MattockFS；Linux平台上基于异步消息的取证框架中的页缓存与访问控制问题

本论文研究了创建具有面向完整性的访问控制之页缓存高效存储与消息解决方案的可扩展取证框架的可行性。开放计算机取证架构（OCFA）——一种实验室侧可扩展计算机取证框架——引入了基于消息传递并发的取证框架概念。此后，实验室环境中每次调查需处理的数据量持续增长，而可用RAM与CPU处理能力结合SSD方案成本高且容量有限，已使处理从主要受CPU约束转变为更受IO约束。OCFA受到若干页缓存未命中相关的性能问题困扰，随着这一转变此类问题已变得更加显著。鉴于反取证及与进程完整性相关的一般问题，OCFA并未利用其基于消息传递的设计来解决完整性问题。本论文的主要目的是分析并评估若干页缓存友好技术，这些技术有助于创建一种计算机取证实验室导向的、可扩展的、基于消息传递并发的取证框架，其具有显著减少的由页缓存未命中诱发的伪IO操作，同时考虑完整性相关问题。本研究彻底分析了使用开放计算机取证架构进行的历史调查的来源日志，期间识别了OCFA中的若干瓶颈与设计缺陷。设计了若干策略以在未来的计算机取证框架中解决这些瓶颈。最后，将最显著的与页缓存相关的策略与访问控制措施整合为一个用户空间文件系统及底层API原型。