[论文解读] Using Graphics Processors for Parallelizing Hash-based Data Carving
本文提出通过利用图形处理器（GPU）并行化比对磁盘扇区模式与已知图像文件签名，以加速基于哈希的数字取证数据提取。通过采用GPU加速的模式匹配方法，该方法在检测潜在图像文件片段方面显著快于传统的基于CPU的软件实现，在数字取证数据重建工作流中展现出显著的性能提升。
The ability to detect fragments of deleted image files and to reconstruct these image files from all available fragments on disk is a key activity in the field of digital forensics. Although reconstruction of image files from the file fragments on disk can be accomplished by simply comparing the content of sectors on disk with the content of known files, this brute-force approach can be time consuming. This paper presents results from research into the use of Graphics Processing Units (GPUs) in detecting specific image file byte patterns in disk clusters. Unique identifying pattern for each disk sector is compared against patterns in known images. A pattern match indicates the potential presence of an image and flags the disk sector for further in-depth examination to confirm the match. The GPU-based implementation outperforms the software implementation by a significant margin.
研究动机与目标
- 解决传统基于软件的哈希数据提取在数字取证中面临的性能瓶颈问题。
- 探索使用图形处理器（GPU）并行化比对磁盘扇区内容与已知图像文件模式的可行性及其性能优势。
- 通过利用GPU的海量并行处理能力，提高在大容量磁盘存储中识别潜在图像文件片段的效率。
- 通过加速计算密集型的模式匹配阶段，减少取证分析所需时间。
提出的方法
- 该方法采用基于GPU的实现，将每个磁盘扇区的唯一标识模式与已知图像文件的哈希模式进行比对。
- 每个GPU线程被分配用于评估一个磁盘扇区，检查其是否与已知图像的哈希签名匹配。
- 该方法采用基于哈希的比对机制，使每个磁盘簇在数千个GPU核心上并行处理。
- 系统将具有潜在匹配结果的扇区标记出来，以供进一步深入分析，确认文件重建。
- 实现针对GPU内存访问模式进行了优化，以最小化延迟并最大化吞吐量。
- 该方法使用真实世界中的已知图像文件数据集和取证磁盘镜像进行评估。
实验结果
研究问题
- RQ1GPU加速是否能显著减少基于哈希的数据提取在数字取证中所需的时间？
- RQ2与传统的基于CPU的软件实现相比，GPU加速的数据提取实现性能如何？
- RQ3在处理包含大量文件片段的大型磁盘镜像时，基于GPU的方法可扩展性如何？
- RQ4GPU的海量并行处理能力在文件恢复的模式匹配场景中能多大程度上被有效利用？
- RQ5将数据提取工作负载映射到GPU架构时，存在哪些实际限制或性能瓶颈？
主要发现
- 基于GPU的实现相比软件实现有显著优势，显著加快了磁盘扇区的处理速度。
- GPU并行处理使系统能够同时评估数千个磁盘扇区，从而大幅减少整体分析时间。
- 性能提升主要归因于在将多个磁盘扇区与已知图像哈希进行比对时，固有的细粒度数据并行性。
- 该方法在大型磁盘镜像上表现出良好的可扩展性，得益于高效的GPU内存访问和内核执行，保持了高吞吐量。
- 结果证实，GPU加速是加速数字取证中计算密集型数据提取阶段的可行且高效的方法。
更好的研究，从现在开始
从阅读论文到最终审阅，大幅缩短您的研究时间。
无需绑定信用卡
本解读由 AI 生成，并经人工编辑审核。