Forensic Implications of Localized AI: Artifact Analysis of Ollama, LM Studio, and llama.cpp
本文通过系统分析本地LLM工具，揭示了其在数字取证中的证据留存差异及新证据类型，为法医调查提供可复现的方法和实用命令。
2026-03-25 cs.CR
Forensic analysis of video data deletion and recovery in Honeywell surveillance file system
Sungkyunkwan University（成均馆大学）
本文分析霍尼韦尔监控设备中未公开的专有文件系统，探讨其删除机制并验证数据恢复的可行性，为高效准确的取证调查提供基础。
2026-05-08 cs.CR cs.MM
Cloud Storage Forensic: hubiC as a Case-Study
在当今社会，我们生活在一个不断连接的世界中，许多人现在都在寻找云服务来存储他们的文件，这样他们就可以在任何地方访问它们。通过使用云服务，用户可以在任何有互联网连接的地方访问文件。然而，云存储虽然方便，但也存在安全风险。从取证的角度来看，云存储平台的日益普及使得对此类漏洞的调查变得更加困难，特别是因为许多平台（如移动设备和计算机）都能够使用这些服务。本文介绍了在Microsoft Windows 8.1上运行的流行云平台之一hubiC的调查。剩余的文物有关的不同用途的hubiC，即上传，下载，安装和卸载在Microsoft Windows 8.1。
2018-07-26 cs.CR
Scout: Leveraging Large Language Models for Rapid Digital Evidence Discovery
针对数字取证中数据量大、误报多的问题，本文提出 Scout 框架，结合文本与多模态大语言模型对磁盘镜像、网络包、内存转储及多媒体文件进行初步筛选和优先级排序，从而加速潜在证据发现。
2025-07-24 cs.CR
SSD Forensic: Evidence Generation And Forensic Research On Solid State Drives Using Trim Analysis
本研究针对SSD存储特性给数字取证带来的挑战，通过实验分析不同厂商同容量SSD中磨损均衡、垃圾回收等对数据留存的影响，明确了影响数据恢复的多类因素，推翻了传统存储介质行为假设。
2023-07-10 cs.CR cs.IT math.IT
First Steps, Lasting Impact: Platform-Aware Forensics for the Next Generation of Analysts
Florida Institute of Technology（佛罗里达理工学院）；DXC Technology（DXC科技公司）
本研究针对Windows和Linux平台，系统评估磁盘和内存取证技术，旨在提升证据收集的准确性和可靠性。
2026-01-29 cs.CR cs.IR
Automated Artefact Relevancy Determination from Artefact Metadata and Associated Timeline Events
University College Dublin（都柏林大学学院）；Centre for Applied Data Analytics Research (CeADAR)（应用数据分析研究中心（CeADAR））
妨碍案件的、多年的数字取证证据积压在世界各地的执法机构中已司空见惯。这是由于需要数字取证调查的案件数量不断增加，加上每个案件需要处理的数据量不断增加。利用先前处理的数字取证案例及其组成人工制品相关性分类可以促进训练基于自动化人工智能的证据处理系统的机会。这些可以大大帮助调查人员发现和优先考虑证据。本文提出了一种基于集中式数字取证即服务（DFaaS）范式的日益增长的趋势的文件伪影相关性确定方法。这种方法允许使用以前遇到的相关文件来对调查中新发现的文件进行分类。经过训练的模型可以帮助在获取阶段检测这些文件，即，在上传到DFaaS系统的过程中。该技术使用每个人工制品的文件系统元数据和相关联的时间轴事件来生成文件相似性的相关性分数。对三个实验使用场景的方法进行了验证。
2020-12-02 cs.CR cs.LG
Methodology for the Automated Metadata-Based Classification of Incriminating Digital Forensic Artefacts
University College Dublin（都柏林大学学院）
数字取证调查中不断增加的数据量是该领域讨论最多的挑战之一。通常，被没收设备上的大多数档案文物与调查无关。手动检索与调查相关的可疑文件类似于大海捞针。在本文中，一种自动优先化可疑文件文物（即，与调查有关的文件伪像）来减少所需的人工分析工作。这种方法被设计为以人在回路的方式工作。换句话说，它预测/建议人工制品可能是可疑的，而不是给出最终的分析结果。采用了监督机器学习方法，该方法利用了先前处理的病例的记录结果。文中给出了特征提取、数据集生成、训练和评价的过程。此外，还概述了一个从磁盘图像中提取数据的工具包，使这种方法能够与传统的调查过程相结合，并以自动化的方式工作。
2019-07-02 cs.CR cs.LG
Cloud Storage Forensics: Analysis of Data Remnants on SpiderOak, JustCloud, and pCloud
存储即服务（STaaS）云平台的好处，例如随时随地在各种设备上访问数据，使其在企业和个人中非常受欢迎。因此，取证调查人员越来越多地面临涉及STaaS平台调查的案件。因此，网络调查人员必须知道如何收集、保存和分析这些平台的证据。在本文中，我们描述了三个STaaS平台，即SpiderOak，JustCloud和pCloud在Windows 8.1和iOS 8.1.1设备上的调查。此外，将跟踪这些平台上上传和下载的文件元数据可能发生的变化，并调查其法证价值。
2017-06-25 cs.CR
EviHunter: Identifying Digital Evidence in the Permanent Storage of Android Devices via Static Analysis
由于智能手机无处不在，实体和网络犯罪越来越多地涉及智能手机。因此，智能手机上的数字证据在犯罪调查中发挥着越来越重要的作用。数字证据可以驻留在智能手机的内存和永久存储器中。虽然我们最近在记忆取证方面取得了重大进展，但在永久存储中识别证据仍然是一个欠发达的研究领域。大多数现有的永久存储取证研究依赖于手动分析或基于关键字的永久存储扫描。手动分析成本高昂，而关键字匹配往往会错过没有有趣关键字的证据数据。在这项工作中，我们开发了一个名为EviHunter的工具来自动识别Android设备永久存储中的证据数据。智能手机的永久存储器上可能有数千个文件。法医调查员经常面临的一个基本问题是哪些文件可以存储证据数据。EviHunter旨在回答这个问题。我们的直觉是，证据数据是由应用程序产生的;应用程序的代码包含有关应用程序可能写入永久存储的数据类型以及数据写入的文件的丰富信息。因此，EviHunter首先通过对大量应用程序的静态分析来预先计算应用程序证据数据库（AED）。AED包括每个应用程序的证据数据类型和存储它们的文件。然后，EviHunter将智能手机永久存储器上的文件与AED进行匹配，以识别可能存储证据数据的文件。我们在基准应用程序和8，690个真实应用程序上评估EviHunter。我们的研究结果表明，EviHunter可以精确地识别证据数据的类型和存储它们的文件。
2018-08-18 cs.CR
StegoHound: A Novel Multi-Approaches Method for Efficient and Effective Identification and Extraction of Digital Evidence Masked by Steganographic Techniques in WAV and MP3 Files
针对 WAV/MP3 音频中隐写与加密隐藏证据难提取的问题，提出 StegoHound 多方法自动化框架，关联原始工件、实时分析与传统检测技术，提升大型文件取证的覆盖率、准确性并降低假阴性。
2023-12-10 cs.CR cs.MM
5W1H-based Expression for the Effective Sharing of Information in Digital Forensic Investigations
数字取证调查用于与数字设备相关的各个领域，包括网络犯罪。这是一个使用许多技术的调查过程，这些技术已作为工具实施。数字取证调查所涵盖的文件类型广泛而多样，然而，没有办法将结果表达为标准化格式。标准化因设备、文件系统或应用程序的类型而异。不同的产出使得信息共享和实施一体化既费时又困难。此外，它还可能削弱网络安全。因此，定义标准化并以相同的格式呈现数据是很重要的。本文提出了一种基于5W1H的有效数字取证调查信息共享的表达方式，通过六个问题--什么、谁、在哪里、何时、为什么和如何--来分析数字取证信息。基于基于5W1H的表达，来自不同类型文件的数字信息被转换并以相同的输出格式表示。由于5W1H是基本的写作原则，基于5W1H的表达在案例研究中的应用表明，这种表达增强了信息共享的清晰性和正确性。此外，在发生安全事件时，这一表述方式具有与STIX兼容的优势。
2020-10-26 cs.CR cs.IR
Recovering Residual Forensic Data from Smartphone Interactions with Cloud Storage Providers
对Dropbox、Box、Syncplicity和SugarSync等云存储服务的需求不断增长。这些公共云存储服务可以在世界各地的远程数据中心存储千兆字节的企业和个人数据，然后可以同步到多个设备。这创造了一个可能有利于安全事件、数据泄露和其他恶意活动的环境。公共云环境的取证调查为数字取证社区带来了许多新的挑战。然而，预计智能手机等终端设备将保留来自这些云存储服务的数据。本研究探讨了如何法医工具，目前提供给从业人员可以用来提供一个实用的解决方案，调查云存储环境相关的问题。研究贡献有三个方面。首先，这项研究的结果支持这样一种想法，即用于访问云存储服务的终端设备可以用于提供存储在云服务中的证据的部分视图。其次，该研究提供了可以从不同版本的云存储应用程序中恢复的文件数量的比较。在这样做时，它还支持合并从多个设备恢复的文件可以恢复更完整的数据集的想法。第三，本章有助于对特定云存储应用程序以及这些应用程序在iOS和Android智能手机上的不同版本创建的工件进行文档和证据性讨论。
2015-06-07 cs.CR
Forensic Analysis of Instant Messenger Applications on Android Devices
本文重点对Android手机上WhatsApp和Viber两个广泛使用的IM应用程序进行取证数据分析。测试和分析的目的是确定什么数据和信息可以在设备的内部存储器上找到即时通讯工具，如聊天消息日志和历史发送和接收的图像或视频文件等实验和结果表明，大量的潜在证据和有价值的数据可以在Android手机上发现法医调查。
2013-04-17 cs.CR cs.CY
Systematic Evaluation of Forensic Data Acquisition using Smartphone Local Backup
本研究系统评估了iOS和Android本地备份机制用于智能手机取证数据获取的适用性，发现大多数情况下备份能正确复制原始数据，但需注意待处理更改等边界情况以确保证据完整性与真实性。
2024-04-19 cs.CR
I Have the Proof: Providing Proofs of Past Data Possession in Cloud Forensics
近年来，云计算已经成为流行的计算范例。然而，当今的云计算架构通常缺乏对计算机取证调查的支持。数字取证的一个关键任务是证明特定文件在给定存储系统中的存在。不幸的是，由于云的黑盒性质和多租户云模型，在云中很难做到这一点。在云中，分析来自虚拟机实例的数据或存储在云存储中的数据仅允许我们调查云存储的当前内容，而不是以前的内容。在本文中，我们介绍了在云存储服务的背景下构建过去数据拥有证明的想法。我们提出了一个方案，创建这样的证明，并评估其性能在一个真正的云提供商。我们还讨论了如何在云取证中有效地使用这种过去数据所有权的证明。
2012-11-19 cs.CR cs.DC
TrustPaper for forged PDF with Issuer Fingerprints
Télécom Paris, Institut Polytechnique de Paris（巴黎电信学院，巴黎理工学院）
针对病假证明PDF易被篡改问题，提出感知签发者的TrustPaper取证方案，结合签发者指纹与多模块证据，在受控语料库上实现对两类攻击者伪造的准确检测且无假阳性。
2026-10-14 cs.CR
DeepFake Forensics AI: A Multi-Modal Detection and Blockchain-Anchored Evidence Management Platform
Department of Computer Science（计算机科学系）；Providence Women's College（普罗维登斯女子学院）；University of Calicut（卡利卡特大学）
提出一个统一平台，通过训练四种神经网络检测图像、视频和音频中的合成媒体，并利用以太坊区块链实现证据的不可篡改存储与管理。
2026-05-28 cs.CR cs.CV
Started Off Local, Now We're in the Cloud: Forensic Examination of the Amazon Echo Show 15 Smart Display
本文首次对 Amazon Echo Show 15 智能显示屏进行取证检验，利用 eMMC 接口未记录引脚非侵入式访问未加密本地文件系统，并借助不安全令牌结合新发现的 Amazon API 将取证范围扩展至云端远程数据。
2024-08-28 cs.CR
Network investigation methodology for BitTorrent Sync: A Peer-to-Peer based file synchronisation service
高可用性不再仅仅是业务连续性问题。用户越来越依赖于以不断增加的量消费和产生数据的设备。一种流行的解决方案是拥有一个中央存储库，每个设备在集中管理的身份验证后都可以访问该存储库。基于云的文件同步服务（如Dropbox、OneDrive、Google Drive和Apple iCloud）为这种使用模式提供了便利。云架构允许通过“始终在线”访问来配置存储空间。最近对未经授权访问第三方系统和大规模暴露私人数据的担忧使得替代解决方案变得可取。这些事件促使用户评估自己的安全实践以及对第三方存储服务的信任程度。一个选项是BitTorrent Sync，一个无云同步实用程序提供数据可用性和冗余。此实用程序将存储在共享中的文件复制到远程对等方，其访问由密钥和权限控制。虽然缺乏规模带来的经济效益，但对数据访问的完全控制使其成为一种流行的解决方案。在没有监督的情况下复制数据的能力带来了用户滥用的风险以及法医调查人员的困难。本文提出了一种方法，调查和分析的协议，以协助控制跨安全边界的数据流。
2015-06-03 cs.CR cs.NI
EnCoD: Distinguishing Compressed and Encrypted File Fragments
Sapienza Università di Roma（罗马第一大学）；Worcester Polytechnic Institute（伍斯特理工学院）
可靠地识别加密文件片段是多种安全应用的要求，包括勒索软件检测、数字取证和流量分析。一种流行的方法包括估计高熵作为随机性的代理。然而，许多现代内容类型（例如，办公文档、媒体文件等）为了存储和传输效率而被高度压缩。压缩算法还输出高熵数据，从而降低了基于熵的加密检测器的准确性。多年来，已经提出了各种方法来区分加密的文件片段和高熵压缩的片段。然而，这些方法通常仅在几个选择的数据类型和片段大小上进行评估，这使得不可能对其实际适用性进行公平评估。本文旨在通过对大型标准化数据集的现有统计测试进行比较来缩小这一差距。我们的研究结果表明，目前的方法不能可靠地区分加密和压缩，即使是大的片段大小。为了解决这个问题，我们设计了EnCoD，这是一种基于学习的分类器，可以可靠地区分压缩和加密数据，从小到512字节的片段开始。我们评估EnCoD对当前的方法在不同的数据类型的大数据集，显示它优于目前的最先进的最考虑的片段大小和数据类型。
2020-10-15 cs.CR cs.LG
Scalpel3: A High-Performance Data Carving Architecture for Recovery of Fragmented Files
Louisiana State University（路易斯安那州立大学）
Scalpel3是首个通用开源大规模并行文件雕刻框架，支持连续与碎片化文件恢复，集成ONNX Runtime等实用功能，可降低文件雕刻研究向实用工具转化的门槛。
2026-08-25 cs.CR cs.DC
Proteus: A Practical Framework for Privacy-Preserving Device Logs
Stony Brook University（石溪大学）；Samsung Research America（三星美国研究院）
Proteus通过双层方案实现隐私保护的日志分析，确保在不泄露PII的情况下进行高效分析。
2026-03-06 cs.CR
