CN106817373A - 一种面向私有云平台的取证方法 - Google Patents

一种面向私有云平台的取证方法 Download PDF

Info

Publication number
CN106817373A
CN106817373A CN201710054154.2A CN201710054154A CN106817373A CN 106817373 A CN106817373 A CN 106817373A CN 201710054154 A CN201710054154 A CN 201710054154A CN 106817373 A CN106817373 A CN 106817373A
Authority
CN
China
Prior art keywords
nova
logs
cloud platform
extension module
extension
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201710054154.2A
Other languages
English (en)
Inventor
杜江
牟洋
常亚翠
王鹏
颜骏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Chongqing University of Post and Telecommunications
Original Assignee
Chongqing University of Post and Telecommunications
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Chongqing University of Post and Telecommunications filed Critical Chongqing University of Post and Telecommunications
Priority to CN201710054154.2A priority Critical patent/CN106817373A/zh
Publication of CN106817373A publication Critical patent/CN106817373A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3006—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is distributed, e.g. networked systems, clusters, multiprocessor systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3051—Monitoring arrangements for monitoring the configuration of the computing system or of the computing system component, e.g. monitoring the presence of processing resources, peripherals, I/O links, software programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3065—Monitoring arrangements determined by the means or processing involved in reporting the monitored data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Mathematical Physics (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

本发明涉及一种面向私有云平台的取证方法，属于云计算和计算机取证领域。该方案通过提取防火墙日志和镜像日志实现云平台取证，包括Nova拓展模块和Horizon拓展模块，所述的Nova拓展模块通过Nova的扩展接口记录取证日志文件；所述Horizon拓展模块用于实现web页面上下载取证日志文件。本发明的优势在于：可以通过云管理平台而不是通过客户机去交互，并且加入了容器技术，更能在隔离的环境分主机去定位各主机日志数据，解决了多租户数据混杂的问题。

Description

一种面向私有云平台的取证方法
技术领域
本发明属于云计算和计算机取证领域，涉及一种面向私有云平台的取证方法。
背景技术
云计算的安全性越来越受到人们的关注，如果安全问题解决的不好，会成为制约其发展的关键。云计算拥有虚拟化、分布式处理、分布式存储等技术，这使得传统的数据安全的方法很难在云计算体系下有效果，它也具有多租户，数据异地匿名机制等特点，这给不法分子提供了很多犯罪的机会。云取证作为一个新兴的技术正在不断发展，它是云计算和计算机取证的交叉学科。云计算本身的特性使得传统的计算机取证框架取证工具不再适用，同时云取证过程比传统数字取证涉及的调查对象更多，不仅包括云用户，也包括云服务提供商等，交互也越来越复杂。
与传统的数字取证技术相比，云取证技术也面临各种的挑战。第一，云取证工具现在不太成熟，云取证的取证人员只能凭借以往的经验和传统取证技术，很可能破坏原始数据导致取证失败。第二，云服务模型不用会增加取证的难度，私有云和公有云架构的不同也会导致取证的难度不同。
目前云取证的理论研究情况，主要是证据获取和证据分析两方面。
证据获取阶段是指取证调查者借助取证工具对犯罪现场行证据收集的过程目前该领域的工作主要包括残余数据证据获取阶段是指取证调查者借助取证工具对犯罪现场行证据收集的过程。证据分析阶段是指取证调查者借助分析工具、分析算法对获取的证据进行分析的过程，该领域的研究工作主要集中在数据源的分析、事件重构、文件搜索和基于云的取证分析算法方面。
发明内容
有鉴于此，本发明的目的在于提供一种获取云平台日志的新方法，其应用于OpenStasck环境中，在该方法设计的目的是为了通过Nova的扩展接口，将我们取证日志文件比如防火墙等敏感日志给记录下来。
为达到上述目的，本发明提供如下技术方案：
一种面向私有云平台的取证方法，通过提取防火墙日志和镜像日志实现云平台取证，包括Nova拓展模块和Horizon拓展模块，所述的Nova拓展模块通过Nova的扩展接口记录取证日志文件；所述Horizon拓展模块用于实现web页面上下载取证日志文件。
进一步的，所述Nova拓展模块的实现环境是devstack，Nova拓展方法是通过创建一个新的extension子类派生于“nova.api.openstack.extensions:ExtensionDescriptor”，并覆写父类中的方法“get_resources()”，在方法“get_resources()”中，通过返回ResourceExtensions列表来注册新的资源类型或URL路径或Controller；默认情况下OpenStack默认不启动防火墙日志，通过扩展接口将防火墙所丢弃的数据包都放在一个特定的目录备份下来，再通过数据筛选的规则提取需要的日志，磁盘镜像日志存储在主机的系统中操作系统。
进一步的，所述特定的目录为“/opt/stack/logs”目录，每个服务有自己的日志文件，并从命名上区分；日志文件的命名规则为：Nova api的各个子服务的日志都以“n”开头；Glance的日志文件都是“g”开头；Cinder、Neutron的日志分别以“c”和“q”开头。
进一步的，所述Horizon拓展模块是基于Django框架，通过定制Dashboard来修改底层的源码，Dashboard里扩展添加一个panel，panel可以自己设计命名规则，在pannel定义好table表项，实现拓Horizon拓展，满足功能模块的web页面展示，并在web页面上下载防火墙日志和磁盘镜像日志。
本发明的有益效果在于：可以通过云管理平台而不是通过客户机去交互，并且加入了容器技术，更能在隔离的环境分主机去定位各主机日志数据，解决了多租户数据混杂的问题。
附图说明
为了使本发明的目的、技术方案和有益效果更加清楚，本发明提供如下附图进行说明：
图1为本发明调查人员取证方式示意图；
图2为OpenStack架构。
具体实施方式
下面将结合附图，对本发明的优选实施例进行详细的描述。
图1为本发明调查人员取证方式示意图，图2为OpenStack架构，本方案总共分为两个模块，主要提取防火墙日志和镜像日志供取证使用：
1、Nova拓展模块
设计的目的是为了通过Nova的扩展接口，将取证日志文件比如防火墙等敏感日志给记录下来，实验的环境是devstack，日志都统一放在/opt/stack/logs目录下，每个服务有自己的日志文件，可以从命名上区分。Nova api的各个子服务的日志都以“n”开头：比如n-api.log是nova-api的日志、n-cpu.log是nova-compute的日志。Glance的日志文件都是“g”开头：比如g-api.log是glance-api的日志，g-reg.log是glance-registry的日志。Cinder、Neutron的日志分别以“c”和“q”开头。
Nova拓展方法是创建一个新的extension子类应该派生于“nova.api.openstack.extensions:ExtensionDescriptor”，并覆写父类中的方法“get_resources()”，在方法“get_resources()”中,通过返回ResourceExtensions列表,来注册你的新的资源类型/URL路径/Controller等，参考代码如下：
以下代码会创建一个新的资源类型“mynova”：
defget_resources(self):
resources＝[]
res＝extensions.ResourceExtension('mynova',
MyNovaController(),
member_actions＝{})
resources.append(res)
return resources
为NovaAPI中已有的资源类型，添加新的controller方法，在mynova类中，覆写父类中的方法“get_controller_extensions”，在函数“get_controller_extensions”，返回一系列controller列表，这样新资源“mynova”会和URL匹配。
默认情况下OpenStack默认不启动防火墙日志，通过实现扩展接口，将防火墙所丢弃的数据包都放在一个特定的目录备份下来，再通过数据筛选的规则可以提取需要的日志，磁盘映像日志存储在主机的系统中操作系统，
2、Horizon拓展模块
通过定制Dashboard来，修改底层的源码，Dashboard里扩展添加一个panel，panel可以根据你自己命名规则，Horizon是基于Django框架的，在pannel定义好table等表项，就可以拓展好Horizon，满足功能模块的web页面展示，可以在web页面上下载防火墙日志和磁盘镜像日志。
最后说明的是，以上优选实施例仅用以说明本发明的技术方案而非限制，尽管通过上述优选实施例已经对本发明进行了详细的描述，但本领域技术人员应当理解，可以在形式上和细节上对其作出各种各样的改变，而不偏离本发明权利要求书所限定的范围。

Claims (4)

1.一种面向私有云平台的取证方法，其特征在于：通过提取防火墙日志和镜像日志实现云平台取证，包括Nova拓展模块和Horizon拓展模块，所述的Nova拓展模块通过Nova的扩展接口记录取证日志文件；所述Horizon拓展模块用于实现web页面上下载取证日志文件。
2.根据权利要求1所述的一种面向私有云平台的取证方法，其特征在于：所述Nova拓展模块的实现环境是devstack，Nova拓展方法是通过创建一个新的extension子类派生于“nova.api.openstack.extensions:ExtensionDescriptor”，并覆写父类中的方法“get_resources()”，在方法“get_resources()”中，通过返回ResourceExtensions列表来注册新的资源类型或URL路径或Controller；默认情况下OpenStack默认不启动防火墙日志，通过扩展接口将防火墙所丢弃的数据包都放在一个特定的目录备份下来，再通过数据筛选的规则提取需要的日志，磁盘镜像日志存储在主机的系统中操作系统。
3.根据权利要求2所述的一种面向私有云平台的取证方法，其特征在于：所述特定的目录为“/opt/stack/logs”目录，每个服务有自己的日志文件，并从命名上区分；日志文件的命名规则为：Nova api的各个子服务的日志都以“n”开头；Glance的日志文件都是“g”开头；Cinder、Neutron的日志分别以“c”和“q”开头。
4.根据权利要求1所述的一种面向私有云平台的取证方法，其特征在于：所述Horizon拓展模块是基于Django框架，通过定制Dashboard来修改底层的源码，Dashboard里扩展添加一个panel，panel可以自己设计命名规则，在pannel定义好table表项，实现拓Horizon拓展，满足功能模块的web页面展示，并在web页面上下载防火墙日志和磁盘镜像日志。
CN201710054154.2A 2017-01-23 2017-01-23 一种面向私有云平台的取证方法 Pending CN106817373A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710054154.2A CN106817373A (zh) 2017-01-23 2017-01-23 一种面向私有云平台的取证方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710054154.2A CN106817373A (zh) 2017-01-23 2017-01-23 一种面向私有云平台的取证方法

Publications (1)

Publication Number Publication Date
CN106817373A true CN106817373A (zh) 2017-06-09

Family

ID=59111661

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710054154.2A Pending CN106817373A (zh) 2017-01-23 2017-01-23 一种面向私有云平台的取证方法

Country Status (1)

Country Link
CN (1) CN106817373A (zh)

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101102207A (zh) * 2006-07-05 2008-01-09 李树德 基于智能代理的开发平台
CN102739774A (zh) * 2012-05-28 2012-10-17 中国科学院软件研究所 一种云计算环境下的取证方法及系统
CN103530156A (zh) * 2013-10-17 2014-01-22 北京奇虎科技有限公司 动态加载和调用程序的方法及装置
US20140325661A1 (en) * 2011-01-26 2014-10-30 Viaforensics, Llc Systems, methods, apparatuses, and computer program products for forensic monitoring
CN105183457A (zh) * 2015-08-13 2015-12-23 北京金山安全软件有限公司 一种监听界面生命周期回调的方法及装置
US20160197834A1 (en) * 2015-01-02 2016-07-07 Siegfried Luft Architecture and method for traffic engineering between diverse cloud providers
CN105959328A (zh) * 2016-07-15 2016-09-21 北京工业大学 证据图与漏洞推理相结合的网络取证方法及系统

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101102207A (zh) * 2006-07-05 2008-01-09 李树德 基于智能代理的开发平台
US20140325661A1 (en) * 2011-01-26 2014-10-30 Viaforensics, Llc Systems, methods, apparatuses, and computer program products for forensic monitoring
CN102739774A (zh) * 2012-05-28 2012-10-17 中国科学院软件研究所 一种云计算环境下的取证方法及系统
CN103530156A (zh) * 2013-10-17 2014-01-22 北京奇虎科技有限公司 动态加载和调用程序的方法及装置
US20160197834A1 (en) * 2015-01-02 2016-07-07 Siegfried Luft Architecture and method for traffic engineering between diverse cloud providers
CN105183457A (zh) * 2015-08-13 2015-12-23 北京金山安全软件有限公司 一种监听界面生命周期回调的方法及装置
CN105959328A (zh) * 2016-07-15 2016-09-21 北京工业大学 证据图与漏洞推理相结合的网络取证方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
JOSIAH DYKSTRA AND ALAN T. SHERMAN: ""Design and Implementation of FROST:Digital Forensic Tools for the OpenStack Cloud Computing Platform"", 《DIGITAL INVESTIGATION》 *

Similar Documents

Publication Publication Date Title
CN102982050B (zh) 呈现基于时间的动作信息
Yoon et al. Forensic investigation framework for the document store NoSQL DBMS: MongoDB as a case study
CN103970533B (zh) 屏幕录制的信息记录方法及装置
Garfinkel et al. A general strategy for differential forensic analysis
CN107667370A (zh) 使用事件日志检测异常账户
WO2019237532A1 (zh) 一种业务数据的监控方法、存储介质、终端设备及装置
Ghazinour et al. A study on digital forensic tools
US20140344224A1 (en) Tools for Storing, Accessing and Restoring Website Content via a Website Repository
Chow et al. The rules of time on NTFS file system
JP2008052570A (ja) 操作履歴管理システム
US20140344267A1 (en) Storing, Accessing and Restoring Website Content via a Website Repository
Shavers Placing the suspect behind the keyboard: using digital forensics and investigative techniques to identify cybercrime suspects
Hamdaqa et al. Cultural scene detection using reverse Louvain optimization
Shah et al. An approach towards digital forensic framework for cloud
US11314713B2 (en) Data discovery in relational databases
Kao Cybercrime investigation countermeasure using created-accessed-modified model in cloud computing environments
Mohite et al. Design and implementation of a cloud based computer forensic tool
Wu et al. Forensics on Twitter and WeChat using a customised android emulator
Sachdev et al. A new framework for securing, extracting and analyzing big forensic data
CN106817373A (zh) 一种面向私有云平台的取证方法
Khader et al. HDFS file operation fingerprints for forensic investigations
Schroader et al. Alternate Data Storage Forensics
Raychaudhuri A Comparative Study of Analysis and Extraction of Digital Forensic Evidences from exhibits using Disk Forensic Tools.
CN107741956B (zh) 一种基于web容器配置文件的日志搜索方法
Morris et al. An analysis of the structure and behaviour of the Windows 7 operating system thumbnail cache

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20170609