可用性を考慮したプロセスの複製によるライブフォレンジック手法

• Item type: Journal(1)
• 公開日: 2019-02-15
• タイトル: 可用性を考慮したプロセスの複製によるライブフォレンジック手法
• タイトル / 言語: en
• タイトル: Live Forensic Method Using Process Duplication to Maintain High System Availability
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: [一般論文（推薦論文, 特選論文）] ライブフォレンジック，インメモリマルウェア，高可用性システム
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_6501
• 資源タイプ: journal article
• 著者所属: 岡山大学大学院自然科学研究科
• 著者所属: 岡山大学大学院自然科学研究科
• 著者所属: 岡山大学大学院自然科学研究科
• 著者所属(英): en
• 著者所属(英): Graduate School of Natural Science and Technology, Okayama University
• 著者所属(英): en
• 著者所属(英): Graduate School of Natural Science and Technology, Okayama University
• 著者所属(英): en
• 著者所属(英): Graduate School of Natural Science and Technology, Okayama University
• 著者名: 山内, 利宏; 時松, 勇介; 谷口, 秀夫
• 著者名(英): Toshihiro, Yamauchi; Yusuke, Tokimatsu; Hideo, Taniguchi
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 従来のハードディスクを調査対象とするデジタルフォレンジック手法は，ファイルシステムに痕跡を残さない攻撃に対処できない．また，ハードディスク上の証拠が改変されるのを防ぐためにシステムの電源断や処理の停止を必要とし，システムの可用性を低下させる．本論文では，可用性を考慮したプロセスの複製によるライブフォレンジック手法を提案する．提案手法は，プロセスを調査対象とし，対象プロセスの仮想記憶空間を複製して，低オーバヘッドでスナップショットを作成し，複製先のプロセスのメモリ上の証拠を収集する．このようにプロセスの複製処理において，プロセスのテキスト部などのメモリ間コピーを抑制することで，システムの可用性への影響を抑制しつつ，ファイルシステムに痕跡を残さない攻撃に対処できる．また，周期的に処理を実行するプロセスに提案手法を適用した場合の遅延時間を評価した結果，および提案手法の有効性について述べる．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Most conventional digital forensic methods are designed to target hard disk drives, making them ineffective at detecting in-memory malware. In addition, in order to prevent a target system from changing the evidence on hard disk drives, it is necessary to shut down the system or stop its processing, reducing system availability. In this paper, we propose a live forensic method using process duplication to maintain high system availability. The proposed method duplicates the virtual address space of a target process for investigation, and obtains the relevant evidence from the duplicate. By reducing the occurrence of memory copy in the duplication process, it is possible to detect in-memory malware while retaining system availability. We describe the effectiveness of the proposed method, and furthermore, evaluate and report on the delay time when this method is applied to a periodically executing process.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AN00116647
• 書誌情報: 情報処理学会論文誌; 巻 60, 号 2, p. 696-705, 発行日 2019-02-15
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 1882-7764