[论文解读] Volatile memory forensics for the Robot Operating System

Víctor Mayoral Vilches, Laura Alzola Kirschgens+3 more|arXiv (Cornell University)|Dec 22, 2018

Digital and Cyber Forensics参考文献 7被引用 6

一句话总结

本文提出了首个针对ROS的易失性内存 forensics 框架，通过使用Volatility插件linux_rosnode，实现了对基于Linux的机器人RAM转储中恶意节点注销攻击的检测。主要贡献是可复现的 forensics 工作流程以及开源工具（ros_volatility），使事件响应人员能够从机器人实时内存中提取可操作的证据，展示了通过外部节点注销检测拒绝服务攻击的能力。

ABSTRACT

The increasing impact of robotics on industry and on society will unavoidably lead to the involvement of robots in incidents and mishaps. In such cases, forensic analyses are key techniques to provide useful evidence on what happened, and try to prevent future incidents. This article discusses volatile memory forensics for the Robot Operating System (ROS). The authors start by providing a general overview of forensic techniques in robotics and then present a robotics-specific Volatility plugin named linux_rosnode, packaged within the ros_volatility project and aimed to extract evidence from robot's volatile memory. They demonstrate how this plugin can be used to detect a specific attack pattern on ROS, where a publisher node is unregistered externally, leading to denial of service and disruption of robotic behaviors. Step-by-step, common practices are introduced for performing forensic analysis and several techniques to capture memory are described. The authors finalize by introducing some future remarks while providing references to reproduce their work.

研究动机与目标

• 为解决机器人领域，特别是ROS系统中系统性易失性内存 forensics 的缺乏问题。
• 实现对机器人内存的数字 forensics 分析，以在事件发生后检测并重建恶意活动。
• 为基于Linux的机器人平台开发一种实用且可复现的RAM采集与分析 forensics 工作流程。
• 为Volatility框架开发一个针对ROS的定制插件，实现从内存转储中自动提取运行时证据。
• 为未来机器人 forensics 与事件响应（RFIR）能力奠定基础。

提出的方法

• 作者开发了一个名为linux_rosnode的Volatility插件，并集成到ros_volatility项目中，用于从易失性内存转储中解析和提取ROS特定的数据结构。
• 他们使用基于Linux内核模块（LKM）的工具（Lime）从运行Linux的ROS机器人中获取物理内存转储。
• 该方法包括在模拟攻击期间捕获系统命令日志和内存转储，该攻击涉及外部注销ROS发布者节点。
• 插件通过分析RAM中的内核数据结构（如链表和哈希表）来重建活动的ROS节点及其状态。
• 演示了包括内存采集、插件执行以及与系统日志的证据关联在内的逐步forensics工作流程。
• 该方法在受控环境中通过一台ROS机器人得到验证，其中诱导了拒绝服务攻击，并随后通过内存forensics成功检测到该攻击。

实验结果

研究问题

• RQ1 易失性内存 forensics 能否有效应用于检测基于ROS的机器人系统中的恶意行为？
• RQ2 如何使用现有的数字 forensics 框架（如Volatility）从RAM中提取并分析ROS特定的数据结构？
• RQ3 在节点注销攻击后，可以从机器人的物理内存中恢复哪些 forensics 证据？
• RQ4 定制的Volatility插件在多大程度上能够检测ROS运行时环境中的已知攻击模式？
• RQ5 研究结果在多大程度上可推广以支持更广泛的机器人 forensics 与事件响应（RFIR）能力？

主要发现

• linux_rosnode插件成功从易失性内存转储中提取了活动ROS节点及其注册状态，实现了对恶意节点注销攻击的检测。
• forensics 工作流程表明，即使日志损坏或缺失，RAM forensics 也能识别出如意外节点注销等攻击指标。
• 通过Lime进行的内存采集有效捕获了系统实时状态，保留了关键的运行时数据，如节点发布者和订阅者。
• 该研究证实，易失性内存是机器人 forensics 中的关键证据来源，尤其是在非易失性存储丢失或受损的情况下。
• 该插件目前受限于Volatility框架的限制，仅支持低于3.6版本的Linux内核，凸显了未来增强的必要性。
• ros_volatility的开源发布使社区能够扩展功能，并支持未来检测ROS系统中更多类型的攻击模式。