[論文レビュー] Using Graphics Processors for Parallelizing Hash-based Data Carving

Sylvain Collange, Yoginder S. Dandass+2 more|arXiv (Cornell University)|Jan 9, 2009

Digital and Cyber Forensics参考文献 8被引用数 8

ひとこと要約

本論文は、Graphics Processing Units (GPU) を活用して、既知の画像ファイルシグネチャとのディスクセクターパatters の比較を並列化することで、デジタルフォレンジックスにおけるハッシュベースのデータカービングの高速化を提案する。GPU を用いたパターンマッチングにより、従来の CPU によるソフトウェア実装と比較して、潜在的な画像ファイル断片の検出が著しく高速化され、フォレンジックデータ再構築ワークフローにおける大幅なパフォーマンス向上を実証している。

ABSTRACT

The ability to detect fragments of deleted image files and to reconstruct these image files from all available fragments on disk is a key activity in the field of digital forensics. Although reconstruction of image files from the file fragments on disk can be accomplished by simply comparing the content of sectors on disk with the content of known files, this brute-force approach can be time consuming. This paper presents results from research into the use of Graphics Processing Units (GPUs) in detecting specific image file byte patterns in disk clusters. Unique identifying pattern for each disk sector is compared against patterns in known images. A pattern match indicates the potential presence of an image and flags the disk sector for further in-depth examination to confirm the match. The GPU-based implementation outperforms the software implementation by a significant margin.

研究の動機と目的

• デジタルフォレンジックスにおける従来のソフトウェアベースのハッシュベースのデータカービングにおけるパフォーマンスボトルネックを解消すること。
• Graphics Processing Units (GPU) を用いた、ディスクセクターコンテンツと既知の画像ファイルパターンとの比較を並列化する手法の実現可能性とパフォーマンスメリットを検討すること。
• GPU が有する大規模な並列処理能力を活用して、大容量ディスクストレージ内の潜在的な画像ファイル断片の特定を効率化すること。
• 計算負荷の高いパターンマッチングフェーズを高速化することで、フォレンジック分析に要する時間を短縮すること。

提案手法

• 本手法は、各ディスクセクターから得られる一意の識別パターンを、既知の画像ファイルのハッシュパターンと照合する GPU ベースの実装を採用する。
• 各 GPU スレッドは、1 つのディスクセクターを評価するように割り当てられ、既知の画像のハッシュシグネチャとの一致をチェックする。
• 本手法は、各ディスククラスタを数千の GPU コres で並列処理するハッシュベースの比較を採用する。
• 潜在的な一致が検出されたセクターは、ファイル再構築の確認のためのさらに詳細な分析のためにフラグが立てる。
• 遅延を最小限に抑え、スループットを最大化するために、GPU のメモリアクセスパターンに最適化された実装が採用されている。
• 本手法は、既知の画像ファイルとフォレンジックディスクイメージの実際のデータセットを用いて評価されている。

実験結果

リサーチクエスチョン

• RQ1 GPU アクceleration により、デジタルフォレンジックスにおけるハッシュベースのデータカービングに要する時間が著しく短縮可能か？
• RQ2 GPU アクセラレーテッドなデータカービング実装は、従来の CPU ベースのソフトウェア実装と比較して、どのようにパフォーマンスに差をつけるか？
• RQ3 多数のファイル断片を含む大規模なディスクイメージを処理する際、GPU ベースのアプローチのスケーラビリティはいかがなものか？
• RQ4 ファイル回復のためのパターンマッチングの文脈において、GPU が有する大規模な並列処理能力をどの程度効果的に活用できるか？
• RQ5 GPU アーキテクチャへのデータカービングワークロードのマッピングにおける実用的な制限要因やボトルネックは何か？

主な発見

• GPU ベースの実装は、ソフトウェア実装を著しく上回り、ディスクセクターの処理が著しく高速化されている。
• GPU の並列処理により、同時に数千のディスクセクターを評価できるようになり、全体の分析時間が著しく短縮された。
• 性能向上は、多数のディスクセクターを既知の画像ハッシュと照合する際の高いデータレベルの並列性に起因する。
• 本手法は大規模なディスクイメージに対してもスケーラブルであり、効率的な GPU メモリアクセスとカーネル実行のおかげで高いスループットを維持している。
• 結果から、GPU アクセラレーションは、デジタルフォレンジックスにおけるデータカービングの計算負荷の高いフェーズを高速化するための実用的で非常に効果的なアプローチであると確認された。