[论文解读] Tools And Techniques For Network Forensics

Natarajan Meghanathan, Sumanth Reddy Allam+1 more|arXiv (Cornell University)|Apr 5, 2010

Network Security and Intrusion Detection参考文献 10被引用 42

一句话总结

本文全面综述了网络取证领域中用于数据包捕获、IP追溯和基于蜜罐的入侵分析的工具与技术。评估了eMailTrackerPro、Web Historian和Ethereal等工具在证据收集中的应用，并探讨了数据包标记与蜜罐部署在追踪攻击源和理解攻击者行为方面的作用。

ABSTRACT

Network forensics deals with the capture, recording and analysis of network events in order to discover evidential information about the source of security attacks in a court of law. This paper discusses the different tools and techniques available to conduct network forensics. Some of the tools discussed include: eMailTrackerPro to identify the physical location of an email sender; Web Historian to find the duration of each visit and the files uploaded and downloaded from the visited website; packet sniffers like Etherea to capture and analyze the data exchanged among the different computers in the network. The second half of the paper presents a survey of different IP traceback techniques like packet marking that help a forensic investigator to identify the true sources of the attacking IP packets. We also discuss the use of Honeypots and Honeynets that gather intelligence about the enemy and the tools and tactics of network intruders.

研究动机与目标

• 识别并评估用于捕获和分析网络事件以支持网络犯罪调查中数字证据收集的工具与技术。
• 解决在分布式拒绝服务攻击等基于网络的攻击中，追踪恶意流量真实来源的挑战。
• 研究蜜罐与蜜网在收集攻击者战术、工具与行为情报方面的作用。
• 调查IP追溯方法（如数据包标记）在提升网络取证中源地址归属准确性方面的应用。
• 为取证调查人员提供实用指南，指导其在事后分析与证据验证中部署相关工具。

提出的方法

• 利用Ethereal等数据包嗅探工具捕获并分析网络流量，以获取取证证据。
• 应用eMailTrackerPro，基于元数据和路由信息确定电子邮件发送者的物理位置。
• 使用Web Historian记录网站访问时长、文件传输和用户活动，用于网络应用取证分析。
• 实施IP追溯技术，特别是数据包标记，以追踪网络中恶意数据包的来源。
• 部署蜜罐与蜜网，模拟易受攻击的系统，收集攻击者行为与工具的相关数据。
• 将多种取证工具整合到分层方法中，以增强网络事件中检测能力与源地址归属的可靠性。

实验结果

研究问题

• RQ1 哪些工具在捕获和分析网络流量以提取数字证据方面表现有效？
• RQ2 IP追溯技术（如数据包标记）如何提升识别攻击源的准确性？
• RQ3 蜜罐与蜜网在多大程度上能提供关于攻击者行为与工具的可操作情报？
• RQ4 eMailTrackerPro与Web Historian等工具如何支持涉及电子邮件与网络活动的取证调查？
• RQ5 现有网络取证工具在真实网络攻击场景中的优势与局限性是什么？

主要发现

• Ethereal等数据包嗅探工具可实现对网络流量的详细检查，使取证调查人员能够重建攻击流程并识别恶意载荷。
• eMailTrackerPro成功利用路由与报头信息将电子邮件发送者映射到地理坐标，有助于基于电子邮件的攻击溯源。
• Web Historian可准确记录用户会话时长与数据传输情况，支持对网络入侵事件的取证分析。
• IP追溯技术（如数据包标记）在传统日志记录不足的网络环境中，显著提升了源地址识别的准确性。
• 蜜罐与蜜网能有效捕获攻击者工具与战术的实时数据，为理解不断演变的网络威胁提供关键洞察。
• 将多种取证工具整合到协同框架中，可显著提升数字证据收集的可靠性与完整性。