[发明专利]一种用于安卓攻击场景重建的可视化取证系统及实现方法

说明书

本发明提供一种用于安卓攻击场景重建的可视化取证系统及实现方法。系统包括：配置模块、用户操作收集模块、UI收集模块、UI分析模块、Log收集模块、Log过滤模块和关联分析模块。本发明提出针对Android设备的自顶向下的数字取证工具，将高级应用程序UI元素与低级安全相关的系统事件相结合，重构攻击场景。相比之前的场景重建方法，能够从全局的角度解释攻击的本质，具有细粒度和易于理解的上下文语义。本发明基于内置的Android调试桥工具包开发的，并且可以在任何安卓系统运行时部署和运行。易于部署，并且无需修改Android设备，相对于现有方法更安全，更灵活，并且场景重建的结果可视化效果更好。

技术领域

本发明属于计算机技术中数据取证技术领域，涉及的是一种安卓设备攻击行为的场景重建机制，尤其是一种用于安卓攻击场景重建的可视化取证工具及其实现方法。

背景技术

安卓取证是从设备中提取、恢复和分析数据的过程，大致可分为静态方法和动态方法。静态方法是通过分析每个应用程序的目录结构、日志、缓存、SQLite数据库等数据文件，挖掘其中数据的意义，分析用户行为，达到取证的目的。这类方法的特点是可以详细地分析某个应用程序，但是分析时往往需要借助人工，因此有些繁琐和耗时；动态方法是在设备运行过程中，通过捕获网络流量、数据包等动态数据，结合一些攻击监测方法，实时监控设备的安全，并且在攻击发生时及时发出警报。这类方法的优点是适用于大多数软件，而且获取数据的方式也更灵活，难点是如何在设备运行时捕获研究所需的数据。

目前，针对社会工程和网络钓鱼攻击的取证研究仍是一项非常有挑战性和耗时的任务。场景重建是一种对大多数攻击取证的有效方法，特别是社会工程和网络钓鱼攻击。为了检测和分析攻击，取证人员需要重建攻击的细节。早期的研究中，大多数使用的是静态技术，即依靠应用程序运行过程中产生的日志、缓存等数据进行场景重建，但是这些数据是稀疏的，而且社会工程和网络钓鱼攻击需要足够的细节数据来重建攻击期间发生的精确视图。

场景重建可以提供攻击发生时的可视化视图，通过从受害者的设备中收集数字证据，重新构建攻击场景，让取证人员了解受害者是如何被攻击的并且对未来可能受到的攻击做防范。Anglano等人提出了一个自动化工具来模拟用户在Android应用程序上的操作，通过监控与用户的交互相关的文件系统，然后从这些文件中提取数据进行场景重建。这类方法突出的问题是大多数应用程序的文件系统(如SQLite数据库)是加密的，因此数据的获取并不理想。Neasbitt等人提出了一个轻量级的场景重建工具，通过扩展浏览器的渲染引擎来解决社会工程和钓鱼链接攻击，明确地为谷歌Chrome浏览器设计。它通过解析浏览器UI的文档对象模型(DOM)树，利用用户操作触发的系统事件记录UI元素，最后回放用户对网站的操作，呈现出攻击的完整路径。这类方法为场景重建提供新的思路，但是其方法适用性欠缺。Yang等人通过将低级的系统事件与高级的UI元素相结合，生成因果分析图来重建Windows平台上的UI攻击。这类方法的优点是可以为Windows的攻击提供可视化视图，但是有些攻击(如社会工程和网络钓鱼攻击)仍可绕过其防御来实施攻击。

发明内容

针对现有技术在安卓设备攻击行为的场景重建机制的不足，本发明提出了一种针对安卓应用程序的自顶向下的数字取证工具，通过考虑高级用户界面元素和低级系统事件来重建攻击场景，采用安卓系统SDK提供的ADB工具包，监控所有用户操作、UI变化和系统事件，使用时间戳归因法把高级用户界面元素和低级系统事件结合在一起，重建用户在被攻击过程中的一系列用户活动和系统事件，以可视化的方式表示攻击是如何一步一步执行的，帮助调查人员从头到尾了解攻击细节。