On Artifact Analysis for User Behaviors in Collaboration Tools - Using differential forensics for distinct operating environments

As the Untact era is rapidly changing, collaboration tools are increasing their utilization and value as digital technologies for non-face-to-face work. While instant messenger-based collaboration tools support a variety of functions, crime and accident concerns are also increasing in proportion to their convenience, such as information leakage and security incidents. Meanwhile, the digital forensics perspective on collaborative tools is not enough, so forensics research is needed. This study analyzes significant artifacts in the two operating environments through Windows and Android forensics research on Microsoft Teams, the collaboration tool with the highest share in the world. Also, based on differences in artifacts and data attributes according to the operating environment, by applying 'differential forensic', we proved that the usefulness of evidence can be improved by presenting a complementary analysis method and timeline configuration through information linkage.

협업 툴의 사용자 행위별 아티팩트 분석 연구 - 운영환경에 따른 differential forensic 개념을 이용하여

언택트(Untact) 시대로의 급속한 변화 속에서 협업 툴(Collaboration Tool)은 비대면 업무를 위한 디지털 솔루션으로써 그 활용도와 가치가 증대되고 있다. 협업 툴은 다양한 기능을 지원하는 한편, 그 편의성에 비례하여 정보 유출, 보안사고 등 디지털 범죄 및 사고우려 또한 내재되어 있어 디지털 포렌식 관점에서의 연구가 필요하다. 본 연구에서는 세계적으로 점유율이 가장 높은 협업 툴 Microsoft Teams에 대한 윈도우즈 및 안드로이드 포렌식 연구를 통해 주요 사용자 행위를 정의하고 각 행위들을 수행한 뒤 의미 있는 아티팩트가 존재하는지 확인하였다. 이후 각 운영환경에서 획득 가능한 아티팩트를 비교·분석하고 여기에서의 차이점을 바탕으로 한 차분 포렌식(differential forensic)을 통해 협업 툴 분석기법 및 수사 시나리오 등 활용 방안을 제시하였다.