[论文解读] Network Traffic Forensics on Firefox Mobile OS: Facebook, Twitter and Telegram as Case Studies

Mohd Najwadi Yusoff, Ali Dehghantanha+1 more|arXiv (Cornell University)|Jun 25, 2017

Advanced Malware Detection Techniques参考文献 10被引用 4

一句话总结

本研究通过使用Firefox OS模拟器和网络监控工具，首次对Firefox OS的网络流量取证进行了全面分析，捕获并检查了Facebook、Twitter和Telegram的残留网络痕迹。其主要贡献在于识别出具有取证价值的网络流量残余，为未来在以网页为中心的移动操作系统背景下开展移动操作系统数字取证研究奠定了基础。

ABSTRACT

Development of mobile web-centric OS such as Firefox OS has created new challenges, and opportunities for digital investigators. Network traffic forensic plays an important role in cybercrime investigation to detect subject(s) and object(s) of the crime. In this chapter, we detect and analyze residual network traffic artefacts of Firefox OS in relation to two popular social networking applications (Facebook and Twitter) and one instant messaging application (Telegram). We utilized a Firefox OS simulator to generate relevant traffic while all communication data were captured using network monitoring tools. Captured network packets were examined and remnants with forensic value were reported. This paper as the first focused study on mobile Firefox OS network traffic analysis should pave the way for the future research in this direction.

研究动机与目标

• 调查在Firefox OS上使用社交媒体和即时通讯应用时产生的残留网络流量痕迹。
• 评估从Firefox OS捕获的网络数据包在网络犯罪调查中的取证价值。
• 为未来移动操作系统网络取证研究建立基线，尤其针对Firefox OS等以网页为中心的系统。
• 证明从较少研究的移动操作系统平台的网络流量中提取数字证据的可行性。

提出的方法

• 利用Firefox OS模拟器生成网络流量，同时使用网络监控工具捕获所有通信数据。
• 在Firefox OS环境中与Facebook、Twitter和Telegram交互期间捕获网络数据包。
• 对捕获的数据包进行深入分析，以识别并提取具有取证意义的残留数据。
• 重点识别如未加密元数据、会话令牌和通信模式等网络痕迹。
• 采用标准的数据包分析技术，检查流量结构并检测取证痕迹。
• 在数字取证背景下报告研究发现，强调从网络流量中可恢复的证据。

实验结果

研究问题

• RQ1 在使用Facebook、Twitter和Telegram时，可以从Firefox OS中恢复哪些类型的残留网络流量痕迹？
• RQ2 Firefox OS上的网络流量在多大程度上能揭示用户活动和通信模式？
• RQ3 从Firefox OS捕获的网络数据包对数字调查具有何种取证价值？
• RQ4 在Firefox OS上，Facebook、Twitter和Telegram的网络行为在可追踪性方面有何差异？

主要发现

• 成功从Firefox OS的Facebook、Twitter和Telegram流量中提取出包括未加密元数据和会话相关数据在内的残留网络流量痕迹。
• 研究识别出多种取证痕迹，如HTTP头部、请求模式和连接序列，有助于用户识别和活动重建。
• 网络监控显示，即使在注重隐私的Firefox OS上，网络通信中仍存在显著的取证痕迹。
• 研究结果表明，尽管Firefox OS强调隐私和安全，网络流量取证仍是数字调查在Firefox OS上可行的方法。
• 本研究为未来分析以网页为中心的移动操作系统上的网络痕迹建立了基础数据集和方法论。