페이스는 고대역폭 확보 문제를 해결하기 위해 대상 클라우드 인프라와 함께 공유된 포렌식 인스턴스를 운영하는 향후 배포된 포렌식 솔루션의 프로토타입으로 기능한다.
• 본 연구는 현재 관행에서 심각한 격차를 밝혀냈다: 클라이언트 측 확보는 역사적 편집 기록이나 클라우드 네이티브 문서 로그를 포괄할 수 없으며, 이는 원천 기반 확보로의 전환을 필수로 한다.
• 저자들은 향후 포렌식 연구가 원본 서비스 제공업체에 의존하지 않고도 클라우드 네이티브 문서의 전체 편집 이력을 보존하고 재생하는 데에 집중해야 한다고 결론을 내린다.