LogExtractor: извлечение цифровых доказательств из сообщений журнала Android с помощью строкового анализа и анализа распространения меток

Мобильные устройства все чаще оказываются связанными с преступлениями. Поэтому цифровые доказательства на мобильных устройствах приобретают все большее значение при расследовании преступлений. В существующих исследованиях разработаны инструменты для выявления и/или извлечения цифровых доказательств из оперативной памяти или файловой системы мобильного устройства. Однако выявление и извлечение цифровых доказательств из системы журналирования мобильного устройства остаются практически неисследованными. В данной работе мы стремимся восполнить этот пробел. В частности, мы разработали, реализовали прототип и оценили LogExtractor — первый инструмент для автоматического выявления и извлечения цифровых доказательств из сообщений журнала на устройстве Android. Получив сообщение журнала, LogExtractor сначала определяет, содержит ли оно заданный тип доказательственных данных (например, координаты GPS), а затем извлекает значение этих данных, если они присутствуют в сообщении. В частности, LogExtractor использует автономно-операционный подход. На автономном этапе LogExtractor создает базу данных доказательств из журналов приложений (App Log Evidence Database, ALED) для большого числа приложений, объединяя строковый анализ и анализ распространения меток при исследовании их кода. Каждая запись ALED содержит: 1) строковый шаблон сообщения журнала, которое приложение может записать в систему журналирования; 2) типы доказательственных данных, включенных в сообщение журнала; 3) сегмент или сегменты строкового шаблона, содержащие значение определенного типа доказательственных данных; строковый шаблон представляется с помощью детерминированного конечного автомата. На операционном этапе, получив сообщение журнала с Android-устройства подозреваемого, LogExtractor сопоставляет его со строковыми шаблонами в ALED и при успешном сопоставлении извлекает из него доказательственные данные. Мы оценили LogExtractor на 65 тестовых приложениях из DroidBench и 12,1 тыс. приложений реального мира. Результаты показывают, что большое число приложений записывает в систему журналирования разнообразные данные и что LogExtractor способен точно извлекать эти данные.