[논문 리뷰] Intensional Cyberforensics

Serguei A. Mokhov|arXiv (Cornell University)|2013. 12. 02.

Digital and Cyber Forensics참고 문헌 302인용 수 8

한 줄 요약

이 논문은 디지털 증거와 증인 진술의 신뢰성을 모델링하고 분산 평가를 위한 형식적 운영 의미를 제공하는, 루시드(Lucid) 기반의 새로운 내재적 프로그래밍 언어 다이얼렉트인 Forensic Lucid를 소개한다. 이는 다차원 계층적 맥락과 내재적 논리를 기반으로 사이버 프로파일 조사 모델링을 가능하게 하며, 추론을 통한 사고 재구성의 역추적을 가능하게 하고, 증거 및 증인 진술의 신뢰성 요소를 통합한다. 이는 유한 상태 기계(FSA) 모델에 비해 표현력과 추적 가능성이 향상된 맥락 인식형, 논리 기반의 대안을 제공한다.

ABSTRACT

This work focuses on the application of intensional logic to cyberforensic analysis and its benefits and difficulties are compared with the finite-state-automata approach. This work extends the use of the intensional programming paradigm to the modeling and implementation of a cyberforensics investigation process with backtracing of event reconstruction, in which evidence is modeled by multidimensional hierarchical contexts, and proofs or disproofs of claims are undertaken in an eductive manner of evaluation. This approach is a practical, context-aware improvement over the finite state automata (FSA) approach we have seen in previous work. As a base implementation language model, we use in this approach a new dialect of the Lucid programming language, called Forensic Lucid, and we focus on defining hierarchical contexts based on intensional logic for the distributed evaluation of cyberforensic expressions. We also augment the work with credibility factors surrounding digital evidence and witness accounts, which have not been previously modeled. The Forensic Lucid programming language, used for this intensional cyberforensic analysis, formally presented through its syntax and operational semantics. In large part, the language is based on its predecessor and codecessor Lucid dialects, such as GIPL, Indexical Lucid, Lucx, Objective Lucid, and JOOIP bound by the underlying intensional programming paradigm.

연구 동기 및 목표

• 디지털 증거 분석을 위한 기존의 유한 상태 기계(FSA) 모델의 한계를 해결하기 위해 더 표현력이 풍부하고 맥락 인식 기능을 갖춘 프레임워크를 도입하기 위해.
• 내재적 논리를 기반으로 한 다차원 계층적 맥락에 기반해 디지털 증거와 조사 주장 모델링을 위해.
• 증거를 바탕으로 주장의 증명 또는 반증이 가능한, 추론을 통한 사고 재구성 과정을 형식화하기 위해.
• 기존의 형식적 증거 분석 모델에서 간과되는 경향이 있는 디지털 증거 및 증인 진술의 신뢰성 요소를 형식적으로 통합하기 위해.
• Lucid의 새로운 다이얼렉트인 Forensic Lucid를 개발하고 구현하여, 분산 사이버 프로파일 분석을 위한 일반 내재적 프로그래밍 시스템(GIPSY)을 확장하기 위해.

제안 방법

• 내재적 논리를 활용해 증거 및 조사 주장의 동적이고 맥락 의존적인 표현으로 표현한다.
• Lucid 및 그 이전 버전을 기반으로 한 공식적인 문법과 운영 의미를 갖춘 도메인 특화 언어 다이얼렉트인 Forensic Lucid를 설계한다.
• 시간, 위치, 시스템 상태 등을 포함한 증거 데이터의 다차원적 성격을 계층적 맥락을 통해 모델링한다.
• 원인 체인을 역추적하고 조사 가설을 검증하거나 반증하기 위해 추론 평가 전략을 적용한다.
• Dempster–Shafer 이론을 사용해 증거 및 증인 진술의 신뢰성 평가를 위해 신뢰성 모델링을 통합한다.
• GIPSY 프레임워크를 확장하여 클러스터 환경에서의 분산 실행을 지원하기 위해 컴파일러, 런타임 시스템 및 클러스터 실험 환경을 구축한다.

실험 결과

연구 질문

• RQ1 내재적 논리는 FSA 모델에 비해 사이버 프로파일 조사의 표현력과 추적 가능성을 어떻게 향상시키는가?
• RQ2 다차원 프로파일 맥락을 모델링하고 사고의 역추적을 지원하기 위해 필요한 형식적 언어 구문은 무엇인가?
• RQ3 디지털 증거 및 증인 진술의 신뢰성 요소는 형식적인 증거 분석 시스템에 어떻게 공식적으로 통합될 수 있는가?
• RQ4 Lucid를 사이버 프로파일 응용 분야에 확장하는 데 있어 핵심적인 설계 및 구현 과제는 무엇인가?
• RQ5 Forensic Lucid 언어는 어떻게 분산된, 맥락 인식형 평가를 통해 증거 표현을 실행하는가?

주요 결과

• Forensic Lucid는 다차원 계층적 맥락을 활용해 디지털 증거와 조사 주장 모델링에 성공적으로 활용되며, 정밀하고 추적 가능한 증거 분석을 가능하게 한다.
• 언어는 추론 평가를 통해 사고의 역추적을 지원하며, 증거를 바탕으로 주장의 증명 또는 반증이 가능하다.
• Dempster–Shafer 이론을 사용해 증거 및 증인 진술의 신뢰성 요소를 형식적으로 모델링함으로써, 증거 결론의 신뢰성 평가가 향상된다.
• GIPSY 프레임워크 내에 Forensic Lucid를 구현함으로써 클러스터 환경에서의 증거 표현 분산 실행이 가능해졌다.
• MARF 및 MARFCAT와의 통합을 통해 데이터 마이닝 및 프로파일 맥락에서의 패턴 인식 기능을 구현함으로써 시스템의 실현 가능성과 표현력이 입증되었다.
• 이 접근법은 FSA 기반 모델에 비해 실용적이고 형식적인 대안을 제공하며, 맥락 인식형, 동적 증거 분석에 대한 지원이 향상되었다.