[论文解读] Current Challenges and Future Research Areas for Digital Forensic Investigation

David Lillis, Brett A. Becker+2 more|arXiv (Cornell University)|Jan 1, 2016

Digital and Cyber Forensics参考文献 30被引用 63

一句话总结

本文识别了数字取证中的关键挑战，如数据量庞大、设备异构性以及证据积压问题，并提出了未来研究方向，包括取证即服务（FaaS）、硬件加速处理（FPGAs、GPUs）、自动化数据去重以及先进的信息检索技术，以提升分析速度与效率。其核心贡献是提出了一项路线图，整合高性能计算与人工智能驱动的方法，以减少人工工作量并加快调查进程。

ABSTRACT

Given the ever-increasing prevalence of technology in modern life, there is a corresponding increase in the likelihood of digital devices being pertinent to a criminal investigation or civil litigation. As a direct consequence, the number of investigations requiring digital forensic expertise is resulting in huge digital evidence backlogs being encountered by law enforcement agencies throughout the world. It can be anticipated that the number of cases requiring digital forensic analysis will greatly increase in the future. It is also likely that each case will require the analysis of an increasing number of devices including computers, smartphones, tablets, cloud-based services, Internet of Things devices, wearables, etc. The variety of new digital evidence sources pose new and challenging problems for the digital investigator from an identification, acquisition, storage and analysis perspective. This paper explores the current challenges contributing to the backlog in digital forensics from a technical standpoint and outlines a number of future research topics that could greatly contribute to a more efficient digital forensic process.

研究动机与目标

• 分析当前数字取证中的技术挑战，这些挑战导致了证据积压。
• 识别在处理日益增长的数据量、设备多样性以及云/IoT证据方面存在的关键研究空白。
• 提出可提升自动化、可扩展性与效率的未来研究方向，以改进数字取证调查。
• 通过整合先进计算与数据处理技术，减少对人工分析的依赖。
• 通过标准化、可扩展且智能化的取证系统，提升数字证据处理的及时性与准确性。

提出的方法

• 提出取证即服务（FaaS），通过云基础设施实现可扩展、按需的数字取证处理。
• 倡导使用FPGA和GPU进行硬件加速，以加快数据采集、分析与索引速度。
• 引入数据去重技术，消除跨案件中相同或相似证据的重复处理。
• 应用可配置召回率/精确率权衡的信息检索（IR）方法，在初步筛查阶段优先识别相关证据。
• 从非结构化文本中提取时间信息，以自动化方式重建多设备间的时间线。
• 集成并行与分布式计算模型，以应对高容量、异构的数字取证数据源。

实验结果

研究问题

• RQ1 取证即服务（FaaS）如何提升数字取证调查的可扩展性并减少处理延迟？
• RQ2 FPGA与GPU加速在缩短数据采集与分析时间方面发挥何种作用？
• RQ3 数据去重技术如何最小化对相同或相似数字证据的重复分析？
• RQ4 可配置的信息检索（IR）系统在实现召回率与精确率平衡的前提下，能在多大程度上提升证据初步筛查效率？
• RQ5 如何通过异构数据源的自动化时间线重建，提升调查中的关联性与一致性？

主要发现

• 从2003年到2011年，FBI的数字证据量增长了6.65倍，人均案件数据从84GB增至559GB，凸显了积压问题的严重规模。
• 云设备与物联网（IoT）设备显著增加了数据异构性与复杂性，使采集与分析更加困难。
• FPGA与GPU为I/O密集型与计算密集型的取证任务提供了高速处理能力，尤其在SSD降低I/O瓶颈后更为显著。
• 信息检索技术可通过优先筛选相关证据来加速初步筛查，但召回率与精确率之间的权衡需谨慎配置。
• 数据去重可减少重复处理与存储，尤其适用于系统文件与常见元数据。
• 通过从非结构化文本中提取时间信息实现自动化时间线重建，可显著减少跨设备事件关联的耗时工作。