[논문 리뷰] Using Graphics Processors for Parallelizing Hash-based Data Carving

Sylvain Collange, Yoginder S. Dandass외 2명|arXiv (Cornell University)|2009. 01. 09.

Digital and Cyber Forensics참고 문헌 8인용 수 8

한 줄 요약

이 논문은 그래픽스 처리 장치(GPU)를 활용하여 디지털 포렌식에서 해시 기반 데이터 카빙을 가속화하는 방법을 제안한다. 이는 디스크 섹터 패턴을 알려진 이미지 파일 서명과 병렬 비교함으로써, 기존의 CPU 기반 소프트웨어 구현보다 훨씬 빠른 속도로 잠재적인 이미지 파일 조각을 탐지할 수 있도록 한다. 이로 인해 포렌식 데이터 재구성 워크플로우에서 주요 성능 향상을 달성한다.

ABSTRACT

The ability to detect fragments of deleted image files and to reconstruct these image files from all available fragments on disk is a key activity in the field of digital forensics. Although reconstruction of image files from the file fragments on disk can be accomplished by simply comparing the content of sectors on disk with the content of known files, this brute-force approach can be time consuming. This paper presents results from research into the use of Graphics Processing Units (GPUs) in detecting specific image file byte patterns in disk clusters. Unique identifying pattern for each disk sector is compared against patterns in known images. A pattern match indicates the potential presence of an image and flags the disk sector for further in-depth examination to confirm the match. The GPU-based implementation outperforms the software implementation by a significant margin.

연구 동기 및 목표

• 디지털 포렌식을 위한 기존 소프트웨어 기반 해시 기반 데이터 카빙에서 발생하는 성능 저하 문제를 해결하기 위해.
• 그래픽스 처리 장치(GPU)를 사용하여 디스크 섹터 내용을 알려진 이미지 파일 패턴과 병렬 비교하는 것의 가능성과 성능 이점을 탐색하기 위해.
• GPU의 막대한 병렬 처리 능력을 활용하여 대규모 디스크 스토리지에서 잠재적인 이미지 파일 조각을 보다 효율적으로 식별하기 위해.
• 계산적으로 부담이 큰 패턴 매칭 단계를 가속화하여 포렌식 분석에 소요되는 시간을 줄이기 위해.

제안 방법

• 각 디스크 섹터에서 유일한 식별 패턴을 알려진 이미지 파일의 해시 패턴과 비교하기 위해 GPU 기반 구현을 사용한다.
• 각 GPU 스레드는 단일 디스크 섹터를 평가하도록 할당되며, 알려진 이미지의 해시 서명과 일치 여부를 확인한다.
• 각 디스크 클러스터가 수천 개의 GPU 코어를 통해 병렬로 처리되는 해시 기반 비교 방식을 사용한다.
• 일치가 의심되는 섹터는 향후 심층 분석을 위해 플래그 처리되어 파일 재구성 여부를 확인한다.
• 지연 시간을 최소화하고 처리량을 극대화하기 위해 GPU 메모리 액세스 패턴에 최적화된 구현을 사용한다.
• 실제 이미지 파일과 포렌식 디스크 이미지로 구성된 실세계 데이터셋을 사용하여 방법을 평가한다.

실험 결과

연구 질문

• RQ1 GPU 가속이 디지털 포렌식에서 해시 기반 데이터 카빙에 소요되는 시간을 상당히 줄일 수 있는가?
• RQ2 GPU 가속 데이터 카빙 구현의 성능은 기존의 CPU 기반 소프트웨어 구현과 비교해 어떻게 다른가?
• RQ3 수많은 파일 조각을 포함한 대규모 디스크 이미지를 처리할 때 GPU 기반 접근 방식의 확장성은 어떠한가?
• RQ4 파일 복구를 위한 패턴 매칭 맥락에서 GPU의 막대한 병렬 처리 능력을 얼마나 효과적으로 활용할 수 있는가?
• RQ5 GPU 아키텍처에 데이터 카빙 워크로드를 매핑할 때 실질적인 제약 조건이나 성능 저하 요소는 무엇인가?

주요 결과

• GPU 기반 구현은 소프트웨어 구현보다 상당한 성능 향상을 보이며, 디스크 섹터 처리 속도가 크게 향상된다.
• GPU 병렬 처리 덕분에 시스템은 수천 개의 디스크 섹터를 동시에 평가할 수 있어 전체 분 析 시간이 극적으로 감소한다.
• 성능 향상은 여러 디스크 섹터를 알려진 이미지 해시와 비교하는 데 내재된 높은 데이터 수준의 병렬성 덕분이다.
• 효율적인 GPU 메모리 액세스와 커널 실행 덕분에 대규모 디스크 이미지에서도 확장성이 뛰어나며, 높은 처리량을 유지한다.
• 결과적으로 GPU 가속은 디지털 포렌식에서 계산적으로 부담이 큰 데이터 카빙 단계를 가속화하는 데 실현 가능하고 매우 효과적인 접근 방식임을 확인한다.