Janez Eržen, Uroš Bajc - SCARF: Skaliranje digitalnega forenzičnega procesiranja z uporabo vsebniških tehnologij v oblaku 28. maj 2018
Uvod Hitro naraščajoče zmogljivosti računalniških virov Prilagoditev forenzične programske opreme razvoju Večje količine podatkov Večja zahtevnost preiskovanja podatkov Kadrovsko se laboratoriji ne širijo (dovolj) Sklabilnost in fleksibinost Princip vsebnikov Primer FBI -> Grafikon analize trajanja forenzičnih preiskav v RCLF - FBI
Računalniška podpora preiskovanju Zagotavljanje dobre strojne opreme npr. SSD namesto HDD omrežna vodila/stikala (Infiniband) CPU ? Poskusi integracije obstoječih orodij (TSK -SleuthKit) Ogrodje SCARF (referenčni članek) Podobne rešitve slaba podpora skaliranja ni možno izvesti časovne analize usmerjenost v ožje (ali drugo) področje
Vsebniki Zametki omejevanje pravic do datotek (Unix BSD) VServer (hosting) Linux control groups: 2.6.24 user namespaces: 2.8 Rešitve: LXC, Docker, Kubernetes, RKT, LXD Združenje Open container inovative
Docker Orodje za orkestracijo vsebnikov Vsebniki si delijo isti OS (podobno kot VMs) Dodeljevanje računalniških virov Vsebnik je samostojna enota
Docker SWARM Vozlišča, stroki, storitve API in CLI Upravljalska vozlišča (manager nodes) -> upravljanje instanc Delovna vozlišča (worker nodes) -> izvajanje nalog (tasks) Shema delovanja platforme Docker SWARM
SCARF SCAlable Realtime Forensics (skalabilna forenzika v realnem času) Namen: hitrejša obdelava forenzičnih podatkov enostavno dodajanje razširitev Pakiranje obstoječih forenzičnih orodij v avtonomne slike Opravila: instance slik osnovne enote dela
SCARF - arhitektura Posrednik podatkov Upravitelj opravil Odjemalci podatkov Delavci Repozitorij rezultatov Shema delovanja platforme SCARF
Analiza učinkovitosti delovanja Testiranje: ekstrahiranja podatkov klasifikacije slik indeksiranja pogostih tipov datotek masovne ekstrakcije podatkov Graf z rezultati testiranja učinkovitosti
Zaključek Raziskana uporaba vmesnikov za namene povečanja učinkovitosti orodij za digitalno forenziko Platforma omogoča obdelavo večje količine forenzičnih podatkov Enostavna razširljivost Nadgradnja: namestitev vsebnikov v javne oblake