IoT Forensic -- A digital investigation framework for IoT systems
与物联网相关的安全问题、威胁和攻击已被确定为有前途和具有挑战性的研究领域。因此，最终需要一种用于调查物联网相关犯罪的取证方法。然而，物联网给取证调查人员带来了许多挑战。这些问题包括信息的范围和种类广泛，网络之间的区分界限不明确，例如私人网络越来越多地消失在公共网络中。此外，IoT取证兴趣中的大量对象的集成以及所识别和收集的设备的相关性使得IoT设备的取证更加复杂。本文的范围是为物联网取证提供一个框架。我们旨在研究和开发该链接，以支持物联网设备的数字调查，并应对数字取证中的新挑战。我们强调关于物联网设备的数字取证的各种步骤。
2019-09-06 cs.CR cs.NI
Internet of Things Security and Forensics: Challenges and Opportunities
物联网（IoT）设想无处不在的、连接的和智能的节点在提供各种服务的同时自主交互。物联网对象的广泛分布、开放性和相对较高的处理能力使其成为网络攻击的理想目标。此外，由于许多物联网节点正在收集和处理私人信息，它们正在成为恶意行为者的数据金矿。因此，安全性，特别是检测受损节点的能力，以及收集和保存攻击或恶意活动的证据，成为成功部署物联网网络的优先事项。在本文中，我们首先介绍了物联网领域现有的主要安全和取证挑战，然后简要讨论了针对已确定的挑战发表的论文。
2018-07-27 cs.CR
STITCHER: Correlating Digital Forensic Evidence on Internet-of-Things Devices
物联网（IoT）设备的日益普及给数字取证调查人员和执法机构带来了新的挑战，因为他们需要在这些新平台上调查网络犯罪。然而，还没有正式的研究来记录调查人员面临的实际挑战以及现有工具是否有助于他们的工作。鉴于物联网设备的众多证据来源，数字取证证据中的相关性和一致性问题等先前问题也已成为一个紧迫的问题。基于这些观察结果，我们与来自公共和私营部门的39名数字取证调查人员进行了一项用户研究，以记录他们在传统和物联网数字取证中面临的挑战。我们还创建了一个工具STITCHER，用于解决调查人员在处理物联网数字取证调查时面临的技术挑战。我们模拟了一个模仿复杂网络犯罪分子的物联网犯罪，并邀请我们的用户研究参与者使用STITCHER来调查犯罪。我们的研究结果证实了STITCHER的有效性，96.2%的用户表示STITCHER帮助他们处理了犯罪，61.5%的用户使用STITCHER的全部功能完全解决了犯罪。
2020-09-11 cs.CR
Optimizing IoT Intrusion Detection with Tabular Foundation Models for Smart City Forensics
Zayed University（扎耶德大学）；Higher Colleges of Technology（高等技术学院）
本文提出基于Transformer的基础模型TabPFNv2.5，在智慧城市取证中实现比随机森林更快的推理速度和更高的检测准确率，通过混合管道提升物联网入侵检测效率。
2026-04-13 cs.CR
Ransomware: Analysis and Evaluation of Live Forensic Techniques and the Impact on Linux based IoT Systems
本文研究了实时取证技术在Linux勒索软件中的应用与系统影响，发现网络犯罪分子正弃用RSA和AES以增加取证难度，为评估早期阶段对IoT行业的影响提供了基础。
2024-03-26 cs.CR
Towards Developing Network forensic mechanism for Botnet Activities in the IoT based on Machine Learning Techniques
物联网是一个互联的日常物品网络，这些物品被称为已经增强了一小部分计算能力的东西。最近，物联网受到各种不同僵尸网络活动的影响。由于僵尸网络多年来一直是造成严重安全风险和经济损失的原因，现有的网络取证技术无法识别和跟踪僵尸网络当前复杂的方法。这是因为商业工具主要依赖于基于签名的方法，无法发现新形式的僵尸网络。在文献中，有几项研究使用机器学习ML技术来训练和验证用于定义此类攻击的模型，但它们仍然会产生很高的误报率，并面临调查僵尸网络轨迹的挑战。本文研究了ML技术在开发基于网络流标识符的网络取证机制中的作用，该机制可以跟踪僵尸网络的可疑活动。使用UNSW-NB 15数据集的实验结果表明，具有流标识符的ML技术可以有效地检测僵尸网络攻击及其跟踪。
2017-11-08 cs.CR
Forensics Acquisition of IMVU: A Case Study
有许多可用于个人计算机和移动设备的应用程序，以方便用户与潜在的合作伙伴见面。然而，使用即时消息应用程序的匿名程度存在风险，因为存在掠夺者吸引和引诱易受攻击的用户的可能性。今天，虚拟世界中的即时消息传递（IMVU）结合了自定义头像、聊天或即时消息（IM）、社区、内容创建、商业和匿名。IMVU也被犯罪分子利用来犯下各种各样的罪行。然而，很少有研究数字取证获取IMVU的应用。在本文中，我们首先讨论了IMVU取证的挑战。我们提出了一个法医收购IMVU 3D应用程序作为案例研究。我们还描述和分析我们的实验与此应用程序。
2016-09-09 cs.CR
A Survey of Electromagnetic Side-Channel Attacks and Discussion on their Case-Progressing Potential for Digital Forensics
物联网（IoT）设备的日益普及使得它们与数字取证调查的相关性在可预见的未来将不可避免地增加。由各种供应商生产的这些设备通常具有有限的用于通信的标准接口，诸如USB端口或WiFi/蓝牙无线接口。与此同时，随着对用户数据的安全性和隐私性的日益关注，内置加密在消费级计算设备中变得越来越普遍，物联网设备也不例外。在这种情况下，数字取证调查面临着重大挑战，需要分析来自物联网设备的数据。这项工作探讨了电磁（EM）侧信道分析文献，旨在协助物联网设备的数字取证调查。EM侧信道分析是一种使用无意电磁发射来窃听计算设备的操作和数据处理的技术。EM侧信道方法的非侵入性使其成为协助数字取证调查的可行选择，因为这些攻击要求并且必须导致对目标设备的任何修改。讨论了各种EM侧信道分析攻击技术的文献-根据其在物联网设备调查场景中的适用性进行选择。从背景研究中获得的洞察力用于确定物联网设备数字取证分析技术的未来应用前景-可能会推动各种目前受阻的数字调查。
2019-03-18 cs.CR
Enabling the Remote Acquisition of Digital Forensic Evidence through Secure Data Transmission and Verification
让任何执法人员能够从任何可疑计算机远程直接将图像传输到法证实验室进行分析，只会有助于大大减少法证调查人员在现场收集计算机设备时浪费的时间。RAFT（Remote Acquisition Forensic Tool）是一个旨在通过远程收集数字证据来帮助法医调查的系统。这是通过实施安全、可验证的客户端/服务器映像架构来实现的。RAFT系统的设计相对易于使用，对用户的技术知识要求最低。RAFT的主要重点之一是确保其远程收集的证据为法院所接受。这是通过确保使用RAFT拍摄的图像被验证为与可疑计算机上的原始证据相同来实现的。
2017-12-07 cs.CR
BLOFF: A Blockchain based Forensic Model in IoT
在这个技术爆炸式增长的时代，当我们考虑灵巧家庭和城市、智能能源、安全和监控以及医疗保健等技术时，物联网（IoT）已成为游戏规则的改变者。物联网提供的众多好处已成为对用户和网络犯罪分子有吸引力的技术。今天的网络犯罪分子拥有部署数百万次复杂攻击的工具和技术。这些攻击需要调查;这就是数字取证发挥作用的地方。然而，由于物联网环境的异构性，在物联网系统中进行取证调查并不容易。此外，法医调查人员大多依赖于服务提供商提供的证据，这种情况可能导致证据污染。为了解决这个问题，作者提出了一种基于区块链的物联网取证模型，该模型可以防止篡改日志成为证据。
2021-03-15 cs.CR cs.DC
Forensic Acquisition of Cloud Drives
特别是云计算和云存储服务，对数字取证调查提出了新的挑战。目前，这种服务的证据获取仍然遵循在客户端设备上收集工件的传统方法。这种方法需要劳动密集型的逆向工程工作，并最终导致本质上不完整的收购。具体来说，它错误地假设帐户的所有存储内容都在客户端上完全复制;此外，没有任何方法可以以文档修订的形式获取历史数据，也没有任何方法可以获取云原生工件，例如Google Cloud。在这项工作中，我们引入了基于API的云服务证据采集的概念，它通过利用官方支持的API服务来解决这些问题。为了证明这种方法的实用性，我们提出了一个概念验证获取工具kumodd，它可以从四个主要的云驱动器提供商获得证据：Google Drive，Microsoft OneDrive，Dropbox和Box。该实现提供了命令行和Web用户界面，并且可以很容易地合并到已建立的取证过程中。
2016-01-26 cs.CR
Forensic Investigation of P2P Cloud Storage: BitTorrent Sync as a Case Study
云计算已被视为物联网（IoT）的技术使能器。为了确保最有效地收集基于物联网的证据，法医从业人员必须对来自不同云服务的人工制品有一个当代的理解。在本文中，我们试图确定使用BitTorrent Sync 2.0版的数据残留。我们使用运行Windows 8.1，Mac OS X Mavericks 10.9.5，Ubuntu 14.04.1 LTS，iOS 7.1.2和Android KitKat 4.4.4的移动和计算机设备进行研究的结果表明，可以恢复与安装，卸载，登录，注销和文件同步相关的人工制品，这是物联网取证的潜在来源。我们还提出了一个司法健全的调查方法BitTorrent同步。
2017-07-15 cs.CR
IoT Forensic Frameworks (DFIF, IoTDOTS,FSAIoT): A Comprehensive Study
在物联网中，数以百万计的电子产品，包括汽车、烟雾报警器、手表、眼镜、网络摄像头和其他设备，现在都连接到互联网（IoT）。除了个人在物联网领域获得的奢华和舒适，以及轻松快速地通信和获取信息的能力之外，另一个值得关注的方面是在这方面实现隐私和安全，特别是考虑到现有和新物联网设备数量的快速增长。与物联网安全相关的担忧、威胁和攻击一直被认为是一个潜在的、有问题的研究领域。这需要快速开发或创建具有物联网环境中犯罪性质的合适技术。另一方面，由于不同的位置、数据类型、使用的仪器和设备识别，刑事调查专家遇到了困难和障碍。本文对物联网的犯罪内容进行了深入的阐述。它比较了它的阶段与传统数字取证的详细阶段的相似性和差异，在处理电子犯罪中使用的框架，以及在这两种类型中使用的技术。本文介绍了数字取证领域的研究人员以前的讨论。对于物联网，这给我们带来了本文最重要的部分，这是对用于保护物联网领域通信的物联网犯罪框架的全面研究，例如数字取证调查框架（DFIF），智能环境数字取证框架（IoTDOTS），物联网取证状态获取（FSAIoT），并在其总体框架中讨论了挑战，并提供了解决方案和战略。
2022-03-24 cs.CR cs.NI
Systematic Evaluation of Forensic Data Acquisition using Smartphone Local Backup
本研究系统评估了iOS和Android本地备份机制用于智能手机取证数据获取的适用性，发现大多数情况下备份能正确复制原始数据，但需注意待处理更改等边界情况以确保证据完整性与真实性。
2024-04-19 cs.CR
IoTScent: Enhancing Forensic Capabilities in Internet of Things Gateways
针对物联网取证中高效采集网络痕迹的需求，提出开源工具IoTScent，支持基于IEEE 802.15.4的物联网流量捕获分析，简化取证数据收集流程，可用于设备识别，推动物联网取证研究发展。
2023-10-05 cs.CR cs.NI cs.SI
Security of IoT Device: Perspective Forensic/Anti-Forensic Issues on Invalid Area of NAND Flash Memory
基于NAND闪存的物联网设备可能仍然会在无效区域中留下原始个人数据，即使数据已被删除。本文提出了由NAND闪存引起的非托管块中残留原始数据的取证问题，并介绍了在无效区域中安全删除此类数据的方法。我们还提出了一种基于单元计数信息执行的安全删除验证技术，该单元计数信息是指个人数据和存储在块中的数据之间的位差。考虑纠错能力来确定根据单元计数信息的验证技术的通过/失败。由于去识别的取证问题是大数据行业的一个重要主题，严重隐私泄露的威胁加上我们防止这些攻击的建议将被证明是未来关键的技术需求。
2022-08-02 cs.AR cs.CR
A Digital Forensics Investigation of a Smart Scale IoT Ecosystem
将物联网（IoT）生态系统引入个人家庭和企业，促使人们认为这种生态系统包含残留数据，这些数据可以在法庭诉讼中用作数字证据。然而，物联网生态系统的取证检查为数字取证社区带来了许多调查问题。其中一个问题是，指导保存和分析这些生态系统剩余数据的实用程序和技术有限。专注于iHealth Smart Scale生态系统的详细案例研究，我们提出了一个实用技术的实证演示，以恢复智能规模生态系统内不同证据源的残留数据。我们还记录了可以从智能规模生态系统中恢复的工件，这可以为数字（法医）调查提供信息。这项研究的发现为未来研究开发适合从物联网生态系统中提取和检查剩余数据的过程和技术奠定了基础。
2021-09-12 cs.CR cs.CY
From Seaweed to Security: The Emergence of Alginate in Compromising IoT Fingerprint Sensors
本文提出用褐海藻提取的海藻酸盐伪造指纹，发现其导电性与人体皮肤相近，可有效欺骗物联网电容式指纹传感器，呼吁加强防欺骗策略。
2024-04-02 cs.CR
Enhancing network forensics with particle swarm and deep learning: The particle deep framework
物联网智能事物的普及程度正在上升，这是由于它们提供的自动化及其对生产力的影响。然而，事实证明，物联网设备容易受到成熟的和新的物联网特定攻击载体的攻击。在本文中，我们提出了粒子深度框架，这是一种用于物联网网络的新网络取证框架，它利用粒子群优化来调整深度MLP模型的超参数并提高其性能。PDF使用Bot-IoT数据集进行训练和验证，Bot-IoT数据集是一个当代网络流量数据集，结合了正常的物联网和非物联网流量以及众所周知的僵尸网络相关攻击。通过实验，我们表明深度MLP模型的性能得到了极大的提高，准确率达到99.9%，误报率接近0%。
2020-05-02 cs.CR cs.NE
Forensics Acquisition and Analysis of instant messaging and VoIP applications
互联网的出现显著改变了数百万人的日常活动，其中之一是人们的通信方式，其中即时消息（IM）和IP语音（VoIP）通信已经变得普遍。虽然即时通讯应用程序是无处不在的通信工具，现在，它被观察到，相关研究的主题，从即时通讯服务的证据收集是有限的。原因是即时通讯可以作为一个非常有用但非常危险的平台，让受害者和嫌疑人进行沟通。事实上，智能手机上越来越多地使用即时消息已经成为移动和计算机法医专家的金矿。应用程序留下的痕迹和证据可以保存在智能手机上，并利用正确的取证技术检索这些潜在的证据是非常必要的。最近，大多数关于IM取证的研究都集中在WhatsApp，Viber和Skype等应用程序上。然而，在文献中，很少有与iOS和Android平台上的WhatsApp、Viber、Skype和Tango等IM应用程序相关的取证分析和比较，尽管该应用程序的总用户已经超过10亿。因此，在本文中，我们提出了法医采集和分析这四个IM和VoIP的iOS和Android平台。我们试图回答如何收集证据时，IM通信使用。我们还定义了目标文物的分类，以指导和结构随后的法医分析。最后，对可通过IM供应商获得的信息进行了审查。这项研究的成果提供了详细的答案，这些IM和VoIP应用程序可以识别的工件类型。我们还比较了这些流行的应用程序的取证分析：WhatApp，Skype，Viber和Tango。
2016-12-01 cs.CR
Leveraging Electromagnetic Side-Channel Analysis for the Investigation of IoT Devices
物联网（IoT）设备通过提供丰富的新证据来源，扩大了数字取证调查的范围。物联网设备包括健康植入物、运动可穿戴设备、智能防盗报警器、智能恒温器、智能电器等等。来自这些物联网设备的数字证据通常从第三方来源提取，例如，配对的智能手机应用程序或设备的后端云服务。然而，重要的数字证据仍然可以单独驻留在物联网设备本身上。物联网设备硬件的细节在许多情况下是一个黑匣子，因为缺乏经过验证的成熟技术来检查物联网设备。本文提出了一种新的方法，通过在现场设备调查期间的电磁辐射发射来检查物联网设备的内部软件活动。当在犯罪现场识别出正在运行的物联网设备时，可以通过电磁侧信道分析（EM-SCA）攻击来揭示具有重要法医意义的软件活动。通过使用两个代表性的物联网硬件平台，这项工作表明，在高端物联网设备上运行的加密算法可以以超过82%的准确率被检测到，而低端物联网设备中的微小软件代码差异可以使用基于神经网络的分类器检测到超过90%的准确率。此外，通过实验证明，可以通过机器学习辅助的EM-SCA技术来检测对IoT设备的库存固件的恶意修改。这些技术为数字取证调查人员检查物联网设备提供了新的调查载体。
2019-04-03 cs.CR
Memory Forensic Analysis of MQTT Devices
物联网正在以其在医疗、自动化、家庭安全、智慧城市等领域的广泛应用彻底改变当今时代，随着这些物联网设备的使用越来越多，对其安全性和应用协议的威胁也在增加。通过这些协议的流量如果被拦截，可能会泄露敏感信息，并导致控制整个物联网网络。本文的范围仅限于MQTT协议。MQTT（MQ Telemetry Transport）是一种用于IoT设备之间通信的轻量级协议。有多个代理和客户端可用于发布和订阅服务。出于安全目的，必须保护流量、代理和最终客户端应用程序。本文演示了从运行代理和客户端应用程序的设备中提取敏感数据。
2019-08-20 cs.CR
A Deterministic Forensic Preprocessing Framework for Heterogeneous Network Datasets: Formal Foundations, Implementation, and Empirical Validation
Curtin University（科廷大学）
提出一个确定性取证预处理框架，通过模式归一化、时间归一化和溯源追踪三种变换，将异构网络数据集转换为可复现的规范形式，实现100%输出一致性和可扩展性能。
2026-06-11 cs.CR
Forensics in Industrial Control System: A Case Study
工业控制系统（ICS）在全球范围内用于关键基础设施。ICS系统可以是用于控制简单过程的独立工作的单个嵌入式系统，或者ICS也可以是连接到核电站中的监控和数据采集（SCADA）系统的非常复杂的分布式控制系统（DCS）。虽然ICS被广泛使用的今天，有很少的研究，法医获取和分析ICS文物。在本文中，我们提出了一个案例研究的取证在ICS中，我们描述了一种方法，保护重要的挥发性文物从嵌入式工业控制系统和其他几个来源
2016-11-06 cs.CR
Towards the Leveraging of Data Deduplication to Break the Disk Acquisition Speed Limit
传统上，数字取证证据的获取速度受到两个主要因素的限制：被调查的存储设备的读取速度，即，磁盘、存储器、远程存储器、移动终端等的读取速度），以及用于存储采集数据的系统的写入速度。数字取证调查人员可以通过在取证实验室的受控环境中使用高速存储选项（如网络RAID存储）来缓解后一个问题。然而，传统上，几乎无法将采集速度提高到超过其从目标设备本身的物理读取速度。数据采集所花费的长时间浪费了数字取证专家的时间，导致全球数字取证调查积压，并且延迟了可能影响调查方向的相关信息。在远程采集场景中，第三个影响因素也可能对总体采集时间造成损害-通常是采集系统的互联网上传速度。本文探讨了一种替代传统的证据采集模型，通过利用法医数据重复数据删除系统。的优点，重复数据删除的方法可以提供超过目前的数字取证证据采集过程中的概述和一些初步的结果进行了讨论的原型实现。
2016-10-20 cs.CR cs.CY
MediHunt: A Network Forensics Framework for Medical IoT Devices
针对医疗物联网 MQTT 设备内存受限、攻击日志难保存及现有数据集攻击类型不足的问题，本文提出 MediHunt 网络取证框架，结合涵盖 TCP/IP 与应用层攻击的流数据集训练六种 ML 模型，实现实时攻击检测与日志留存，F1 和准确率均超过 0.99。
2023-12-07 cs.CR
Conceptualising an Anti-Digital Forensics Kill Chain for Smart Homes
针对智能家居中犯罪分子利用反数字取证隐藏证据的问题，本文提出面向智能家居生态系统的ADF杀伤链概念，以揭示其特征并支撑数字取证防御。
2023-12-23 cs.CR
What's Next, Cloud? A Forensic Framework for Analyzing Self-Hosted Cloud Storage Solutions
针对自托管云存储取证研究不足的问题，提出整合设备监控、利用云API的扩展取证框架，以Nextcloud为案例验证有效性并推出开源工具，为相关取证工作提供更灵活的方法与研究基础。
2025-10-29 cs.CR
Forensics and security issues in the Internet of Things
本文综述物联网中的取证与安全问题，指出设备因缺乏标准化安全措施而易受攻击，并提出FLIP系统、区块链认证及深度学习取证框架等解决方案，以推动领域发展。
2025-04-25 cs.CR cs.NI cs.SI
First Steps, Lasting Impact: Platform-Aware Forensics for the Next Generation of Analysts
Florida Institute of Technology（佛罗里达理工学院）；DXC Technology（DXC科技公司）
本研究针对Windows和Linux平台，系统评估磁盘和内存取证技术，旨在提升证据收集的准确性和可靠性。
2026-01-29 cs.CR cs.IR
Extending Detection Engineering to Digital Forensics: The Velociraptor Unified Detection-Forensics Methodology
The University of Queensland（昆士兰大学）；Velocidex Enterprises（Velocidex企业）
提出一种基于 Velociraptor 的统一检测-取证方法论，通过四阶段流程将检测逻辑直接触发证据采集，实现可扩展的取证分类与持续监控，减少数据量。
2026-06-27 cs.CR
Defining Atomicity (and Integrity) for Snapshots of Storage in Forensic Computing
本文重新定义法证计算中存储快照的原子性，提出允许灵活获取但保持因果一致性的新概念，比原有定义更强且可用写时复制实现，并修复了完整性定义中的概念问题。
2025-05-21 cs.CR
MoLIFE: Methodology, Technologies, and Challenges for Mobile Live Intelligent Forensics Examination
University of Cagliari（卡利亚里大学）；Interuniversity National Consortium for Informatics, CINI（意大利高校信息学联合国家联盟）；University of Malaga（马拉加大学）
本文针对科技公司数据保护机制增加致移动取证探索少的问题，提出基于NIST SP800 - 101的移动实时智能取证检查方法MoLIFE，可集成新兴技术，用于预防威胁和事后分析，并通过安卓设备数据获取案例证明可行性。
2026-07-09 cs.CR
A Cost-efficient IoT Forensics Framework with Blockchain
在过去的十年中，物联网设备被广泛采用，从而能够从不同的环境中收集各种数据。收集的数据在某些应用中至关重要，其中物联网设备为关键基础设施或系统生成数据，其故障可能导致灾难性结果。具体地，对于这样的关键应用，数据存储提出了挑战，因为数据可能在存储期间受损，并且完整性可能在没有被注意到的情况下被侵犯。在这种情况下，需要完整性和数据出处，以便能够发现任何事件的来源，并在与所涉各方发生争议时在法律案件中证明这一点。为了解决这些问题，区块链提供了很好的机会，因为它可以保护数据的完整性，这要归功于它的分布式结构。然而，它带来了一定的成本，因为在公共区块链中存储大量数据将带来大量的交易费用。在本文中，我们提出了一个高成本效益和可靠的数字取证框架，通过利用多个廉价的区块链网络作为数据提交到以太坊之前的临时存储。为了降低以太坊的成本，我们利用Merkle树，它分层存储从物联网设备收集的事件数据的哈希值。我们通过成本和安全性分析评估了EOS、Stellar和以太坊等流行区块链上的方法。结果表明，我们可以在不影响数据完整性的情况下实现显着的成本节约。
2020-04-30 cs.CR cs.IR cs.NI
Forensic Analysis of TomTom Navigation Application
在数字技术的取证领域，对TomTom品牌导航系统的解码进行了大量的调查。由于TomTom是导航系统的市场领导者，因此对大量此类设备进行了研究。这些设备可以保存大量重要的位置信息。目前，可以使用多种方法来制作运行Android的移动设备的物理副本。下一个重大的取证问题是可以安装在这些设备上的所有各种程序。现在有一个应用程序可从公司TomTom在谷歌Play商店.此应用程序模仿Android移动终端上的导航系统。事实上，Android上的TomTom应用程序可以保存大量信息。在本文中，我们提出了一个过程中的取证收购和分析的TomTom Android应用程序。我们关注以下问题：是否有可能在移动终端的存储器中找到以前驾驶过的路线或带有时间戳的GPS坐标？为了调查这些文件中存储的内容，进行了驾驶测试。在这些驾驶测试中，使用自编程序复制了最重要的文件。找到了重要文件，并对这些文件中的数据进行了解码。我们使用三星移动设备显示和分析我们的结果。我们也比较这些结果与法医收购TomTom GPS设备。
2017-04-11 cs.CR
Effects of parental controls in the context of Digital Forensics
University of Applied Sciences Bern（伯尔尼应用科学大学）；University of Augsburg（奥格斯堡大学）
本研究探讨了微软、谷歌、苹果的家长控制功能对Windows、Android、iOS设备取证流程的影响，通过受控实验确定了克服其取证限制的方法，为调查人员提供了实用指导。
2026-08-13 cs.CR
Digital and Cloud Forensic Challenges
本研究通过文献综述梳理分析数字取证与云取证领域的主要挑战、成因、影响及潜在解决方案，指出挑战重大多样，解决它们对取证应用至关重要，为该领域未来研究提供参考。
2023-05-03 cs.CR
Research trends, challenges, and emerging topics of digital forensics: A review of reviews
由于其在网络安全中的关键作用，数字取证受到了研究人员和从业人员的极大关注。现代网络攻击日益复杂，这与证据获取的复杂性直接相关，这往往需要使用多种技术。到目前为止，研究人员已经提出了许多调查和评论的领域。然而，这样的文章集中在数字取证的每个特定领域的进展单独。因此，虽然这些调查都有助于研究人员和从业人员跟上数字取证特定领域的最新进展，但缺乏全球视角。为了填补这一空白，我们对数字取证领域的评论进行了定性审查，确定了数字取证主题的主要主题，并确定了其主要挑战。我们的分析提供了足够的证据来证明数字取证社区可以从更密切的合作和跨主题研究中受益，因为很明显，研究人员和从业人员正在试图并行地找到解决相同问题的方法，有时没有注意到这一点。
2022-01-10 cs.CR
Digital Forensic Approaches for Amazon Alexa Ecosystem
像亚马逊Echo这样的物联网设备无疑是潜在数字证据的重要来源，因为它们无处不在，而且总是处于运行模式，构成了人类生活的黑匣子。Amazon Echo在Amazon Lab 126开发的基于云的智能虚拟助手Alexa中发挥着核心作用。支持Alexa的无线智能扬声器是所有提交给Alexa的语音命令的网关。此外，IVA与大量兼容的物联网设备和利用云资源的第三方应用程序进行交互。了解允许Alexa无处不在的复杂云生态系统对于在需求增加时支持数字调查至关重要。本文讨论了与IVA Alexa生态系统相关的数字取证方法。本文的主要贡献包括一种新的有效方法，将云原生取证与客户端取证相结合，以支持实际的数字调查。基于对目标生态系统的深入了解，我们提出了一个概念验证工具CIFT，它支持识别、获取和分析来自云的本地工件和来自本地设备的以客户端为中心的工件。
2017-07-27 cs.CR
Evaluation of Digital Forensic Process Models with Respect to Digital Forensics as a Service
数字法医学仍处于起步阶段，但对调查人员来说越来越有价值。一个流行的研究领域是寻求一种标准的方法，使数字取证过程准确，稳健和高效。第一个数字取证过程模型包括四个步骤：采集、鉴定、评估和接纳。从那时起，已经提出了许多过程模型来解释识别，获取，分析，存储和报告从各种数字设备获得的证据的步骤。近年来，越来越多的更复杂的过程模型被提出。这些模式试图加快整个调查过程或解决法医调查中常见的各种问题。在过去的十年中，云计算已经成为一个颠覆性的技术概念，大多数领先的企业，如IBM，亚马逊，谷歌和微软已经建立了自己的基于云的服务。在数字取证调查领域，转向基于云的证据处理模式将是非常有益的，并且已经在其实施中进行了初步尝试。转向数字取证即服务模式不仅可以加快调查过程，还可以节省大量成本-解放数字取证专家和执法人员，以处理他们的案件。本文旨在评估现有数字取证过程模型的适用性，并分析这些模型如何适用于基于云的证据处理范式。
2017-08-05 cs.CR
Achieving Efficient and Secure Data Acquisition for Cloud-supported Internet of Things in Smart Grid
云支持的物联网（Cloud-IoT）已广泛部署在智能电网系统中。物联网前端负责数据采集和状态监控，而大量数据存储和管理在云服务器中。由于电网相关数据的敏感性和海量性，在数据采集和传输过程中实现数据的安全性和系统效率具有重要意义和挑战性。提出了一种基于CP-ABE（Ciphertext Policy Attribute Based Encryption）的高效安全的数据采集方案。从终端采集的数据将被分块，并按顺序使用其对应的访问子树进行加密，从而可以并行处理数据加密和数据传输。此外，我们使用门限秘密共享方法保护访问树的信息，可以保护数据的隐私性和完整性，防止用户使用未经授权的属性集。形式化分析表明，该方案能够满足智能电网中云支持物联网的安全需求。数值分析和实验结果表明，与其他流行的方法相比，我们的方案可以有效地减少时间开销。
2018-10-25 cs.CR
Crossed-IoT device portability of Electromagnetic Side Channel Analysis: Challenges and Dataset
University College Dublin（都柏林大学学院）；University of Colombo（科伦坡大学）
本研究针对电磁侧信道分析（EM-SCA）跨IoT设备可移植性受限的问题，分析了设备差异等影响因素，提出适配多核SoC的数据集收集方法，验证迁移学习的有效性，并发布面向跨设备场景的专用数据集。
2023-10-04 cs.CR cs.LG
The Role of Vehicles in Digital Forensic Investigations: A Structured Synthesis of Digital Vehicle Forensic Characteristics
Technische Hochschule Rosenheim（罗森海姆应用技术大学）
本文通过结构化综合学术文献、标准和实践来源，定义了数字车辆取证（DVF）及其分类问题，推导出八个关键特征，并提出了基于特征的分类程序，以帮助调查人员在安全、法律和隐私约束下优先处理证据源。
2026-06-29 cs.CR
IoT-Based Secure Embedded Scheme for Insulin Pump Data Acquisition and Monitoring
介绍了一种基于物联网的胰岛素泵数据采集与监控方案。建议的工作采用嵌入式系统硬件（Keil LPC1768板）进行数据采集和监测。硬件用作胰岛素泵和云之间的抽象层。糖尿病数据在发送到云端存储之前是安全的。每个患者的记录都使用安全散列算法机制进行数字签名。拟议的工作将保护患者的记录免受未经授权的实体的破坏，并验证它们免受不适当的修改。使用$μ$ Vision studio、上述Keil板和ALARIS 8100输注泵对设计进行测试和验证。此外，一个真正的云例子的测试用例的帮助下，计算辅助系统和技术中心。该中心提供基础设施服务来测试我们的工作。
2018-12-06 cs.CR cs.HC
Unmasking Shortcut Learning in IoT Intrusion Detection: A Forensic, Multi-Paradigm Evaluation of Feature Dependence and Data Leakage
Khulna University of Engineering & Technology（库尔纳工程技术大学）
本研究通过多范式评估揭示物联网入侵检测模型存在捷径学习，证明性能受特征表示限制，时间戳可被非线性模型利用，并提出4点评估协议清单以促进真实泛化。
2026-09-25 cs.CR cs.LG cs.NI
Increasing digital investigator availability through efficient workflow management and automation
数字存储容量和多样性设备的增长对执法中的数字取证实验室产生了重大的时间影响。积压已司空见惯，越来越多的时间花在调查的获取和准备步骤上，而不是花在详细的证据分析和报告上。执法数字取证单位的数字调查能力普遍没有增加的余地，分配给这些单位的预算往往在减少。在开发一个有效的调查过程的背景下，一个关键的挑战是如何实现更多的与less. This本文提出了一个工作流管理自动化框架处理常见的数字取证工具。其目标是简化数字调查工作流程，从而更有效地利用有限的硬件和软件。拟议的自动化框架减少了数字取证专家浪费在执行耗时但必要的任务上的时间。通过服务器端自动化减少了证据处理时间，从而实现了24/7的证据准备。拟议的框架提高了取证软件和硬件的使用效率，降低了基础设施成本和许可证费用，并简化了数字调查员的准备步骤。所提出的方法在现实世界的情况下进行评估，以评估其鲁棒性，并突出其优点。
2017-08-29 cs.CR
Nyon Unchained: Forensic Analysis of Bosch's eBike Board Computers
本研究对博世Nyon系列eBike板载计算机进行取证分析，发现第一代可通过设计缺陷获取数据，第二代需芯片剥离，并揭示了用户活动、位置及蓝牙数据等敏感信息。
2024-04-19 cs.CR
A Deep Reinforcement Learning Approach for Security-Aware Service Acquisition in IoT
University of Pavia（帕维亚大学）；University of Milan（米兰大学）
针对物联网中第三方服务缺乏安全透明度的问题，提出一个基于深度强化学习的安全感知服务获取框架，通过训练用户智能体选择最佳智能对象，在满足截止期限的同时保障用户的安全与隐私需求。
2024-04-04 cs.AI cs.CR
Current Challenges and Future Research Areas for Digital Forensic Investigation
鉴于现代生活中技术的日益普及，数字设备与刑事调查或民事诉讼相关的可能性也相应增加。其直接后果是，需要数字取证专门知识的调查数量之多，导致世界各地的执法机构遇到大量数字证据积压。可以预见，未来需要数字取证分析的案件数量将大幅增加。也有可能，每个案件将需要分析越来越多的设备，包括计算机，智能手机，平板电脑，基于云的服务，物联网设备，可穿戴设备等各种新的数字证据来源提出了新的和具有挑战性的问题，从识别，采集，存储和分析的角度来看，数字调查。本文从技术角度探讨了当前导致数字取证积压的挑战，并概述了一些未来的研究课题，这些课题可能有助于提高数字取证过程的效率。
2016-04-13 cs.CR cs.CY
Forensic Analysis of the HackRF One with PortaPack Mayhem Firmware
Fırat University（埃尔津詹大学）
本研究针对搭载PortaPack Mayhem固件的HackRF One，明确其microSD卡取证数据的存储与解读规则，通过SD卡镜像恢复相关捕获并为从业者提供取证参考。
2026-10-16 cs.CR
Empowering Future Cybersecurity Leaders: Advancing Students through FINDS Education for Digital Forensic Excellence
本文提出MCBSG模型，通过整合AI驱动的取证编程、统计推断等技能，提升网络安全教育的系统性和可衡量性，验证其在提高技术能力和研究准备度方面的有效性。
2026-03-14 cs.AI cs.CR
TRIFECTA: Security, Energy-Efficiency, and Communication Capacity Comparison for Wireless IoT Devices
物联网（IoT）时代传感器节点的广泛扩散，加上不断提高的传感器保真度和数据采集模式，预计到2018年每天将产生3+ EB的数据。由于这些物联网设备中的大多数将在最后几英尺处进行无线连接，因此无线通信是未来物联网场景中不可或缺的一部分。单位计算规模的不断缩小（摩尔定律）和有效通信的持续改进（香农定律）预计将利用物联网革命的真正潜力并产生巨大的社会影响。然而，减少物联网节点的大小和缺乏能源存储密度的显着改善导致降低能源可用性。此外，更小的尺寸和能量意味着可用于保护物联网节点的资源更少，使得网络的能量稀疏的低成本叶节点成为攻击者的主要目标。在本文中，我们调查六个突出的无线技术方面的三个方面-安全性，能源效率和通信容量。我们指出了国家的最先进的，开放的问题，并为有前途的研究方向前进的道路。
2017-11-23 cs.CR
OAT: Attesting Operation Integrity of Embedded Devices
由于IoT/CPS系统的广泛采用，嵌入式设备（IoT前端）变得越来越连接和关键任务，这反过来又吸引了高级攻击（例如，控制流劫持和仅数据攻击）。不幸的是，物联网后端无法检测到在从物联网设备接收数据、服务请求或操作状态时是否发生了此类攻击。因此，目前物联网后端被迫盲目信任与之交互的物联网设备。为了填补这一空白，我们首先制定了一个新的嵌入式设备的安全属性，称为“操作执行完整性”或OEI。然后，我们设计并构建了一个系统，OAT，使远程OEI认证基于ARM的裸金属嵌入式设备。我们的OEI公式捕获了操作执行中涉及的控制流和关键数据的完整性。因此，满足OEI需要操作执行不受现有证明方法无法检查的意外控制和数据操纵。我们的设计OAT罢工之间的证明者的约束（嵌入式设备的有限的计算能力和存储）和验证者的要求（完全可验证性和取证援助）的平衡。OAT使用了一种新的控制流测量方案，可以实现轻量级和空间高效的测量收集（与基于跟踪的方法相比，空间减少了97%）。OAT通过抽象执行完成远程控制流验证，具有快速、确定性强的特点。OAT还具有针对关键数据的轻量级完整性检查功能（比以前的工作减少了74%）。我们的安全分析表明，OAT允许远程验证器或物联网后端检测影响物联网设备上操作执行的控制流劫持和仅数据攻击。在我们使用真实嵌入式程序的评估中，OAT的运行时开销为2.7%。
2019-10-01 cs.CR
A Comprehensive Quantification of Inconsistencies in Memory Dumps
本文通过跟踪内存获取期间的内核写操作，首次精确量化不同系统、模式、文件系统和硬件下内存转储不一致的数量、类型及其对取证分析的影响。
2025-07-28 cs.CR cs.OS
