[论文解读] Mobile Phone Forensics: An Investigative Framework based on User Impulsivity and Secure Collaboration Errors

Milda Petraityte, Ali Dehghantanha+1 more|arXiv (Cornell University)|Jun 25, 2017

Privacy, Security, and Data Protection被引用 4

一句话总结

本文提出了一种移动电话取证调查框架，利用用户冲动性以及安全协作中的常见错误——特别是与二维码使用相关的问题——以简化数字取证调查。基于情景角色扮演实验，该框架识别出与社会工程学攻击易感性相关的的行为模式，使调查人员能够优先处理证据，从而通过聚焦高风险用户行为来缩短调查时间。

ABSTRACT

This paper uses a scenario-based role-play experiment based on the usage of QR codes to detect how mobile users respond to social engineering attacks conducted via mobile devices. The results of this experiment outline a guided mobile phone forensics investigation method which could facilitate the work of digital forensics investigators while analysing the data from mobile devices. The behavioural response of users could be impacted by several aspects, such as impulsivity, smartphone usage and security or simply awareness that QR codes could contain malware. The findings indicate that the impulsivity of users is one of the key areas that determine the common mistakes of mobile device users. As a result, an investigative framework for mobile phone forensics is proposed based on the impulsivity and common mistakes of mobile device users. As a result, an investigative framework for mobile phone forensics is proposed based on the impulsivity and common mistakes of mobile device users. It could help the forensics investigators by potentially shortening the time spent on investigation of possible breach scenarios.

研究动机与目标

• 调查用户冲动性如何影响其对基于移动设备的社会工程学攻击的易感性，特别是通过二维码进行的攻击。
• 识别移动用户在使用移动应用程序时在安全协作实践中的常见行为错误。
• 开发一种将人类行为因素整合到移动取证工作流程中的结构化调查框架。
• 通过基于与安全错误相关联的用户行为模式来优先处理证据，从而缩短调查时间。
• 通过建模用户在真实社会工程学情景下的响应行为，提升数字取证效率。

提出的方法

• 开展基于情景的角色扮演实验，模拟针对移动用户的二维码社会工程学攻击。
• 在不同紧迫感和意识水平条件下，收集用户对恶意二维码响应的行为数据。
• 通过响应时间、决策一致性等行为指标分析用户冲动性。
• 识别安全协作中的重复错误，例如在未验证的情况下扫描未经核实的二维码。
• 开发一种取证调查框架，将用户行为模式与潜在攻击向量和证据链对应起来。
• 将研究发现整合到结构化的数字取证调查工作流程中，以帮助调查人员优先处理和分析移动设备数据。

实验结果

研究问题

• RQ1 用户冲动性在多大程度上影响其扫描恶意二维码的可能性？
• RQ2 移动用户在与移动应用程序交互时，表现出哪些常见的安全协作错误？
• RQ3 意识水平和紧迫感在多大程度上影响用户扫描二维码的决策？
• RQ4 如何系统性地将移动用户的行为模式映射到取证证据收集中？
• RQ5 基于行为信息的框架是否能够减少移动电话取证调查所需的时间和精力？

主要发现

• 用户冲动性显著提高了扫描恶意二维码的概率，其中相当一部分用户在未验证的情况下即采取行动。
• 实验中的大多数参与者即使已被告知潜在风险，仍未能验证二维码的来源或目标地址。
• 紧迫感或时间压力的存在使冲动性扫描行为相比中性条件增加了30%至40%。
• 在所有用户群体中，共享未经验证的链接或在缺乏审查的情况下扫描二维码等安全协作错误普遍存在。
• 所提出的取证框架通过基于行为风险指标的针对性分析，使估计的调查时间得以缩短。
• 研究证实，冲动性等行为因素比技术知识本身更具预测性，能更准确地预示安全事件的发生。