Extrakce událostí ze souborových systémů - Návrh a implementace distribuované architektury

Extrakce událostí s časovými razítky z lokálních souborových systémů představuje klíčový krok pro rekonstrukci časové osy, která vypovídá o využití daného zařízení (počítače, USB disku, apod.) v minulosti. Existující nástroje pro extrakci událostí jsou bez výjimky určeny pro spuštění na jednom lokálním počítači. Vzhledem k dostupné kapacitě současných pevných disků a dalších úložných zařízení je pak analýza obsažených souborových systémů časově velmi náročná. V tomto dokumentu proto popisujeme návrh, implementaci a experimentální ověření nového, distribuovaného řešení, které umožňuje rozložit proces extrakce událostí na velké množství výpočetních uzlů. To umožňuje zvýšit efektivitu celého procesu a současně integrovat získané výsledky s daty z dalších zdrojů do společné časové osy.

Extraction of time-stamped events from local file systems is a key step in the reconstruction of the timeline, which tells about the use of the device (computer, USB drive, etc.) in the past. Existing event extraction tools are, without exception, designed to run on a single local computer. Due to the available capacity of current hard disks and other storage devices, the analysis of the included file systems is very time consuming. In this document, we therefore describe the design, implementation and experimental evaluation of a new, distributed solution that allows the event extraction process to be spread over a large number of computing nodes. This makes it possible to increase the efficiency of the whole process and at the same time integrate the obtained results with data from other sources into a common timeline.