[논문 리뷰] Volatile memory forensics for the Robot Operating System

Víctor Mayoral Vilches, Laura Alzola Kirschgens외 3명|arXiv (Cornell University)|2018. 12. 22.

Digital and Cyber Forensics참고 문헌 7인용 수 6

한 줄 요약

이 논문은 라이브러리 기반 로봇의 램 덤프를 분석함으로써 악성 노드 해제 공격을 탐지할 수 있는 ROS 전용 비내성 메모리 포렌식 프레임워크를 소개한다. 이는 Volatility 플러그인인 linux_rosnode를 활용한 것으로, 공격 후 발생한 서비스 거부 공격을 탐지하는 데 성공했다. 주요 기여는 재현 가능한 포렌식 워크플로우와 오픈소스 도구(ros_volatility)를 제공하여 사고 대응자가 라이브 로봇 메모리에서 실질적인 증거를 추출할 수 있도록 한 점이다.

ABSTRACT

The increasing impact of robotics on industry and on society will unavoidably lead to the involvement of robots in incidents and mishaps. In such cases, forensic analyses are key techniques to provide useful evidence on what happened, and try to prevent future incidents. This article discusses volatile memory forensics for the Robot Operating System (ROS). The authors start by providing a general overview of forensic techniques in robotics and then present a robotics-specific Volatility plugin named linux_rosnode, packaged within the ros_volatility project and aimed to extract evidence from robot's volatile memory. They demonstrate how this plugin can be used to detect a specific attack pattern on ROS, where a publisher node is unregistered externally, leading to denial of service and disruption of robotic behaviors. Step-by-step, common practices are introduced for performing forensic analysis and several techniques to capture memory are described. The authors finalize by introducing some future remarks while providing references to reproduce their work.

연구 동기 및 목표

• 로봇 분야, 특히 ROS 기반 시스템에서 체계적인 비내성 메모리 포렌식의 부족을 해결하기 위해.
• 사고 발생 후 악성 활동을 탐지하고 재구성하기 위해 로봇 메모리의 디지털 포렌식 분석을 가능하게 하기 위해.
• 리눅스 기반 로봇 플랫폼에서 램 확보 및 분석을 위한 실용적이고 재현 가능한 포렌식 워크플로우를 개발하기 위해.
• Volatility 프레임워크에 맞춰 ROS에 특화된 플러그인을 개발하여 메모리 덤프에서 런타임 증거를 자동으로 추출하기 위해.
• 앞으로의 로봇 포렌식 및 사고 대응(RFIR) 능력의 기반을 마련하기 위해.

제안 방법

• 저자들은 Volatility 프레임워크에 통합된 ros_volatility 프로젝트에 포함된 linux_rosnode라는 이름의 Volatility 플러그인을 개발하여 비내성 메모리 덤프에서 ROS 전용 데이터 구조를 파싱하고 추출하였다.
• ROS 기반 로봇에서 물리적 메모리 덤프를 확보하기 위해 리눅스 커널 모듈 기반 도구(Lime)를 사용하였다.
• 외부에서 ROS 퍼블리셔 노드를 해제하는 공격을 시뮬레이션한 동안 시스템 명령 로그와 메모리 덤프를 캡처하는 방법을 적용하였다.
• 플러그인은 RAM 내 연결 리스트와 해시 테이블과 같은 커널 데이터 구조를 분석하여 활성화된 ROS 노드와 그 상태를 재구성한다.
• 메모리 확보, 플러그인 실행, 시스템 로그와의 증거 상관 분석을 포함한 단계별 포렌식 워크플로우가 시연되었다.
• 통제된 환경에서 ROS 로봇을 사용하여 서비스 거부 공격을 유도하고, 이후 메모리 포렌식을 통해 이를 탐지함으로써 접근법의 타당성이 검증되었다.

실험 결과

연구 질문

• RQ1 비내성 메모리 포렌식은 ROS 기반 로봇 시스템에서 악성 행동을 효과적으로 탐지하는 데 적용될 수 있는가?
• RQ2 기존의 디지털 포렌식 프레임워크(예: Volatility)를 사용하여 RAM 내 ROS 전용 데이터 구조를 어떻게 추출하고 분석할 수 있는가?
• RQ3 노드 해제 공격 후 로봇의 물리적 메모리에서 어떤 포렌식 증거를 회복할 수 있는가?
• RQ4 커스텀 Volatility 플러그인은 ROS 런타임 환경에서 알려진 공격 패tern을 어느 정도 탐지할 수 있는가?
• RQ5 연구 결과는 어떻게 보다 넓은 로봇 포렌식 및 사고 대응(RFIR) 능력 지원에 일반화될 수 있는가?

주요 결과

• linux_rosnode 플러그인은 비내성 메모리 덤프에서 활성화된 ROS 노드와 그 등록 상태를 성공적으로 추출하여 악성 노드 해제 공격를 탐지하는 데 기여하였다.
• 포렌식 워크플로우를 통해 램 포렌식이 로그가 손상되거나 존재하지 않을 경우에도 예기치 않은 노드 해제와 같은 공격 지표를 식별할 수 있음을 입증하였다.
• Lime를 통한 메모리 확보 방법은 라이브 시스템 상태를 효과적으로 캡처하여 노드 퍼블리셔 및 서브스크라이버와 같은 중요한 런타임 데이터를 유지하였다.
• 연구는 비내성 메모리가 로봇 포렌식에서 중요한 증거 원천임을 확인하였으며, 비휘발성 스토리지가 손실되거나 손상된 경우 尤히 중요하다고 밝혔다.
• 플러그인는 Volatility 프레임워크의 제약로 현재 리눅스 커널 3.6 이하 버전에만 제한적으로 적용 가능하여 향후 개선이 필요하다는 점을 시사하였다.
• ros_volatility의 오픈소스 배포로 인해 커뮤니티의 확장이 가능하며, 향후 ROS 시스템에서 추가 공격 패턴 탐지에 기여할 수 있다.