การสืบสวนผู้ใช้บริการด้วยวิชวลไลเซชันไทม์แมชชีนสำหรับนิติวิทยาศาสตร์สำหรับเครือข่าย

Abstract

ข้อมูลจราจรทางคอมพิวเตอร์นับเป็นพยานหลักฐานสำคัญในการดำเนินคดีอันเป็นประโยชน์อย่างยิ่งต่อการสืบสวนสอบสวน เพื่อนำตัวผู้กระทำความผิดมาลงโทษ ซึ่งในปัจจุบันยังไม่มีงานวิจัยที่สามารถใช้ประโยชน์จากข้อมูล Logs และ Network traffic เพื่อศึกษาและแสดงพฤติกรรมการใช้งานเครือข่าย และตรวจจับผู้ใช้งานที่มีการละเมิดนโยบายความปลอดภัย ผู้วิจัยจึงนำเสนอ Model เพื่อตรวจจับพฤติกรรมการใช้งานเครือข่ายโดยใช้เทคนิค Parallel coordinates ซึ่งแสดงความสัมพันธ์ด้วยตัวแปรต่างๆ ได้แก่ User, Source IP Address, Time, Destination IP Address, Destination service และ Domain name นอกจากนี้ผู้วิจัยได้นำเสนอเทคนิคการสืบสวนแบบ Timeline โดยทำการแสดงพฤติกรรมการใช้งานเครือข่ายเป็นช่วงเวลา ซึ่งแต่ละแถวของ Timeline จะแสดงข้อมูลการใช้งานเครือข่ายของผู้ใช้งานปกติ ผู้ต้องสงสัย และ Host ที่เกี่ยวข้องตามช่วงเวลาที่กำหนด