Implementation of a timeline analysis software for digital forensic investigations

Abstract

Organizations today are trying to manage the many risks they percieve to be threatening the security of their valuable information assets, but often these risks realize into security incidents. Managing risks proactively is important, but equally important and challenging is to efficiently respond to the incidents that have already occurred, to minimize their impact on business processes. A part of managing security incidents is the technical analysis of any related computer systems, also known as digital forensic investigations. As a result of collecting evidence such as log files from these systems, the analysts end up with large amounts of data, which can form a timeline of events. These events describe different actions performed on the system in question. Analysing the timelines to find any events of interest is challenging due to the vast amount of data available on modern systems. The goal of this thesis is to create a software program to support the analysis of very large timelines as a part of digital forensic investigations. As a result, we have implemented software with an efficient query interface, which supports iterative exploration of the data and more complex analytical queries. Furthermore, we use a timeline visualization to compactly represent different properties of the data, which enables analysts to detect potential anomalies in an efficient way. This software also serves as a platform for future work, to experiment with more automated analysis techniques. We evaluated the software in a case study, in which it proved to show a great level of flexibility and performance compared to more traditional ways of working.

Tärkeä osa nykypäivän organisaatioiden riskienhallintaa on tietopääoman turvaamiseen liittyvien riskien tunnistaminen. Näitä riskejä ei kuitenkaan usein oteta tarpeeksi vakavasti, sillä monesti ne myös realisoituvat tietoturvapoikkeamina. Kattava etukäteisvalmistautuminen on tärkeää, mutta poikkeamien vaikutusten minimoimisen kannalta oleellista on myös valmius tehokkaaseen poikkeamatilanteiden hallintaan. Osana tietoturvapoikkeamien hallintaa toteutetaan siihen liittyvien järjestelmien tekninen analyysi. Todistusaineiston, kuten erilaisten lokitiedostojen, keruun tuloksena tutkijat muodostavat aikajanan järjestelmässä suoritetuista toiminnoista. Koska modernien järjestelmien sisältämä tiedon määrä on poikkeuksetta suuri, on aikajanan analysointi mielenkiintoisten jälkien löytämiseksi erityisen haastavaa. Tämän diplomityön tavoitteena onkin luoda ohjelmisto tukemaan kooltaan erityisen suurten aikajanojen analysointia. Työn tuloksena luotiin ohjelmisto, joka tarjoaa tehokkaan kyselyrajapinnan, tukee tutkimukselle tyypillistä iteratiivista tiedon etsintää ja monimutkaisempia analyyttisia kyselyitä. Lisaksi ohjelmisto mahdollistaa monipuolisen aikajanan visualisoimisen, mikä helpottaa huomattavasti käytöspoikkeamien löytämistä. Tavoitteena oli myös tuottaa alusta, jota voidaan käyttää jatkossa uusien automaattisten analyysitekniikoiden kehittämisessä. Ohjelmiston toimivuus todennettiin tapaustutkimuksessa, joka osoitti ohjelmiston olevan erityisen joustava ja suorituskykyinen verrattuna aikaisempiin toimintatapoihin.