云環(huán)境隱私侵犯取證研究

李維奉，羌衛(wèi)中，李偉明，鄒德清

?

云環(huán)境隱私侵犯取證研究

李維奉，羌衛(wèi)中，李偉明，鄒德清

（華中科技大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院，湖北 武漢 430074）

云計(jì)算是主流的信息系統(tǒng)技術(shù)，但是云計(jì)算環(huán)境下的用戶隱私保護(hù)和隱私侵犯追蹤取證一直是一個(gè)挑戰(zhàn)。當(dāng)前主流的云計(jì)算取證技術(shù)體系和標(biāo)準(zhǔn)并不成熟和完備，距離計(jì)算機(jī)取證的目標(biāo)相去甚遠(yuǎn)。針對(duì)云環(huán)境下隱私侵犯取證，首先，給出了云取證和云隱私侵犯的研究現(xiàn)狀和挑戰(zhàn)；其次，著重分析了云環(huán)境下隱私取證的研究?jī)?nèi)容和技術(shù)路線；最后，提出了一個(gè)具體的面向云環(huán)境的隱私侵犯取證系統(tǒng)。

云計(jì)算；云取證；云證據(jù)分析；隱私侵犯

1 引言

過(guò)去三十年來(lái)，數(shù)字取證在計(jì)算機(jī)犯罪調(diào)查中得到廣泛應(yīng)用。云計(jì)算是一種新的計(jì)算模式，可實(shí)現(xiàn)普遍存在的、按需的、彈性的網(wǎng)絡(luò)訪問(wèn)，提供可共享、可配置的資源池（如網(wǎng)絡(luò)、服務(wù)器、存儲(chǔ)、應(yīng)用程序和服務(wù)）。但是，信息系統(tǒng)和數(shù)據(jù)在云計(jì)算平臺(tái)上的廣泛部署和存儲(chǔ)給數(shù)字取證帶來(lái)了特殊的挑戰(zhàn)。

云取證（cloud forensics）是一種嘗試調(diào)查和分析云安全威脅的方法。它作為一種威懾方法，可以確保攻擊者更加謹(jǐn)慎，以避免因非法行為被取證，從而減少網(wǎng)絡(luò)犯罪，提高云計(jì)算系統(tǒng)的安全性。云取證中通過(guò)3個(gè)來(lái)源進(jìn)行證據(jù)提?。嚎蛻舳讼到y(tǒng)、網(wǎng)絡(luò)層和云服務(wù)提供商的管理服務(wù)器。美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究（NIST, National Institute of Standards and Technology）[1]指出，“云計(jì)算取證科學(xué)是應(yīng)用科學(xué)原理、技術(shù)實(shí)踐及其衍生而形成的方法，它通過(guò)識(shí)別、收集、保存、檢驗(yàn)和解釋數(shù)字證據(jù)來(lái)重建過(guò)去的云計(jì)算事件”。云取證是云計(jì)算和計(jì)算機(jī)取證的交叉學(xué)科，云環(huán)境下存在著多用戶證據(jù)混雜、資源可動(dòng)態(tài)配置、虛擬化隔離環(huán)境、數(shù)據(jù)易丟失等特性，使傳統(tǒng)的計(jì)算機(jī)取證框架、取證工具不再適用。云環(huán)境下取證工具應(yīng)具備更細(xì)致的分工、動(dòng)態(tài)性高、隔離環(huán)境下可用、具有時(shí)間戳的數(shù)據(jù)物理定位等新的特點(diǎn)[2]。云安全聯(lián)盟（CSA，Cloud Security Alliance）[3]于2013年提供了云取證的潛在證據(jù)來(lái)源清單，其中列出了Web服務(wù)器日志、應(yīng)用服務(wù)器日志、數(shù)據(jù)庫(kù)日志、客戶端操作系統(tǒng)日志、主機(jī)訪問(wèn)日志、虛擬化平臺(tái)日志、網(wǎng)絡(luò)捕獲、計(jì)費(fèi)記錄、管理門戶日志、DNS服務(wù)器日志、虛擬機(jī)監(jiān)視器日志、主機(jī)操作系統(tǒng)日志和API日志等證據(jù)。

本文先調(diào)研云計(jì)算的取證問(wèn)題和云環(huán)境中隱私侵犯問(wèn)題，研究云取證和云環(huán)境中隱私侵犯問(wèn)題中存在的挑戰(zhàn)和機(jī)遇，提出云環(huán)境下隱私侵犯取證的關(guān)鍵研究?jī)?nèi)容和技術(shù)路線，致力于解決隱私侵犯行為的精準(zhǔn)取證與追蹤，并提出面向云計(jì)算環(huán)境的追蹤取證系統(tǒng)，支撐云環(huán)境下隱私侵犯行為及時(shí)發(fā)現(xiàn)、聯(lián)動(dòng)追蹤、精準(zhǔn)取證。

2 研究現(xiàn)狀和挑戰(zhàn)

2.1 云環(huán)境取證

在云取證定義方面，文獻(xiàn)[4]提出：云取證是數(shù)字取證科學(xué)在云環(huán)境中的應(yīng)用。從技術(shù)層面上講，它包括具有遠(yuǎn)程、虛擬化、實(shí)時(shí)、大規(guī)模等特點(diǎn)的混合環(huán)境下產(chǎn)生數(shù)字證據(jù)的取證方法；從組織結(jié)構(gòu)層面上講，它涉及云行為者（即云提供商、云消費(fèi)者、云代理商、云運(yùn)營(yíng)商和云審計(jì)師等）之間的交互；從法律層面上講，它往往意味著多域和多租戶的場(chǎng)景，涉及多個(gè)管轄區(qū)的證據(jù)獲取。文獻(xiàn)[5]在云取證現(xiàn)有挑戰(zhàn)和問(wèn)題的基礎(chǔ)上，討論了存儲(chǔ)在云上數(shù)據(jù)的可訪問(wèn)性、多個(gè)司法管轄區(qū)證據(jù)的可靠性和所有權(quán)、整個(gè)調(diào)查期間監(jiān)管鏈的保持等問(wèn)題。

在云基礎(chǔ)設(shè)施取證方面，文獻(xiàn)[6]提出了多層級(jí)的云環(huán)境取證分析模型，將取證層級(jí)分為：云管理級(jí)、云平臺(tái)級(jí)、云應(yīng)用級(jí)和云客戶級(jí)。在鑒定、獲取、分析和呈現(xiàn)的傳統(tǒng)取證基礎(chǔ)上，提出了云環(huán)境下取證的4個(gè)階段：確定潛在的證據(jù)來(lái)源、保證證據(jù)的完整性、分析現(xiàn)場(chǎng)事件的關(guān)系，以及合理使用取證的工具。常用取證工具包括EnCase[7]、FTK（forensic toolkit）[8]等，由于云環(huán)境存在遠(yuǎn)程Web訪問(wèn)、虛擬化平臺(tái)、第三方物理位置獲取、可疑操作確定等新的取證場(chǎng)景，EnCase和FTK等傳統(tǒng)計(jì)算機(jī)取證工具無(wú)法用于執(zhí)行云環(huán)境下所有的取證功能。

對(duì)于云環(huán)境的各種云服務(wù)類型，文獻(xiàn)[9]檢驗(yàn)現(xiàn)有解決方案的安全性，對(duì)基礎(chǔ)設(shè)施即服務(wù)（IaaS，infrastructure as a service）、平臺(tái)即服務(wù)（PaaS，platform as a service）和軟件即服務(wù)（SaaS，software as a service）的建模方法進(jìn)行分析，但未詳細(xì)討論擴(kuò)大取證場(chǎng)景后的建模方法。文獻(xiàn)[4]對(duì)云取證分析的關(guān)鍵標(biāo)準(zhǔn)做了詳細(xì)的討論。根據(jù)257個(gè)數(shù)字取證專家和從業(yè)人員對(duì)云取證基礎(chǔ)問(wèn)題的回應(yīng)，得出需要建立廣泛的取證即服務(wù)（FaaS，forensics as a service）體系結(jié)構(gòu)的結(jié)論。文獻(xiàn)[10]提出一種三層架構(gòu)的FaaS，并在OpenStack上實(shí)現(xiàn)了該模型，該模型支持自動(dòng)取證分析，并可提供以下服務(wù)：1) 取證分析服務(wù)；2) 定制化的取證分析，即允許客戶對(duì)任何已購(gòu)買的服務(wù)（IaaS、PaaS或SaaS）進(jìn)行定制的取證分析；3) SaaS模型中的高級(jí)取證工具。針對(duì)IaaS云方面，文獻(xiàn)[11]提出一種云取證框架，該框架包括在虛擬服務(wù)器中的證據(jù)抓取器、Xen Hypervisor中的實(shí)時(shí)取證模塊和一個(gè)取證虛擬機(jī)。實(shí)時(shí)取證模塊會(huì)收集所有虛擬機(jī)的證據(jù)信息，證據(jù)抓取器會(huì)自動(dòng)抓取所需的信息并發(fā)送給取證虛擬機(jī)，取證虛擬機(jī)對(duì)這些信息進(jìn)行分析和保存。該框架可在Windows及Linux平臺(tái)的虛擬機(jī)中正常工作，能夠有效且快速地獲取云環(huán)境中的證據(jù)數(shù)據(jù)，并保障證據(jù)數(shù)據(jù)的完整性及機(jī)密性。文獻(xiàn)[12]提出了一種云環(huán)境下現(xiàn)場(chǎng)遷移的取證技術(shù)，其將待取證虛擬機(jī)實(shí)例遷移至本地，并在遷移過(guò)程中對(duì)虛擬機(jī)實(shí)例的內(nèi)存映射、網(wǎng)絡(luò)連接等易失性數(shù)據(jù)進(jìn)行保全。遷移虛擬機(jī)內(nèi)存在本地加載成功后，再利用傳統(tǒng)的取證工具在本地虛擬機(jī)實(shí)例中進(jìn)行取證。

針對(duì)云環(huán)境中取證工具不易部署，并且取證工具之間缺乏交互等問(wèn)題，文獻(xiàn)[13]提出了一種基于云環(huán)境的高性能證據(jù)數(shù)據(jù)搜索服務(wù)，將證據(jù)數(shù)據(jù)進(jìn)行索引并存儲(chǔ)在Hbase數(shù)據(jù)庫(kù)中，以實(shí)現(xiàn)大規(guī)模證據(jù)數(shù)據(jù)的高效查詢；文獻(xiàn)[14]提出一個(gè)領(lǐng)域特定的云環(huán)境來(lái)處理大量的取證數(shù)據(jù)，通過(guò)規(guī)范取證工具之間的交互接口，并提供創(chuàng)建和定制取證數(shù)據(jù)處理工作流程的方法，嘗試解決取證工具之間的交互問(wèn)題。

在云取證的其他方面，文獻(xiàn)[15]設(shè)計(jì)了一個(gè)云環(huán)境下的日志記錄模型，通過(guò)第三方在云服務(wù)端和客戶端構(gòu)建日志模塊，每次云服務(wù)器端動(dòng)作發(fā)生后，同步云服務(wù)端和客戶端的日志記錄。該模型在客戶端可以始終維護(hù)一份更新的日志，不需要云服務(wù)提供商協(xié)助調(diào)查取證，方便取證者獲得日志。文獻(xiàn)[16]基于VMWare的Vsphere架構(gòu)，提出了一種Vsphere 私有云電子取證技術(shù)框架。該框架通過(guò)結(jié)合基于虛擬機(jī)硬盤的常規(guī)取證和基于虛擬機(jī)重啟的動(dòng)態(tài)取證，獲得虛擬機(jī)的電子證據(jù)，并結(jié)合現(xiàn)場(chǎng)筆錄生成證據(jù)文書。該框架可應(yīng)用到案件偵查實(shí)戰(zhàn)中，獲取的電子證據(jù)在現(xiàn)行刑事訴訟法的體系下具有法律效力。文獻(xiàn)[17]設(shè)計(jì)并實(shí)現(xiàn)了一種高效的基于 Hadoop 的分布式取證系統(tǒng)。它通過(guò)調(diào)度控制服務(wù)，將不同的證據(jù)介質(zhì)中的數(shù)據(jù)存儲(chǔ)到不同的分布式數(shù)據(jù)存儲(chǔ)服務(wù)器上，每個(gè)取證任務(wù)運(yùn)行時(shí)都可以獨(dú)占一個(gè)取證介質(zhì)，從而實(shí)現(xiàn)多介質(zhì)的并行取證分析，很大程度上提高了云環(huán)境取證的效率。

2.2 云環(huán)境隱私侵犯

在云計(jì)算系統(tǒng)中，用戶的隱私數(shù)據(jù)和業(yè)務(wù)的私密信息會(huì)被云服務(wù)提供商存儲(chǔ)和管理，信息的所有權(quán)和使用權(quán)的分離，會(huì)導(dǎo)致信息隱私的泄露。針對(duì)傳統(tǒng)隱私問(wèn)題，已有許多法案和相關(guān)技術(shù)方案，但對(duì)于云環(huán)境這種存在于多用戶與多服務(wù)提供者的新情景，這些法案和技術(shù)方案已變得不再適用。

在隱私保護(hù)的相關(guān)法案方面，文獻(xiàn)[18]列出了可能無(wú)法保護(hù)用戶隱私信息的幾種法案。1986年提出的電子通信隱私法（ECPA，Electronic Communications Privacy Act）[19]是為了防止政府訪問(wèn)存儲(chǔ)在服務(wù)提供商的存儲(chǔ)設(shè)備中的電子信息，包括電子郵件和其他計(jì)算機(jī)信息等。然而云計(jì)算中應(yīng)用眾多、交互頻繁、行為難預(yù)測(cè)，該法案無(wú)法準(zhǔn)確識(shí)別所有行為，所以難以有效地防止云環(huán)境中的隱私侵犯行為。公平信用報(bào)告法（FCRA, Fair Credit Reporting Act）[20]規(guī)定用戶的信用報(bào)告被允許的用途，如果債權(quán)人向云提供商存儲(chǔ)信用報(bào)告，而第三方（其他機(jī)構(gòu)、組織、用戶等）從云提供商處獲取報(bào)告，則可能會(huì)違反法定使用限制。視頻隱私保護(hù)法案（VPPA，Video Privacy Protection Act）[21]限制了客戶數(shù)據(jù)的披露，如果云提供商的服務(wù)條款允許提供商觀看、使用或披露信息，則云提供商的行為可能會(huì)導(dǎo)致違法。與隱私有關(guān)的法案不僅頒布的時(shí)間較早，而且初衷只是保護(hù)雙方之間的隱私。所以在云環(huán)境中，第三方（其他機(jī)構(gòu)、組織、用戶等）也許能夠更輕易地從云提供商處獲取信息。

在隱私保護(hù)相關(guān)的技術(shù)方面，文獻(xiàn)[22]討論了云環(huán)境下的數(shù)據(jù)隱私的風(fēng)險(xiǎn)和需要遵從的法律。文獻(xiàn)[23]強(qiáng)調(diào)需要開發(fā)健全的數(shù)字身份基礎(chǔ)設(shè)施，為云環(huán)境下隱私和安全問(wèn)題的解決提供有力的支撐。文獻(xiàn)[24,25]分析了云環(huán)境下現(xiàn)有的隱私問(wèn)題，提出關(guān)于設(shè)計(jì)隱私保護(hù)云服務(wù)的全面指導(dǎo)方針，并強(qiáng)調(diào)在云服務(wù)設(shè)計(jì)階段把隱私保護(hù)考慮進(jìn)去的重要性。文獻(xiàn)[24]還總結(jié)了幾種推薦的隱私保護(hù)模式：1) 發(fā)送和存儲(chǔ)在云中的客戶個(gè)人信息最小化；2) 保護(hù)云中敏感的客戶信息；3) 用戶控制最大化；4) 允許用戶選擇；5) 指定和限制數(shù)據(jù)使用的目的；6) 向客戶提供隱私反饋。

安全外包計(jì)算可以較好地處理隱私數(shù)據(jù)，但依然存在較大的效率問(wèn)題，其難點(diǎn)主要在于對(duì)隱私信息的加密。文獻(xiàn)[26]認(rèn)為基于完全同態(tài)和可驗(yàn)證加密的純密碼隱私解決方案延遲較高，建議將受信任的硬件令牌與安全功能評(píng)估相結(jié)合，以便在仍處于加密形式的計(jì)算數(shù)據(jù)上執(zhí)行任意功能。計(jì)算不泄露任何信息且可驗(yàn)證，該工作的重點(diǎn)是盡量減少計(jì)算延遲。文獻(xiàn)[27]研究大規(guī)模線性優(yōu)化問(wèn)題的外包計(jì)算高效驗(yàn)證問(wèn)題，結(jié)合線性優(yōu)化問(wèn)題特性，并利用云端返回的額外驗(yàn)證結(jié)構(gòu)，實(shí)現(xiàn)了對(duì)計(jì)算結(jié)果的高效驗(yàn)證。在此基礎(chǔ)上，文獻(xiàn)[28]研究了符合一定條件的凸優(yōu)化外包計(jì)算問(wèn)題的高效驗(yàn)證問(wèn)題，該方案將符合特定性質(zhì)的凸優(yōu)化驗(yàn)證問(wèn)題轉(zhuǎn)化為線性優(yōu)化問(wèn)題，從而達(dá)到高效的驗(yàn)證結(jié)構(gòu)。

對(duì)出于隱私安全考慮的云計(jì)算架構(gòu)和模型，文獻(xiàn)[29]介紹了隱私即服務(wù)（PaaS，privacy as a service），一種確保云環(huán)境中用戶隱私數(shù)據(jù)不被侵犯的安全協(xié)議。為在云計(jì)算中提供可靠和隔離的執(zhí)行環(huán)境，該解決方案依賴于安全的加密協(xié)處理器，可通過(guò)利用密碼管理員的防篡改功能，實(shí)現(xiàn)用戶數(shù)據(jù)的安全存儲(chǔ)和計(jì)算，反過(guò)來(lái)保護(hù)用戶數(shù)據(jù)不被未經(jīng)授權(quán)的訪問(wèn)。

在云環(huán)境隱私侵犯的其他方面，文獻(xiàn)[30]探討云環(huán)境下數(shù)據(jù)索引引起的隱私問(wèn)題，為解決數(shù)據(jù)索引導(dǎo)致的信息泄露，提出了一個(gè)三層數(shù)據(jù)保護(hù)架構(gòu)，為云客戶提供不同級(jí)別的隱私保護(hù)。文獻(xiàn)[31,32]提出了依賴混淆技術(shù)的隱私管理器，可以提供模糊和去混淆服務(wù)，以減少存儲(chǔ)在云環(huán)境中敏感信息的數(shù)量。由于該方案客戶端私有數(shù)據(jù)的加密形式存儲(chǔ)在云端，數(shù)據(jù)處理直接在加密數(shù)據(jù)上執(zhí)行，該方案的一個(gè)限制是云供應(yīng)商可能不愿意為保護(hù)隱私而實(shí)施其他服務(wù)。

2.3 存在的問(wèn)題與挑戰(zhàn)

云計(jì)算是一種主流的信息系統(tǒng)技術(shù)，但云環(huán)境下的用戶隱私保護(hù)和隱私侵犯追蹤取證一直存在著巨大的挑戰(zhàn)。在云環(huán)境下，最突出的特征是用戶隱私泄露痕跡易銷毀、虛擬機(jī)遷移頻繁、難定位和難溯源，最本質(zhì)的問(wèn)題是云平臺(tái)虛擬化環(huán)境動(dòng)態(tài)性高的特點(diǎn)，最大的問(wèn)題是虛擬化環(huán)境回滾、遷移導(dǎo)致很難保證虛擬機(jī)取證數(shù)據(jù)的時(shí)空行為狀態(tài)一致性以及虛擬化環(huán)境下攻擊行為多元化導(dǎo)致攻擊事件重構(gòu)困難等。

依據(jù)云計(jì)算取證和隱私侵犯現(xiàn)狀的調(diào)研可以明確，當(dāng)前主流的云計(jì)算環(huán)境中取證技術(shù)體系和標(biāo)準(zhǔn)體系并不成熟和完備。而典型的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施僅具備最基礎(chǔ)的賬號(hào)、訪問(wèn)控制體系和非規(guī)范化的日志系統(tǒng)，而這些機(jī)制的設(shè)計(jì)初衷也僅是面向資源的使用和業(yè)務(wù)調(diào)試，距離計(jì)算機(jī)取證的目標(biāo)相去甚遠(yuǎn)。

一方面，云環(huán)境隱私保護(hù)取證需要可信的取證技術(shù)方案來(lái)支撐證據(jù)的獲取、保存、分析、出示和審計(jì)等關(guān)鍵環(huán)節(jié)，該技術(shù)方案需要覆蓋敏感云環(huán)境下數(shù)據(jù)全生命周期的各個(gè)環(huán)節(jié)：存儲(chǔ)、傳輸、計(jì)算、共享、發(fā)布和銷毀；且能夠無(wú)縫融入當(dāng)前主流的云環(huán)境中。另一方面，云環(huán)境隱私保護(hù)取證需要處理的是海量、多維、異構(gòu)的證據(jù)源，因此，同樣需要使用云計(jì)算存儲(chǔ)、計(jì)算架構(gòu)和挖掘技術(shù)進(jìn)行智能化、自動(dòng)化的取證分析。

總體來(lái)說(shuō)，云環(huán)境下隱私侵犯取證帶來(lái)了新的挑戰(zhàn)，需要從以下幾個(gè)方面進(jìn)行關(guān)鍵技術(shù)突破：云環(huán)境下隱私侵犯線索捕獲；隱私侵犯線索的歸一化融合分析；基于語(yǔ)義分析的隱私侵犯事件識(shí)別；分布式虛擬節(jié)點(diǎn)隱私數(shù)據(jù)標(biāo)記；隱私數(shù)據(jù)標(biāo)記的監(jiān)測(cè)自適應(yīng)覆蓋；隱私數(shù)據(jù)訪問(wèn)與計(jì)算流轉(zhuǎn)全流程追蹤。突破以上技術(shù)挑戰(zhàn)后，便可形成一整套覆蓋敏感數(shù)據(jù)處理全流程的分布式、智能化取證方案，支撐研制分布式隱私數(shù)據(jù)訪問(wèn)、流轉(zhuǎn)、計(jì)算監(jiān)控系統(tǒng)，分布式多元證據(jù)采集系統(tǒng)，并在當(dāng)前主流的云計(jì)算平臺(tái)進(jìn)行驗(yàn)證，實(shí)現(xiàn)云環(huán)境下的證據(jù)采集和智能取證分析系統(tǒng)。

3 云環(huán)境隱私侵犯取證

3.1 研究?jī)?nèi)容

根據(jù)云環(huán)境隱私侵犯取證存在的問(wèn)題和挑戰(zhàn)，針對(duì)云計(jì)算的復(fù)雜環(huán)境，云環(huán)境隱私侵犯取證的主要研究?jī)?nèi)容有以下3個(gè)方面（如圖1所示）。

3.1.1 多元隱私侵犯行為歸一化融合分析

基于虛擬機(jī)時(shí)空行為狀態(tài)一致模型。研究虛擬機(jī)多內(nèi)存鏡像比對(duì)分析取證技術(shù)，提出增量?jī)?nèi)存鏡像取證方法，通過(guò)對(duì)增量?jī)?nèi)存鏡像還原，實(shí)現(xiàn)多鏡像比對(duì)分析和數(shù)據(jù)挖掘，還原內(nèi)存中的攻擊痕跡，解決云計(jì)算環(huán)境下用戶隱私的竊取具有動(dòng)態(tài)易消失性問(wèn)題；研究面向取證的虛擬機(jī)遷移技術(shù)，結(jié)合用戶的虛擬機(jī)位置隱私策略，實(shí)現(xiàn)對(duì)虛擬機(jī)遷移路徑和遷移環(huán)境的取證，解決用戶虛擬機(jī)環(huán)境遷移導(dǎo)致隱私泄露難定位的問(wèn)題。研究面向第三方的可信云監(jiān)控技術(shù)，通過(guò)對(duì)云管理員和用戶及其行為進(jìn)行準(zhǔn)確追蹤和定位，實(shí)現(xiàn)云環(huán)境下虛擬身份的追蹤和取證，解決用戶隱私竊取的難溯源問(wèn)題。在多元證據(jù)的基礎(chǔ)上研究面向云環(huán)境的多維事件重構(gòu)，將搜集的多種證據(jù)重構(gòu)為隱私侵犯線索。

針對(duì)云計(jì)算環(huán)境下用戶隱私數(shù)據(jù)分布在多層次、多節(jié)點(diǎn)，泄露痕跡易銷毀等問(wèn)題，基于虛擬機(jī)內(nèi)存連續(xù)增量鏡像，結(jié)合虛擬機(jī)在Host、Guest、network等環(huán)境下的多種上下文數(shù)據(jù)，提出關(guān)鍵對(duì)象變化連續(xù)跟蹤方法、將虛擬機(jī)在某段時(shí)間內(nèi)的變化重新還原；具體突破快速增量信息鏡像、關(guān)鍵對(duì)象在內(nèi)存鏡像中準(zhǔn)確定位和多種數(shù)據(jù)關(guān)聯(lián)分析等機(jī)制；解決多種數(shù)據(jù)融合問(wèn)題，并為多維事件重構(gòu)提供支撐。

3.1.2 面向虛擬機(jī)的隱私侵犯行為檢測(cè)與取證

在歸一化融合分析的基礎(chǔ)上，根據(jù)隱私侵犯行為線索，進(jìn)一步降低誤報(bào)和漏報(bào)實(shí)現(xiàn)對(duì)隱私侵犯線索的準(zhǔn)確捕獲，并結(jié)合云環(huán)境研究基于語(yǔ)義分析的隱私侵犯事件識(shí)別，將多個(gè)隱私侵犯線索進(jìn)行分析得到更高層的隱私侵犯時(shí)間。為了克服虛擬機(jī)獨(dú)有的回滾行為對(duì)取證的干擾，通過(guò)構(gòu)建細(xì)粒度抗回滾監(jiān)測(cè)取證域，實(shí)現(xiàn)對(duì)竊密攻擊行為的全生命周期取證，解決虛擬機(jī)回滾后取證數(shù)據(jù)碎片化問(wèn)題。

針對(duì)云計(jì)算平臺(tái)租戶通過(guò)回滾虛擬機(jī)銷毀攻擊痕跡問(wèn)題，制定細(xì)粒度的監(jiān)測(cè)數(shù)據(jù)同步策略，構(gòu)建輕量級(jí)抗回滾監(jiān)測(cè)取證域，解決隱私信息竊取者通過(guò)回滾虛擬系統(tǒng)導(dǎo)致的取證記錄碎片化的問(wèn)題，確保取證時(shí)，能準(zhǔn)確還原證據(jù)數(shù)據(jù)，保障監(jiān)測(cè)取證軟件不受惡意回滾影響，對(duì)竊密攻擊行為的全生命周期取證；解決虛擬機(jī)時(shí)間狀態(tài)一致性問(wèn)題，為云環(huán)境虛擬機(jī)時(shí)空行為狀態(tài)一致性模型提供支撐。

圖1 研究?jī)?nèi)容示意

3.1.3 云計(jì)算處理過(guò)程中的隱私竊取取證

云計(jì)算環(huán)境中數(shù)據(jù)復(fù)雜、異構(gòu)，數(shù)據(jù)流轉(zhuǎn)和計(jì)算模型繁多，隱私竊取證據(jù)難以完整提取等特點(diǎn)，研究云計(jì)算存儲(chǔ)和計(jì)算架構(gòu)中的訪問(wèn)控制、異構(gòu)模塊間的互訪特點(diǎn)、計(jì)算拓?fù)涞某橄蟮葍?nèi)容；提出基于三層級(jí)的隱私數(shù)據(jù)取證模型；突破在云計(jì)算環(huán)境下隱私數(shù)據(jù)的訪問(wèn)取證、計(jì)算流轉(zhuǎn)取證、計(jì)算語(yǔ)義邏輯取證等關(guān)鍵技術(shù)；實(shí)現(xiàn)云計(jì)算環(huán)境中隱私數(shù)據(jù)處理全流程的完整取證。

針對(duì)云計(jì)算證據(jù)多維、海量、異構(gòu)、不完備等造成的有效關(guān)鍵證據(jù)難提取、高效取證分析難等問(wèn)題，提出云計(jì)算環(huán)境下的多元證據(jù)分析模型；突破基于云計(jì)算平臺(tái)的集群化分析，智能化取證分析和內(nèi)容抽樣等關(guān)鍵技術(shù)；實(shí)現(xiàn)在云計(jì)算環(huán)境下對(duì)海量、異構(gòu)證據(jù)的自動(dòng)化、智能化取證分析；解決云計(jì)算環(huán)境下對(duì)隱私數(shù)據(jù)生命周期全環(huán)節(jié)的取證問(wèn)題，并為基于云計(jì)算平臺(tái)的隱私數(shù)據(jù)智能化取證分析系統(tǒng)提供支撐。

3.2 技術(shù)路線

基于3.1節(jié)的3點(diǎn)關(guān)鍵研究?jī)?nèi)容，為突破云環(huán)境下隱私侵犯取證困難、分析效率低、隱私侵犯難跟蹤等問(wèn)題，可以采用如圖2所示的技術(shù)路線。

圖2 技術(shù)路線示意

證據(jù)的采集應(yīng)包括虛擬機(jī)監(jiān)控和云計(jì)算處理框架監(jiān)控，監(jiān)控點(diǎn)分布在物理層和虛擬層的多個(gè)節(jié)點(diǎn)和組件上，通過(guò)建立數(shù)據(jù)通道對(duì)證據(jù)進(jìn)行可靠的采集，建立控制通道對(duì)證據(jù)采集進(jìn)行控制和反饋，使用采集策略采集（通過(guò)分布式的采集代理把多元證據(jù)采集）并上報(bào)到隱私侵犯線索分析層。

隱私侵犯線索分析層應(yīng)對(duì)云計(jì)算環(huán)境下的證據(jù)，通過(guò)時(shí)空一致分析、多維事件重構(gòu)、虛擬身份溯源等技術(shù)將采集的數(shù)據(jù)進(jìn)一步語(yǔ)義化，從而使多種證據(jù)關(guān)聯(lián)在一起，并對(duì)證據(jù)采集形成反饋和控制閉環(huán)；同時(shí)對(duì)云環(huán)境中采集到的數(shù)據(jù)采取以下操作。1) 對(duì)隱私數(shù)據(jù)訪問(wèn)取證?；陔[私數(shù)據(jù)的定級(jí)分類技術(shù)與分布式訪問(wèn)控制技術(shù)，實(shí)現(xiàn)云計(jì)算存儲(chǔ)與計(jì)算中涉及隱私數(shù)據(jù)訪問(wèn)的細(xì)粒度取證；做到對(duì)隱私數(shù)據(jù)的who-when-where- what-how訪問(wèn)取證。2) 對(duì)隱私數(shù)據(jù)計(jì)算流轉(zhuǎn)取證。在操作1)的基礎(chǔ)上，基于云計(jì)算數(shù)據(jù)流追蹤技術(shù)、數(shù)據(jù)抽樣技術(shù)、差分隱私等技術(shù)，對(duì)云計(jì)算分布式計(jì)算的全過(guò)程中涉及隱私數(shù)據(jù)的各個(gè)環(huán)節(jié)進(jìn)行取證；做到對(duì)數(shù)據(jù)源、數(shù)據(jù)流經(jīng)各個(gè)節(jié)點(diǎn)產(chǎn)生的中間結(jié)果，以及各類數(shù)據(jù)輸出中涉及隱私泄露的取證。3) 隱私數(shù)據(jù)計(jì)算語(yǔ)義邏輯取證。在操作1)和操作2)的基礎(chǔ)上，基于云計(jì)算語(yǔ)義分析技術(shù)，構(gòu)建頂層云計(jì)算運(yùn)算關(guān)系的邏輯拓?fù)鋱D，推斷敏感數(shù)據(jù)在計(jì)算過(guò)程中的邏輯關(guān)系，實(shí)現(xiàn)正向/反向隱私數(shù)據(jù)邏輯走向追蹤取證，云計(jì)算語(yǔ)義隱私泄露的取證。

關(guān)聯(lián)后的證據(jù)進(jìn)一步提交給全流程追蹤層，這個(gè)層次針對(duì)云計(jì)算環(huán)境采用虛擬機(jī)回滾行為追蹤、虛擬機(jī)連續(xù)鏡像分析、虛擬機(jī)遷移追蹤多維事件重構(gòu)和時(shí)空一致性分析、內(nèi)容抽樣技術(shù)，有針對(duì)性地將具有隱私泄露的相關(guān)行為提取出來(lái)，形成有效的隱私侵犯證據(jù)。其中多維事件重構(gòu)中虛擬機(jī)內(nèi)存連續(xù)鏡像比對(duì)分析技術(shù)，將跟蹤虛擬機(jī)內(nèi)存中的隱私數(shù)據(jù)，結(jié)合虛擬機(jī)在Host、Guest、Network等環(huán)境下的多種上下文數(shù)據(jù)，提出關(guān)鍵對(duì)象變化連續(xù)跟蹤方法，檢測(cè)隱私侵犯行為。虛擬機(jī)回滾行為的取證技術(shù)，制定細(xì)粒度的監(jiān)測(cè)數(shù)據(jù)同步策略，構(gòu)建輕量級(jí)抗回滾監(jiān)測(cè)取證域，解決隱私信息竊取者通過(guò)回滾虛擬系統(tǒng)導(dǎo)致的取證記錄碎片化的問(wèn)題，確保取證時(shí)，能準(zhǔn)確還原證據(jù)數(shù)據(jù)。全流程追蹤層針對(duì)云計(jì)算處理框架的證據(jù)通過(guò)進(jìn)一步的內(nèi)容抽樣、隱私侵犯行為實(shí)時(shí)追蹤、智能化精準(zhǔn)取證分析。

4 面向云環(huán)境的隱私侵犯取證系統(tǒng)

4.1 系統(tǒng)架構(gòu)

在云環(huán)境中存在著利用遷移回滾技術(shù)抹去隱私侵犯證據(jù)的行為。利用傳統(tǒng)或者一般的方法，很難獲取證據(jù)并分析其隱私侵犯行為。為此，本文提出了基于虛擬機(jī)時(shí)空狀態(tài)一致性的面向云環(huán)境的隱私侵犯取證系統(tǒng)。該系統(tǒng)合理有效地解決了云環(huán)境取證、分析、數(shù)據(jù)多元化等難點(diǎn)問(wèn)題，為云環(huán)境隱私侵犯提供有效的解決方案。

面向云計(jì)算環(huán)境的追蹤取證系統(tǒng)整體架構(gòu)如圖3所示，主要分為3部分。

1) 改造現(xiàn)有的虛擬機(jī)監(jiān)控器（VMM，virtual machine manager），加入可信的云環(huán)境監(jiān)控模塊，這個(gè)模塊的主要功能包括：隱私數(shù)據(jù)標(biāo)記、內(nèi)存鏡像、遷移回滾標(biāo)記。核心的功能是監(jiān)控客戶虛擬機(jī)中隱私數(shù)據(jù)的流轉(zhuǎn)，保證在云計(jì)算環(huán)境這種碎片化、傳播路徑隨機(jī)情況下能夠正確地跟蹤隱私侵犯的線索。

圖3 面向云計(jì)算環(huán)境的追蹤取證系統(tǒng)整體架構(gòu)

2) 構(gòu)建在云環(huán)境外部的隱私侵犯分析系統(tǒng)。這個(gè)模塊主要的功能包括：面向虛擬機(jī)遷移/回滾取證，克服虛擬機(jī)遷移或回滾操作對(duì)取證的影響，保證能夠正確地跟蹤隱私數(shù)據(jù)；通過(guò)對(duì)不同虛擬機(jī)的時(shí)空一致性分析，克服隱私數(shù)據(jù)在不同虛擬機(jī)中分布和時(shí)序不一致問(wèn)題；多元隱私線索歸一化，能夠?qū)⒉煌摂M機(jī)中的多個(gè)線索進(jìn)行管理分析，得到統(tǒng)一的隱私侵犯場(chǎng)景。

3) 隱私侵犯證據(jù)庫(kù)。包含了隱私侵犯行為的全過(guò)程，包括隱私數(shù)據(jù)標(biāo)記位置、隱私侵犯行為以及影響的操作系統(tǒng)對(duì)象、隱私侵犯在云計(jì)算環(huán)境中的上下文。

整個(gè)系統(tǒng)設(shè)計(jì)的關(guān)鍵技術(shù)主要是對(duì)現(xiàn)有云環(huán)境中VMM的改造，使之更加適合隱私侵犯取證，涉及的主要技術(shù)包括隱私標(biāo)記和隱私侵犯行為追蹤、隱私侵犯行為多元化分析、隱私侵犯取證保存3個(gè)部分。

隱私數(shù)據(jù)標(biāo)記分為手工標(biāo)記和自動(dòng)化標(biāo)記。手工標(biāo)記是提供一組隱私數(shù)據(jù)標(biāo)記API，由云程序設(shè)計(jì)者調(diào)用API標(biāo)記隱私數(shù)據(jù)位置，通過(guò)VMM的監(jiān)控系統(tǒng)進(jìn)行維護(hù)。自動(dòng)化標(biāo)記是VMM監(jiān)控虛擬機(jī)的執(zhí)行，將加密關(guān)鍵函數(shù)訪問(wèn)的內(nèi)存區(qū)域自動(dòng)標(biāo)記為敏感數(shù)據(jù)，為了提高標(biāo)記精度，需要采用智能化的分析。

遷移回滾標(biāo)記需要跨多個(gè)物理主機(jī)和虛擬機(jī)系統(tǒng)，對(duì)遷移的進(jìn)程、虛擬機(jī)進(jìn)行準(zhǔn)確定位，保持隱私數(shù)據(jù)的唯一性，以便下一步的分析系統(tǒng)能夠整合所有的線索，因此遷移回滾標(biāo)記是一個(gè)分布式的協(xié)作模塊。自適應(yīng)的內(nèi)存鏡像模塊可以根據(jù)需要自動(dòng)化地對(duì)虛擬機(jī)內(nèi)存進(jìn)行保存和分析，能夠監(jiān)控虛擬機(jī)中內(nèi)存變化和操作系統(tǒng)核心對(duì)象的創(chuàng)建、修改、刪除，跟蹤各種隱私侵犯行為，作為隱私侵犯線索保存。最終，整個(gè)系統(tǒng)的設(shè)計(jì)和實(shí)現(xiàn)需要充分考慮對(duì)云計(jì)算環(huán)境的性能影響，保證不影響云計(jì)算環(huán)境正常的業(yè)務(wù)處理。

隱私侵犯行為多元分析的主要作用是在云環(huán)境中收集可能存在隱私侵犯行為的信息，通過(guò)多維度和長(zhǎng)時(shí)間跨度范圍的綜合分析，找出隱私侵犯行為并取證。隱私侵犯行為多元分析系統(tǒng)首先使用Bro IDS獲取云環(huán)境中客戶機(jī)中的可執(zhí)行文件，然后通過(guò)Yara分析該可執(zhí)行程序的行為，并通過(guò)惡意軟件樣本判斷是否為可疑應(yīng)用。若判斷為可疑應(yīng)用后，再獲取客戶虛擬機(jī)的系統(tǒng)版本等信息，并利用虛擬機(jī)自省技術(shù)（VMI，virtual machine introspection）模擬出該客戶機(jī)同樣環(huán)境的一個(gè)虛擬機(jī)。接下來(lái)，在此模擬環(huán)境中對(duì)應(yīng)用的行為做進(jìn)一步細(xì)致的分析，其中包括連續(xù)內(nèi)存鏡像分析、隱私泄露路徑監(jiān)測(cè)等過(guò)程，并將其存在的隱私侵犯行為記錄下來(lái)。通過(guò)這樣的方法和過(guò)程，可以有效地避免破壞客戶機(jī)原有的運(yùn)行環(huán)境和正常任務(wù)，同時(shí)可以抵抗虛擬機(jī)回滾等抹去隱私侵犯記錄的行為。為提高效率，在某些過(guò)程中保持粗粒度的檢測(cè)，同時(shí)，經(jīng)過(guò)進(jìn)一步細(xì)粒度的檢測(cè)，準(zhǔn)確地驗(yàn)證隱私侵犯的證據(jù)。整體架構(gòu)如圖4所示。

圖4 隱私侵犯行為多元分析架構(gòu)

4.2 內(nèi)存隱私數(shù)據(jù)標(biāo)記實(shí)例

在云環(huán)境中，存在把內(nèi)存中的隱私數(shù)據(jù)通過(guò)文件或者網(wǎng)絡(luò)的方式泄露出去的問(wèn)題。由于文件讀寫和網(wǎng)絡(luò)請(qǐng)求十分頻繁，很難從大量的文件和網(wǎng)絡(luò)請(qǐng)求中分辨是否存在泄露隱私數(shù)據(jù)的行為。而通過(guò)內(nèi)存隱私數(shù)據(jù)標(biāo)記和污點(diǎn)追蹤的方法，則可以很容易地分辨出隱私數(shù)據(jù)并進(jìn)一步對(duì)該數(shù)據(jù)實(shí)施污點(diǎn)追蹤，存在泄露隱私數(shù)據(jù)行為的證據(jù)也將輕易被獲取到。

內(nèi)存標(biāo)記和污點(diǎn)追蹤的關(guān)鍵點(diǎn)在于如何標(biāo)記關(guān)鍵的內(nèi)存數(shù)據(jù)，需要通過(guò)特征字符串定位、關(guān)鍵系統(tǒng)調(diào)用、SSL密鑰等數(shù)據(jù)定位隱私數(shù)據(jù)。例如，在本節(jié)實(shí)例中，定義Firefox的歷史記錄（'0x06 0x25 0x08','0x06 0x25 0x09'等）、cookie（'0x04 0x06 0x06','0x05 0x06 0x06'等）等關(guān)鍵特征字符串，并在物理內(nèi)存中搜索該字符串，再通過(guò)hook系統(tǒng)截取信息關(guān)鍵函數(shù)（GetComputerName、GetUserName、GetSystemInfod等），從而完成內(nèi)存標(biāo)記并做進(jìn)一步的污點(diǎn)追蹤。

圖5為利用本系統(tǒng)實(shí)現(xiàn)的一個(gè)內(nèi)存隱私數(shù)據(jù)標(biāo)記的大致流程，在該例子中，通過(guò)對(duì)虛擬機(jī)內(nèi)存中Firefox歷史記錄、cookie等隱私數(shù)據(jù)關(guān)鍵字符串的搜索，標(biāo)記相應(yīng)隱私數(shù)據(jù)為污點(diǎn)源。通過(guò)API hook技術(shù)監(jiān)控GetSystemInfo等系統(tǒng)關(guān)鍵信息函數(shù)的調(diào)用，將其參數(shù)標(biāo)記為污點(diǎn)源。通過(guò)對(duì)污點(diǎn)內(nèi)存數(shù)據(jù)的追蹤，分析污點(diǎn)數(shù)據(jù)在操作系統(tǒng)中的流向。若應(yīng)用程序通過(guò)網(wǎng)絡(luò)套接字和文件相關(guān)接口進(jìn)行操作時(shí)，檢查是否存在被標(biāo)記的污點(diǎn)隱私數(shù)據(jù)有寫入文件或通過(guò)數(shù)據(jù)分組發(fā)送至網(wǎng)絡(luò)的操作，達(dá)到標(biāo)記并追蹤隱私數(shù)據(jù)的目的，為整個(gè)面向云計(jì)算環(huán)境的追蹤取證系統(tǒng)提供標(biāo)記隱私數(shù)據(jù)的基礎(chǔ)。

圖5 內(nèi)存隱私數(shù)據(jù)標(biāo)記實(shí)例

5 結(jié)束語(yǔ)

隨著云計(jì)算的進(jìn)一步發(fā)展，云環(huán)境下取證分析的重要性自然不言而喻。本文主要從現(xiàn)有的研究狀況入手，分析云環(huán)境下隱私取證存在的問(wèn)題和挑戰(zhàn)，然后提出了其關(guān)鍵的研究?jī)?nèi)容和技術(shù)路線，最后提出一個(gè)面向云環(huán)境隱私取證的系統(tǒng)。隨著云環(huán)境取證技術(shù)的不斷完善和進(jìn)步，云取證必將推動(dòng)計(jì)算機(jī)其他領(lǐng)域的技術(shù)發(fā)展。

[1] NIST cloud computing forensic science chanllengs[EB/OL]. https:// csrc.nist.gov/csrc/media/publications/nistir/8006/draft/documents/ draft_nistir_8006.pdf.

[2] RUAN K, CARTHY J, KECHADI T, et al. Cloud forensics[C]// IFIP International Conference on Digital Forensics. 2011: 35-46.

[3] Mapping the forensic standard ISO/IEC 27037 to Cloud Computing[EB/OL]. https://downloads.cloudsecurityalliance.org/initiatives/imf/ Mapping-the-Forensic-Standard-ISO-IEC-27037-to-Cloud-Computing. pdf.

[4] RUAN K, CARTHY J, KECHADI T, et al. Cloud forensics definitions and critical criteria for cloud forensic capability: An overview of survey results[J]. Digital Investigation, 2013, 10(1): 34-43.

[5] ZARGARI S, BENFORD D. Cloud forensics: concepts, issues, and challenges[C]//The third Conference on Emerging Intelligent Data and Web Technologies (EIDWT). 2012: 236-243.

[6] TAYLOR M, HAGGERTY J, GRESTY D, et al. Forensic investigation of cloud computing systems[J]. Network Security, 2011(3): 4-10.

[7] [EB/OL]. http://www.guidancesoftware.com/encase-forensic.

[8] [EB/OL]. http://www.accessdata.com/solutions/digital-forensics/forensic-toolkit-ftk.

[9] ZAWOAD S, HASAN R. Cloud forensics: a meta-study of challenges, approaches, and open problems[EB/OL]. http://www.cryptome. org/2013/02/cloud-forensics.pdf.

[10] NANDA S, HANSEN R A. Forensics as a service: three-tier architecture for cloud based forensic analysis[C]//The 15th International Symposium on Parallel and Distributed Computing (ISPDC). 2016: 178-183.

[11] 謝亞龍, 丁麗萍, 林渝淇, 等. ICFF: 一種IaaS 模式下的云取證框架[J]. 通信學(xué)報(bào), 2013, 34(5): 200-206. XIE Y L, DING L P, LIN Y Q, et al. ICFF: a cloud forensics framework under the IaaS model[J]. Journal on Communications, 2013, 34(5): 200-206.

[12] 周剛. 云計(jì)算環(huán)境中面向取證的現(xiàn)場(chǎng)遷移技術(shù)研究[D]. 武漢: 華中科技大學(xué), 2011. ZHOU G. Research on forensics-oriented site migration technology in cloud computing environment[D]. Wuhan: Huazhong University of Science and Technology, 2011.

[13] LEE J, UN S. Digital forensics as a service: a case study of forensic indexed search[C]//The International Conference on ICT Convergence (ICTC). 2012: 499-503.

[14] WEN Y, MAN X, LE K, et al. Forensics-as-a-service (faas): computer forensic workflow management and processing using cloud[C]//The fifth International Conferences on Pervasive Patterns and Applications. 2013: 1-7.

[15] SANG T. A log based approach to make digital forensics easier on cloud computing[C]//Intelligent System Design and Engineering Applications (ISDEA). 2013: 91-94.

[16] 田慶宜, 王琳, 黃道麗. Vsphere 架構(gòu)私有云取證方法研究及其實(shí)踐[J]. 信息網(wǎng)絡(luò)安全, 2011, 9: 44-46. TIAN Q Y, WANG L, HUANG D L. Research and practice of VSPhere architecture private cloud forensics methods[J]. Netinfo Security, 2017, 30(1): 31-38.

[17] 吳松洋, 張熙哲, 王旭鵬, 等. 基于 Hadoop 的高效分布式取證: 原理與方法[J]. 電信科學(xué), 2017, 30(1): 31-38. WU S Y, ZHANG X Z, WANG X P, et al. Highly distributed distributed forensics based on hadoop: principles and methods [J]. Telecommunications Science，2017, 30(1): 31-38.

[18] ZHOU M, ZHANG R, XIE W, et al. Security and privacy in cloud computing: a survey[C]//The sixth International Conference on Semantics Knowledge and Grid (SKG).2010: 105-112.

[19] BURNSIDE R S. The electronic communications privacy act of 1986: the challenge of applying ambiguous statutory language to intricate telecommunication technologies[J]. Rutgers Computer & Technology, 1987, 13: 451.

[20] SHELDON J. Fair credit reporting act[J]. National Consumer Law Center Consumer Credit & Sales Legal Practice, 1994, 65(2): 595-609.

[21] EVideo Privacy Protection Act[EB/OL]. http://epic.org/privacy/vppa/.

[22] GELLMAN R. Privacy in the clouds: risks to privacy and confidentiality from cloud computing[C]//The World privacy forum. 2012.

[23] CAVOUKIAN A. Privacy in the clouds[J]. Identity in the Information Society, 2008, 1(1): 89-108.

[24] PEARSON S. Taking account of privacy when designing cloud computing services[C]//The 2009 ICSE Workshop on Software Engineering Challenges of Cloud Computing. 2009: 44-52.

[25] PEARSON S, CHARLESWORTH A. Accountability as a way forward for privacy protection in the cloud[C]//IEEE International Conference on Cloud Computing. 2009: 131-144.

[26] SADEGHI A R, SCHNEIDER T, WINANDY M. Token-based cloud computing[C]//The International Conference on Trust and Trustworthy Computing. 2010: 417-429.

[27] WANG C, REN K, WANG J. Secure and practical outsourcing of linear programming in cloud computing[C]//INFOCOM. 2011: 820-828.

[28] XU Z, WANG C, REN K, et al. Proof-carrying cloud computation: the case of convex optimization[J]. IEEE Transactions on Information Forensics and Security, 2014, 9(11): 1790-1803.

[29] ITANI W, KAYSSI A, CHEHAB A. Privacy as a service: privacy-aware data storage and processing in cloud computing architectures[C]//Dependable, Autonomic and Secure Computing. 2009: 711-716.

[30] SQUICCIARINI A, SUNDARESWARAN S, LIN D. Preventing information leakage from indexing in the cloud[C]//The 3rd International Conference on Cloud Computing (CLOUD). 2010: 188-195.

[31] PEARSON S, SHEN Y, MOWBRAY M. A privacy manager for cloud computing[C]//IEEE International Conference on Cloud Computing. 2009: 90-106.

[32] MOWBRAY M, PEARSON S. A client-based privacy manager for cloud computing[C]//The Fourth International ICST Conference on Communication System Software and Middleware. 2009: 5.

Research on forensics of privacy violations in cloud environment

LI Weifeng, QIANG Weizhong, LI Weiming, ZOU Deqing

School of Computer Science & Technology, Huazhong University of Science and Technology, Wuhan 430074, China

Cloud computing is the mainstream information system technology, however, privacy protection of user and privacy violation tracking and forensics in the cloud computing environment have always been a challenge. The current mainstream cloud computing forensics system and standard are not mature and complete, and are far from the target of computer forensics. With the focus on privacy violation and forensics in the cloud environment, status and challenges of cloud forensics and cloud privacy violation were reported firstly. Then, the research content and technical route of privacy forensics in the cloud environments were analyzed. Finally, a specific privacy violation forensics system for cloud environments was presented.

cloud computing, cloud forensics, cloud evidence analysis, privacy violation

TP393

A

10.11959/j.issn.2096-109x.2018004

李維奉（1991-），男，江西南昌人，華中科技大學(xué)碩士生，主要研究方向?yàn)樾畔踩?/p>

羌衛(wèi)中（1977-），男，江蘇南通人，博士，華中科技大學(xué)副教授，主要研究方向?yàn)樾畔⑾到y(tǒng)安全。

李偉明（1975-），男，湖南株洲人，博士，華中科技大學(xué)副教授，主要研究方向?yàn)樾畔踩?/p>

鄒德清（1975-），男，湖南長(zhǎng)沙人，博士，華中科技大學(xué)教授，主要研究方向?yàn)樾畔踩?/p>

2017-12-04；

2018-01-02

羌衛(wèi)中，wzqiang@hust.edu.cn

國(guó)家重點(diǎn)研發(fā)計(jì)劃項(xiàng)目（No.2017YFB0802205）

The National Key Research & Development (R&D) Plan of China (No.2017YFB0802205)