[论文解读] Identifying critical features for network forensics investigation perspectives

Richard A. Ikuesan, Shukor Abd Razak+1 more|arXiv (Cornell University)|Oct 5, 2012

Digital and Cyber Forensics参考文献 40被引用 7

一句话总结

本文通过结构化方法，从数字证据、事件响应和法律合规三个不同视角，识别了网络 forensics 调查中的关键特征。提出了一套全面的模型，包含针对各视角的特征与特性，提升了调查的全面性，并为从业者提供了系统化、以特征为导向的网络犯罪调查流程指导。

ABSTRACT

Research in the field of network forensics is gradually expanding with the propensity to fully accommodate the tenacity to help in adjudicating, curbing and apprehending the exponential growth of cyber crimes. However, investigating cyber crime differs, depending on the perspective of investigation. There is therefore the need for a comprehensive model, containing relevant critical features required for a thorough investigation for each perspective, which can be adopted by investigators. This paper therefore presents the findings on the critical features for each perspective, as well as their characteristics. The paper also presents a review of existing frameworks on network forensics. Furthermore, the paper discussed an illustrative methodological process for each perspective encompassing the relevant critical features. These illustrations present a procedure for the thorough investigation in network forensics.

研究动机与目标

• 解决现有系统性框架在将网络 forensics 与数字证据、事件响应和法律合规等不同调查视角对齐方面的不足。
• 从多个操作和法律视角，识别并描述有效且全面的网络 forensics 调查所必需的关键特征。
• 开发一种方法论流程，将这些关键特征整合到连贯的调查工作流中。
• 回顾现有网络 forensics 框架，并指出其在满足视角特定需求方面的局限性。
• 提供一种模型，支持调查人员根据调查的预期结果和背景选择合适的工具和程序。

提出的方法

• 对现有网络 forensics 框架进行对比分析，识别其在视角特定特征整合方面的差距。
• 定义三种主要调查视角：数字证据收集、事件响应和法律合规，每种视角具有独特的目标和约束。
• 识别并描述与各视角相关的特定关键特征，如数据完整性、及时性、真实性和可审计性。
• 为每种视角开发方法论流程，详细说明整合已识别关键特征的分步程序。
• 使用示例性案例研究，展示该模型在真实世界调查场景中的应用。
• 通过与网络安全和数字证据处理领域既定的法医学原则和标准的一致性，验证该模型的实用性。

实验结果

研究问题

• RQ1 从数字证据收集的视角来看，有效网络 forensics 调查所需的关键特征是什么？
• RQ2 在事件响应与法律合规视角之间，网络 forensics 中的关键特征有何不同？
• RQ3 何种方法论框架可将视角特定的关键特征整合到连贯的调查流程中？
• RQ4 现有网络 forensics 框架在多大程度上未能满足不同调查视角的独特需求？
• RQ5 具备视角特定特征的统一模型，在多大程度上能提升网络 forensics 调查的全面性和可靠性？

主要发现

• 本研究识别出针对数字证据、事件响应和法律合规视角的关键特征集合，如数据完整性、及时性和真实性，这些特征至关重要。
• 每种调查视角都需要特征的独特组合，表明“一刀切”的网络 forensics 方法是不充分的。
• 所提出的的方法论提供了一种结构化、以特征为导向的流程，提升了在不同操作环境下的调查全面性和一致性。
• 对现有框架的回顾揭示其在视角特定特征整合方面支持有限，凸显了当前网络 forensics 模型中的关键缺口。
• 示例性案例研究证明了该模型在指导调查人员应对复杂、多视角调查中的实际适用性。
• 该模型通过将法医学程序与各视角的具体目标和约束对齐，支持了更优的决策制定。