[論文レビュー] Volatile memory forensics for the Robot Operating System

Víctor Mayoral Vilches, Laura Alzola Kirschgens+3 more|arXiv (Cornell University)|Dec 22, 2018

Digital and Cyber Forensics参考文献 7被引用数 6

ひとこと要約

本論文は、Volatilityプラグイン linux_rosnode を使用して、LinuxベースのロボットからのRAMダンプを分析することで、悪意あるノードの登録解除攻撃を検出可能な、ROSに特化した揮発性メモリフォレンジックフレームワークを初めて導入した。主な貢献は、再現可能なフォレンジックワークフローとオープンソースのツールキット（ros_volatility）を提供することであり、これによりインcidetレスポンダーはライブロボットのメモリから実行可能な証拠を抽出でき、外部ノードの登録解除によるサービス拒否攻撃を検出することを実証した。

ABSTRACT

The increasing impact of robotics on industry and on society will unavoidably lead to the involvement of robots in incidents and mishaps. In such cases, forensic analyses are key techniques to provide useful evidence on what happened, and try to prevent future incidents. This article discusses volatile memory forensics for the Robot Operating System (ROS). The authors start by providing a general overview of forensic techniques in robotics and then present a robotics-specific Volatility plugin named linux_rosnode, packaged within the ros_volatility project and aimed to extract evidence from robot's volatile memory. They demonstrate how this plugin can be used to detect a specific attack pattern on ROS, where a publisher node is unregistered externally, leading to denial of service and disruption of robotic behaviors. Step-by-step, common practices are introduced for performing forensic analysis and several techniques to capture memory are described. The authors finalize by introducing some future remarks while providing references to reproduce their work.

研究の動機と目的

• ロボティクス分野、特にROSベースのシステムにおいて、体系的な揮発性メモリフォレンジックスの欠如に対処すること。
• インcidet発生後における悪意ある行動の検出および再構築を可能にする、ロボットメモリのデジタルフォレンジック分析を可能にすること。
• LinuxベースのロボティクスプラットフォームにおけるRAM取得および分析のための、実用的で再現可能なフォレンジックワークフローを構築すること。
• Volatilityフレームワークに特化したROS用プラグインを開発し、メモリダンプからのランタイム証拠の自動抽出を可能にすること。
• 将来的なロボットフォレンジックスおよびインcidetレスポンス（RFIR）能力の基盤を築くこと。

提案手法

• 著者は、Volatilityフレームワークに統合された、ros_volatilityプロジェクトに属する「linux_rosnode」という名前のVolatilityプラグインを開発し、揮発性メモリダンプからROS固有のデータ構造を解析および抽出した。
• Linuxカーネルモジュールベースのツール（Lime）を用いて、Linuxを搭載したROSロボットの物理的メモリダンプを取得した。
• 外部ノードの登録解除を含むシミュレート攻撃中に、システムコマンドログとメモリダンプを収集する方法を採用した。
• RAM内のリンクリストやハッシュテーブルなどのカーネルデータ構造を分析することで、アクティブなROSノードおよびその状態を再構築した。
• メモリ取得、プラグイン実行、システムログとの証拠相関を含む、段階的なフォレンジックワークフローを実証した。
• 制御環境下でROSロボットを用いた実験により、攻撃を誘発し、その後メモリフォレンジックスによって攻撃を検出できたことを検証した。

実験結果

リサーチクエスチョン

• RQ1 ROSベースのロボットシステムにおける悪意ある行動を検出するために、揮発性メモリフォレンジックスを効果的に適用できるか？
• RQ2 既存のデジタルフォレンジックスフレームワーク（例：Volatility）を用いて、RAM内のROS固有のデータ構造をどのように抽出・分析できるか？
• RQ3 ノードの登録解除攻撃後に、ロボットの物理的メモリから回復可能なフォレンジック証拠は何か？
• RQ4 カスタムVolatilityプラグインは、ROSランタイム環境における既知の攻撃パターンをどの程度検出できるか？
• RQ5 本研究の知見は、より広範なロボットフォレンジックスおよびインcidetレスポンス（RFIR）能力の支援にどの程度一般化できるか？

主な発見

• linux_rosnodeプラグインは、揮発性メモリダンプからアクティブなROSノードおよびその登録状態を正常に抽出でき、悪意あるノード登録解除攻撃の検出に成功した。
• フォレンジックワークフローの実証により、ログが破損または欠落している場合でも、RAMフォレンジックスが不審なノードの登録解除を検出可能であることが示された。
• Limeによるメモリ取得は、ライブシステムの状態を効果的にキャプチャし、ノードのパブリッシャーやサブスクライバーを含む重要なランタイムデータを保持した。
• 本研究では、揮発性メモリが、非揮発性ストレージが失われたり改ざんされたりした場合に特に重要である証拠源であることが確認された。
• 現在のところ、プラグインはVolatilityフレームワークの制限により、Linuxカーネルバージョン3.6未満に限定されているため、今後の拡張が求められる。
• ros_volatilityのオープンソースリリースにより、コミュニティによる拡張が可能となり、ROSシステムにおける追加の攻撃パターンの検出を支援する基盤が整った。