[論文レビュー] Battling the Digital Forensic Backlog through Data Deduplication

Mark Scanlon|arXiv (Cornell University)|Oct 2, 2016

Digital and Cyber Forensics参考文献 10被引用数 11

ひとこと要約

本論文は、デジタルフォレンジックのバックログを削減するために、以前に処理済みの証拠の重複した収集・保存・再分析を排除する、中央集権的でデータベース駆動のデータ重複除去システムを提案する。一意のデータアーティファクトのみを保存し、暗号ハッシュを活用することで、ストレージ、帯域幅、処理時間の大幅な削減が可能となり、自動トリアージ、ブラックリスト登録、時点復元が可能になる。

ABSTRACT

In everyday life. Technological advancement can be found in many facets of life, including personal computers, mobile devices, wearables, cloud services, video gaming, web-powered messaging, social media, Internet-connected devices, etc. This technological influence has resulted in these technologies being employed by criminals to conduct a range of crimes -- both online and offline. Both the number of cases requiring digital forensic analysis and the sheer volume of information to be processed in each case has increased rapidly in recent years. As a result, the requirement for digital forensic investigation has ballooned, and law enforcement agencies throughout the world are scrambling to address this demand. While more and more members of law enforcement are being trained to perform the required investigations, the supply is not keeping up with the demand. Current digital forensic techniques are arduously time-consuming and require a significant amount of man power to execute. This paper discusses a novel solution to combat the digital forensic backlog. This solution leverages a deduplication-based paradigm to eliminate the reacquisition, redundant storage, and reanalysis of previously processed data.

研究の動機と目的

• 増加する事件件数とデータの複雑化によるデジタルフォレンジックのバックログの増大に対処すること。
• 複数の事件にまたがる同じデジタル証拠の再収集および再分析に費やす時間とリソースを削減すること。
• 特にリモートまたはクラウドベースの証拠収集において、ストレージおよび帯域幅コストを最小限に抑えること。
• 既知の無害または罪証となるファイルの中央データベースを活用し、不審なデバイスの自動トリアージおよび優先順位付けを可能にすること。
• 専門家の分析を新規または懸念されるコンテンツにのみ集中させることで、捜査の効率を向上させること。

提案手法

• 暗号ハッシュ（例：SHA-256）を用いて、各一意のデジタルアーティファクト（ファイル、断片、スラック領域など）を1つのコピーのみを保存する中央集権的重複除去システムを実装すること。
• 新規に収集されたデータのハッシュ値を、既存のエントリと照合して重複を検出するため、データベースを用いてハッシュ値をインデックス化し、収集または保存の前段階で重複を特定すること。
• 既存のデジタルフォレンジックツール（例：EnCase、FTK Imager）と統合することで、証拠収集および処理ワークフローを簡素化すること。
• APIを介したリモート証拠収集を可能にし、重複除去によって転送データ量を削減することで、速度と効率を向上させること。
• 専門家による分析中に、アーティファクトに「無害」または「罪証」としてのタグを付けることで、自動ブラックリスト/ホワイトリスト登録を可能にすること。
• 完全なディスクイメージではなく、ファイルシステムの変更のみを保存することで、重複除去されたデータストアを活用し、時点復元を可能かつ効率的にすること。

実験結果

リサーチクエスチョン

• RQ1 中央集権的重複除去システムは、重複したデータ処理を排除することで、デジタルフォレンジック捜査の時間とコストを顕著に削減できるか？
• RQ2 特にクラウドやリモート証拠収集において、データ重複除去はストレージおよび帯域幅要件をどの程度削減できるか？
• RQ3 重複除去は、デジタルフォレンジック捜査の過程で不審なデバイスの自動トリアージおよび優先順位付けをどのように支援できるか？
• RQ4 システム全体のデータ重複除去は、手作業での分析作業をどの程度削減し、新規または懸念されるコンテンツに専門家が集中できるようにするか？
• RQ5 重複除去されたデータストアにより、複数回の収集から、効率的な時点復元が可能になるか？

主な発見

• 重複除去システムにより、一意のデジタルアーティファクトごとに1つのコピーのみを保存するため、ストレージ要件が著しく低下し、インfra構築コストが大幅に削減される。
• 特にクラウドやネットワーク接続先のソースを扱う場合、データ転送量の削減により、リモート証拠収集の時間が著しく短縮される。
• 既知のファイルの自動ブラックリスト/ホワイトリスト登録が可能となり、高価値の証拠の迅速なトリアージと優先順位付けが実現される。
• 以前に分析済みのファイル（無害および罪証の両方）がフラグ付きで除外されるため、手作業での分析作業が削減される。
• 捜査官は新規または未知のコンテンツに集中でき、トリアージおよび分析フェーズでのケース進行が加速される。
• 重複除去されたデータストアのおかげで、完全なディスクイメージではなくファイルシステムの変更のみをキャプチャすることで、時点復元が可能かつ効率的になる。