• 융합보안논문지
• /
• 제7권3호
• /
• pp.95-100
• /
• 2007

NTFS의 ADS는 매킨토시의 계층적 파일 시스템과의 호환을 위해 개발되었으나 최근에는 악의적 사용자들에 의해 악성코드 또는 안티 포렌식 목적의 데이터 은닉 용도로 활용되고 있다. 은닉된 ADS의 존재여부를 파악하고 정보를 추출하는 것은 컴퓨터 포렌식 분야에서 중요한 요소이다. 본 논문에서는 NTFS의 MFT정보를 이용하여 ADS를 탐지하기 위한 방법을 제안하였다. 이 방법을 구현하여 비교?실험한 결과, 기존의 방법에 비해 검색속도와 탐지건수 면에서 우수함을 확인하였다. 이 방법을 이용하면 운영체제에서 사용중인 파일도 검사할 수 있으며, 라이브 시스템뿐 아니라 이미지에 대해서도 탐지가 가능해 포렌식 목적에 부합된다.

• 정보보호학회논문지
• /
• 제21권2호
• /
• pp.71-82
• /
• 2011

라이브 포렌식은 하드디스크 파일시스템 분석으로 획득할 수 없는 메모리 내의 활성 데이터를 얻을 수 있다는 장점으로 인해 최근의 포렌식 조사 시 활용되고 있다. 하지만 기존의 라이브 포렌식은 활성 시스템에서 시스템 정보를 획득하기 위한 명령어 기반의 도구를 사용함으로써, 악성코드에 의한 변조된 결과 획득 및 재분석이 용이하지 못한 단점을 가지고 있다. 따라서 본 논문은 시스템 조사 도구를 이용한 라이브 포렌식의 단점을 보완하기 위한 윈도우즈커널 객체 구조 설명 및 분석 방법을 설명한다. 또한, 이를 활용하기 위한 도구를 설계 및 구현하였고, 실험 결과를 통해 그 효과를 입증한다.

• 정보보호학회논문지
• /
• 제28권3호
• /
• pp.591-603
• /
• 2018

윈도우 이벤트 로그는 윈도우 운영체제에서 시스템 로그를 기록하는 형식이며, 시스템 운영에 대한 정보를 체계적으로 관리한다. 이벤트는 시스템 자체 또는 사용자의 특정 행위로 인해 발생할 수 있고, 특정 이벤트 로그는 기업 보안 감사, 악성코드 탐지 등에 사용될 수 있다. 본 논문에서는 기업 보안 감사 및 악성코드 탐지와 관련된 이벤트 로그(외부장치 연결, 응용 프로그램 설치, 공유 폴더 사용, 프린터 사용, 원격 연결/해제, PC 시작/종료, 로그온/오프, 절전모드, 네트워크 연결/해제, 이벤트 로그 삭제, 시스템 시간 변경, 파일/레지스트리 조작, 프로세스 생성, DNS 질의, 윈도우 서비스 추가)들을 선정하고, 발생하는 이벤트 ID를 분류 및 분석하였다. 또한, 기존의 이벤트 로그 분석도구는 EVTX 파싱 기능만을 포함하고 있어 이를 포렌식 수사에 이용할 경우 사용자의 행적을 추적하기 어렵다. 이에 본 연구에서 새로운 분석도구를 구현하였으며, EVTX 파싱과 행위 분석이 가능하다.

• 정보보호학회논문지
• /
• 제28권2호
• /
• pp.407-416
• /
• 2018

인스타그램(Instagram)은 사람 간의 관계망을 구축하고 취미, 일상, 유용한 정보 등을 공유하는 인터넷 서비스인 소셜 네트워크 서비스(Social Network Service:SNS)로 최근 다양한 연령층에서 각광받고 있다. 하지만 업로드한 개인 정보를 불특정 다수가 열람할 수 있고 검증되지 않은 정보가 무방비하게 공유되기 때문에 이를 악용한 각종 사기, 스토킹, 명의 도용, 저작권 침해, 악성코드 유포 등의 문제가 발생 하고 있다. 이에 따라 인스타그램에 대한 디지털 포렌식적 관점에서의 분석이 필요하나 관련한 연구는 미약한 실정이다. 따라서 본 논문에서는 안드로이드 환경에서 인스타그램에 대해 디지털 포렌식 관점에서 역 공학 및 동적 분석을 수행하였고 그 결과 채팅 내용, 채팅 대상, 게시한 사진, 쿠키 정보 등의 사용자 행위 분석이 가능한 데이터가 담긴 3개의 데이터베이스 파일과 4개의 파일 저장 경로, 다양한 데이터 저장된 xml파일을 확인하였다. 또한 위의 분석 결과를 디지털 포렌식 조사에 활용할 수 있는 방안을 제시한다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제5권11호
• /
• pp.419-426
• /
• 2016

침해사고에 대한 위협이 지속적으로 증가하고 있는 가운데, 이에 대한 원인을 식별하고 해당 내용을 공유하여 유사한 침해사고에 대해 빠르게 대응하기 위한 침해지표(IOC, Indicators of Compromise)의 필요성이 증가하고 있다. 하지만, 국내의 경우 일부 업체에서만 이를 활용할 뿐 외국에 비해 침해지표의 활용 방안에 대한 연구가 많이 부족한 상황이다. 본 논문에서는 Cuckoo Sandbox의 악성코드 분석 결과를 바탕으로 빠르고 표준화된 침해지표 자동생성 방법과 이에 대한 활용 방안을 제안한다.

• 정보보호학회지
• /
• 제18권1호
• /
• pp.70-77
• /
• 2008

디지털 포렌식에서 증거 데이터 분석의 효율성을 높이기 위해서는 잘 알려진 파일을 분석 대상에서 제외하거나, 특정 파일의 존재여부에 대한 검사가 필요하다. 이를 위하여, 시스템 파일, 폰트 파일, 응용 프로그램 파일 등 분석이 필요없는 파일 및 루트킷, 백도어, 익스플로잇 코드 등 악성 파일에 대한 해쉬 값을 미래 계산하여 저장해 둔 것을 소프트웨어 참조 데이터세트라고 한다. 이 논문에서는 소프트웨어 참조 데이터세트 구축에 대한 주요 동향에 대하여 살펴본다. 특히, 소프트웨어 참조 데이터세트 구축을 주도하고 있는 미국의 NSRL RDS에 대하여 활용가능성 측면에서 구체적으로 살펴본다. NSRL RDS에 대한 분석결과 실제 컴퓨터 포렌식 도구에서 활용하기 매우 어렵다는 사실을 알 수 있다.

• 한국전자거래학회지
• /
• 제17권3호
• /
• pp.117-128
• /
• 2012

2009년에 발생한 7.7 DDoS(Distributed Denial of Service) 공격에 이어 2010년 3월 4일에도 주요 기관 사이트를 대상으로 대규모의 DDoS 공격이 발생 하였다. 악성코드 제작과 배포는 누구나 쉽게 좀비 PC를 양산할 수 있게 되고 DDoS 공격기법이 지능화 고도화되어 감에 따라서 DDoS 공격을 대응하는 보안담당자의 어려움은 점점 커져가고 있다. 정상 PC에서 좀비 PC로 감염되어 호스트에서 발생하는 변조내용을 분석하여 활성 포렌식 기술로 점검해야 하는 항목이 무엇인지 연구한다. 본 논문에서는 PC 보안관제시스템 구축 및 운영 방안에 대하여 다루었으므로 해당 시스템을 도입하려는 기업에게 좋은 기준서로 활용될 수 있다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제5권12호
• /
• pp.491-498
• /
• 2016

최근 Windows PE와 같은 포터블 OS를 USB, CD/DVD 등의 이동식 저장매체에 저장하여 부팅하는 기법으로 기밀자료 및 내부정보가 유출되는 사례가 증가하고 있다. 이동식 저장매체를 이용한 이 부팅 기법은 타깃 PC에 설치된 USB 보안, 매체제어솔루션 등의 보안 소프트웨어의 우회가 가능하고, 부팅 후 PC의 저장매체를 마운트하여 정보 추출 및 악성코드 삽입 등의 행위가 가능하며, 이동식 저장매체의 사용흔적과 같은 로그기록이 남지 않는 특징이 있어 자료유출여부 확인과 역추적이 어렵다. 이에 본 논문에서는 플래시 메모리에서 BIOS 설정과 관련된 데이터가 기록되는 BIOS 펌웨어 이미지를 수집 및 분석하여 이상행위로 추정할 수 있는 이동식 저장매체를 이용한 부팅 흔적을 찾아 기업의 감사 또는 디지털 포렌식 수사를 수행하는데 도움이 될 수 있는 방안을 제시한다.

• 한국인터넷방송통신학회논문지
• /
• 제16권3호
• /
• pp.21-28
• /
• 2016

디지털 포렌식 조사에서 파일의 시간정보는 중요한 의미를 가진다. 리눅스의 Ext4(Extended File System 4) 환경에서 획득할 수 있는 파일의 시간정보는 파일 접근 시간(Access Time), 수정 시간(Modification Time), Inode 변경 시간(Change Time), 삭제 시간(Deletion Time), 생성 시간(Creation Time)이다. 일반적으로 파일의 생성, 수정, 복사 등 여러 가지 행위에 따라 시간 정보가 변화되며, 증거 분석을 위해 행위에 따른 파일 시간변화에 대한 연구가 필요하다. 본 논문에서는 리눅스 Ext4 환경에서 파일 및 폴더의 다양한 행위에 따른 시간정보를 분석하였고 이를 이용하여 악성코드의 실제 감염시간과 파일의 변조 여부를 확인하는 방안을 연구하였다.

• 융합보안논문지
• /
• 제20권3호
• /
• pp.21-28
• /
• 2020

최근 해킹 및 악성코드는 점검 기법이 매우 정교하고 복잡하게 발전하고 있으며, 다양한 분야에서 침해사고가 지속적으로 발생하고 있다. 그 중 정보유출, 시스템 파괴 등에 활용되는 침해사고의 가장 큰 이용 경로는 이메일을 이용한 것으로 확인되고 있다. 특히, 제로데이 취약점과 사회공학적 해킹 기법을 이용한 이메일 APT공격은 과거의 시그니처, 동적분석 탐지만으로는 식별이 매우 어려운 상황이다. 이에 대한 원인을 식별하고 해당 내용을 공유하여 유사한 침해사고에 대해 빠르게 대응하기 위한 침해지표(IOC, Indicators Of Compromise)의 필요성은 지속적으로 증가하고 있다. 본 논문에서는 기존에 클라이언트단의 침해사고를 수집하기위해 활용되었던 디지털 포렌식 탐지 지표 방식을 활용하여 보안사고의 가장 큰 피해를 유발하는 해킹 메일의 탐지 및 조사 분석 시 필요한 다양한 아티팩트 정보를 효과적으로 추출할 수 있는 방법을 제안한다.