[论文解读] Cloud Forensics: A Meta-Study of Challenges, Approaches, and Open Problems

Shams Zawoad, Ragib Hasan|arXiv (Cornell University)|Feb 26, 2013

Digital and Cyber Forensics参考文献 26被引用 106

一句话总结

本篇综述系统分析了云 forensics 的挑战，包括缺乏物理访问权限、多租户环境以及对云服务提供商的信任问题，并评估了 IaaS、PaaS 和 SaaS 模型下现有解决方案。研究识别出若干关键开放性问题，如对云服务提供商的依赖、证据保管链的维护、跨境司法管辖权问题以及取证工具的适配性，主张通过云服务提供商主导的 API 增强和政策协作，以实现可信的云 forensics。

ABSTRACT

In recent years, cloud computing has become popular as a cost-effective and efficient computing paradigm. Unfortunately, today's cloud computing architectures are not designed for security and forensics. To date, very little research has been done to develop the theory and practice of cloud forensics. Many factors complicate forensic investigations in a cloud environment. First, the storage system is no longer local. Therefore, even with a subpoena, law enforcement agents cannot confiscate the suspect's computer and get access to the suspect's files. Second, each cloud server contains files from many users. Hence, it is not feasible to seize servers from a data center without violating the privacy of many other users. Third, even if the data belonging to a particular suspect is identified, separating it from other users' data is difficult. Moreover, other than the cloud provider's word, there is usually no evidence that links a given data file to a particular suspect. For such challenges, clouds cannot be used to store healthcare, business, or national security related data, which require audit and regulatory compliance. In this paper, we systematically examine the cloud forensics problem and explore the challenges and issues in cloud forensics. We then discuss existing research projects and finally, we highlight the open problems and future directions in cloud forensics research area. We posit that our systematic approach towards understanding the nature and challenges of cloud forensics will allow us to examine possible secure solution approaches, leading to increased trust on and adoption of cloud computing, especially in business, healthcare, and national security. This in turn will lead to lower cost and long-term benefit to our society as a whole.

研究动机与目标

• 识别并系统化因缺乏物理访问权限和多租户特性而引起的云 forensics 核心技术与法律挑战。
• 评估 IaaS、PaaS 和 SaaS 服务模型下现有研究解决方案在数字证据获取与完整性方面的表现。
• 突出显示尚未解决的关键开放性问题，如对云服务提供商的信任、证据保管链、跨境数据问题以及取证工具的适配性。
• 倡导云服务提供商通过标准化 API 和管理平面参与，以增强取证能力。
• 通过明确可操作的开放性问题与政策需求，为未来研究提供指导，以实现安全、可审计的云计算。

提出的方法

• 对云 forensics 领域的研究开展系统性文献综述，重点关注挑战、所提解决方案及工具评估。
• 根据云服务模型（IaaS、PaaS、SaaS）和取证需求，对所提解决方案进行分类与分析。
• 利用准确率、误报率以及 CPU/内存使用率等性能指标，评估现有数字 forensics 工具在云环境中的表现。
• 提出需要构建云管理平面或取证即服务（FaaS）以减少对云服务提供商的依赖。
• 探讨安全数据溯源与密码学技术（例如数字签名）在维护证据完整性和证据保管链方面的作用。
• 识别出在犯罪现场重建、日志分析以及司法管辖权清晰度方面的缺口，呼吁建立标准化的日志记录与可视化框架。

实验结果

研究问题

• RQ1 哪些主要的技术与法律挑战阻碍了云环境中数字 forensics 的开展？
• RQ2 现有解决方案在 IaaS、PaaS 和 SaaS 模型下如何应对证据获取、完整性与证据保管链问题？
• RQ3 尽管已有解决方案提出，云 forensics 中仍存在哪些关键开放性问题尚未解决？
• RQ4 云服务提供商与政策制定者如何协作，以减少对云服务提供商的取证依赖并确保合规性？
• RQ5 安全日志记录、溯源追踪以及取证工具适配性在实现可信云 forensics 中发挥何种作用？

主要发现

• 云 forensics 尚处于起步阶段，大多数所提解决方案尚未在真实场景中测试，也未被云服务提供商采纳。
• 云环境中缺乏物理访问权限与多租户特性严重增加了证据获取的复杂性，并在调查过程中加剧了隐私风险。
• 当前的数字 forensics 工具大多与云工作负载不兼容，亟需为云原生环境开发或改造新型工具。
• 尽管已有安全数据溯源的提案，但目前尚无标准化方法用于在云 forensics 中维护证据保管链。
• 跨境数据司法管辖权问题仍是重大未解难题，缺乏明确的全球性框架或实施指南。
• 关键开放性问题包括大规模数据采集的带宽限制、应用层取证日志记录，以及云 forensics 领域实现全球法律统一的迫切需求。