[论文解读] Using parallel processing for file carving

Nebojsa Skrbina, Toni Stojanovski|arXiv (Cornell University)|May 1, 2012

Algorithms and Data Compression参考文献 17被引用 5

一句话总结

本文提出一种基于图形处理器（GPU）的并行处理方法，以加速数字取证中的文件 carving，与传统的基于 CPU 的方法相比，显著减少了计算时间。通过利用 GPU 架构进行高吞吐量数据分析，作者展示了在识别和恢复数字证据中的文件碎片方面性能的显著提升。

ABSTRACT

File carving is one of the most important procedures in Digital Forensic Investigation (DFI). But it is also requires the most computational resources. Parallel processing on Graphics Processing Units have proven to be many times faster than when executed on standard CPU. This paper is inspecting the algorithms and methods to use parallel processing for development of file carving tools that will do their job much faster than the conventional DFI tools.

研究动机与目标

• 解决数字取证调查中文件 carving 的高计算成本问题。
• 探索使用基于 GPU 的并行处理来提升文件 carving 性能的可行性。
• 开发一种性能优于传统基于 CPU 的数字取证工具的文件 carving 工具。
• 评估 GPU 加速文件 carving 在真实世界数字证据上的可扩展性和效率。

提出的方法

• 利用 GPU 架构并行处理大量数字数据，利用文件 carving 中的数据级并行性。
• 设计自定义内核，通过大规模并行线程执行扫描磁盘镜像中的文件签名模式。
• 实现一种内存高效的内存数据结构，以在 GPU 线程间管理文件头和文件尾检测。
• 优化内存访问模式，以减少 GPU 硬件上的延迟并最大化吞吐量。
• 将 GPU 加速模块集成到模块化文件 carving 框架中，以实现与现有取证工作流的兼容性。
• 使用真实的取证磁盘镜像，将性能与标准 CPU 基础的文件 carving 工具进行基准测试。

实验结果

研究问题

• RQ1 基于 GPU 的并行处理能否显著减少数字取证中文件 carving 所需的时间？
• RQ2 GPU 加速的文件 carving 工具性能与传统的 CPU 基础工具相比如何？
• RQ3 将文件 carving 算法移植到 GPU 架构时，面临的关键实现挑战是什么？
• RQ4 随着 GPU 计算资源的增加，文件 carving 吞吐量能实现多大程度的扩展？

主要发现

• GPU 加速的文件 carving 工具相比 CPU 对应工具实现了数倍的性能提升。
• 并行处理模型有效利用了 GPU 的大规模多线程能力，实现了更高的磁盘镜像扫描吞吐量。
• 该实现展示了在数据规模和 GPU 计算能力增加时的可扩展性。
• 内存合并和高效的内核设计是实现在 GPU 硬件上高性能的关键。