[论文解读] Digital Forensic Investigation of Cloud Storage Services

Hyunji Chung, Jungheum Park+2 more|arXiv (Cornell University)|Aug 22, 2017

Digital and Cyber Forensics参考文献 1被引用 4

一句话总结

本文提出了一套全面的云存储服务数字取证调查框架，涵盖Windows、Mac、iPhone和Android设备上的各类证据。该框架描述了一套多平台程序，用于收集、分析和关联客户端证据与云服务日志，从而提升云环境中的事件响应和数字取证调查能力。

ABSTRACT

The demand for cloud computing is increasing because of the popularity of digital devices and the wide use of the Internet. Among cloud computing services, most consumers use cloud storage services that provide mass storage. This is because these services give them various additional functions as well as storage. It is easy to access cloud storage services using smartphones. With increasing utilization, it is possible for malicious users to abuse cloud storage services. Therefore, a study on digital forensic investigation of cloud storage services is necessary. This paper proposes new procedure for investigating and analyzing the artifacts of all accessible devices, such as Windows, Mac, iPhone, and Android smartphone.

研究动机与目标

• 应对由于云存储环境中的滥用行为和数据泄露事件日益增多而带来的数字取证挑战。
• 识别并分析用于访问云存储服务的各类设备（Windows、Mac、iPhone、Android）上的客户端证据。
• 为针对云存储平台的数字取证调查开发标准化、可重复的程序。
• 通过整合本地设备和云服务日志中的证据，提升事件响应和取证分析的有效性。
• 支持执法机构和数字调查人员追踪云存储生态系统中的恶意活动。

提出的方法

• 提出一种专为云存储服务设计的多阶段取证调查程序。
• 从Windows、Mac、iPhone和Android设备中收集并分析客户端证据，如缓存文件、配置文件和同步日志。
• 将本地设备证据与云服务日志进行关联，以重建用户活动并检测异常行为。
• 利用逆向工程以及静态/动态分析技术，从云存储应用程序中提取与取证相关的数据。
• 标准化证据收集工作流程，确保取证严谨且与平台无关。
• 将设备级别证据与云服务元数据相结合，建立完整的数字时间线。

实验结果

研究问题

• RQ1 在云存储取证调查中，如何系统性地收集和分析来自不同客户端设备（Windows、Mac、iOS、Android）的取证证据？
• RQ2 在客户端设备上存在哪些关键数字证据，可揭示用户在云存储服务中的活动？
• RQ3 如何将客户端证据与云服务日志进行关联，以重建完整的事件时间线？
• RQ4 在调查云存储服务时，维护证据链完整性和取证严谨性面临哪些挑战？
• RQ5 标准化的取证程序在不同云存储平台和设备类型之间可复用的程度如何？

主要发现

• 所提出的框架成功识别并收集了用于访问云存储服务的所有主流操作系统和设备上的取证证据。
• 客户端证据如缓存文件、配置文件和同步日志包含重建用户活动的关键证据。
• 本地设备证据与云服务日志之间的关联，可实现对用户交互活动的详细数字时间线重建。
• 通过整合多源证据，该方法显著提升了云环境中数字取证调查的可靠性与完整性。
• 该程序可适配多种云存储平台，并支持异构设备生态系统中的取证严谨性。