• 인터넷정보학회논문지
• /
• 제12권5호
• /
• pp.47-61
• /
• 2011

최근 사이버 범죄의 증가와 그 대상 시스템의 다양화로 인하여 디지털 포렌식의 중요성이 커지고 있다. 일부 시스템들은 전원이나 네트워크를 차단하지 않고 수사하는 live forensic의 방법을 채택하고 있는데, 인터넷 사용이 일반화됨에 따라 live forensic 방법이 채택되는 횟수가 증가하고 있다. 그러나 live forensic 기술이 상당한 발전을 거듭하였음에도 불구하고 원격으로 접근하여 행해지는 Anti-forensic 행위에는 여전히 취약한 실정이다. 이와 같은 문제를 해결하기 위하여 첫 번째로 우리는 Anti-forensic 행위를 5개의 계층으로 분류하고 각 계층별로 가능한 Anti-forensic 행위의 시나리오를 생성하는 방법을 제안하였다. 두 번째로 fuzzy 전문가 시스템을 제안하여 효과적으로 Anti-forensic 행위를 탐지할 수 있도록 하였다. 몇몇 Anti-forensic 행위에 사용되는 명령어들은 일반적인 시스템 관리를 위하여 사용되는 명령어와 매우 유사하다. 따라서 우리는 fuzzy logic을 사용하여 모호한 데이터를 다룰 수 있도록 하였다. 미리 정의된 시나리오에서 명령어와 옵션 및 인자 값을 이용하여 룰을 생성하고 fuzzy 전문가 시스템에 이 룰을 학습하도록 하여 유사한 행위가 탐지되었을 때 추론을 통하여 수사관에게 얼마나 위험한 행위인지 알려준다. 이 시스템은 live forensic 수사가 진행될 때 발생할 수 있는 Anti-forensic 행위를 실시간으로 탐지할 수 있도록 하여 증거 데이터의 무결성을 유지하도록 한다.

• 한국전자통신학회논문지
• /
• 제8권6호
• /
• pp.855-861
• /
• 2013

스마트폰은 컴퓨팅 능력 향상, 전송속도의 고속화, 다양한 애플리케이션의 활용 등을 통해 실생활에 매우 유익하게 사용되고 있다. 반면에 스마트폰을 이용한 범죄가 증가하고 있으며, 앤티-포렌식 도구들을 사용하여 스마트폰 메모리의 데이터를 고의로 삭제하는 경우도 발생하고 있다. 본 논문에서는 안드로이드 스마트폰 상에서 사용되는 앤티-포렌식 도구들을 조사 및 분석하여 앤티-포렌식 도구들의 특성과 기법을 연구한다. 또한, 상용 포렌식 도구인 Oxygen Forensic Suite를 이용하여 앤티-포렌식 도구들이 제공하는 기능들의 활용성을 검증하는 실험을 실시한다.

• 한국전자통신학회논문지
• /
• 제10권1호
• /
• pp.95-102
• /
• 2015

스마트폰은 실생활에 매우 유용하게 사용되면서도, 스마트폰을 이용한 범죄에 많이 노출되고 있다. 또한 앤티-포렌식 도구들을 사용하여 스마트폰 메모리의 데이터를 고의로 삭제하는 경우도 발생하고 있다. 본 논문에서는 안드로이드 스마트폰 상에서 사용되는 앤티-포렌식 도구를 구현하고, 상용 포렌식 툴인 Oxygen Forensic Suite를 사용하여 구현한 앤티-포렌식 도구가 제공하는 기능들의 활용성을 검증하는 시험을 한다.

• 융합보안논문지
• /
• 제23권1호
• /
• pp.97-107
• /
• 2023

4차 산업혁명 시대에 디지털기기 보급의 대중화와 함께 이를 대상으로 한 사이버 범죄가 증가함에 따라 디지털 데이터 증거 확보의 중요성이 대두되고 있다. 하지만 디지털 데이터 증거 확보의 어려움은 디지털 데이터를 조작, 삭제, 난독화 등 분석 시간을 증가시키거나 불가능하게 만드는 안티 포렌식 기법을 활용하기 때문이다. 이러한 안티 포렌식은 디지털 포렌식 측면에서 증거물의 회손 및 차단하는 일련의 행위로 정의하며, 안티 포렌식 기법으로 데이터 파괴, 데이터 암호화, 데이터 은닉, 데이터 변조 등으로 분류된다. 따라서 본 연구에서는 안티포렌식 기법을 데이터 은닉 및 삭제 (난독화 및 암호화)로 분류하여 최근 연구동향을 조사 및 분석하고 향후 안티포렌식의 연구 방향을 제안하고자 한다.

• International Journal of Internet, Broadcasting and Communication
• /
• 제9권3호
• /
• pp.17-26
• /
• 2017

An anti-forensic data hiding method in an NTFS index record is a method designed for anti-forensics, which records data as a file name in index entries and thereafter the index entries are made to remain in the intentionally generated slack area in a 4KB-sized index record[7]. In this paper, we propose a maximum data allocation rule for an anti-forensic data hiding method in an NTFS index record; i.e., a computational method for storing optimal data to hide data in an index record of NTFS is developed and the optimal solution is obtained by applying the method. We confirm that the result of analyzing the case where the number of index entries n = 7 is the maximum case, and show the screen captures of index entries as experimental results.

• 정보보호학회논문지
• /
• 제24권1호
• /
• pp.135-144
• /
• 2014

디지털 포렌식 조사를 회피하기 위한 안티포렌식이 발전하고 있는 가운데, 안티포렌식 행위를 찾아내기 위한 포렌식 방법들 또한 다각도로 연구되고 있다. 사용자 행위분석을 위한 여러 요소 중 응용프로그램의 아이콘 정보를 저장하고 있는 IconCache.db 파일은 디지털 포렌식 조사를 위한 의미 있는 정보들을 제공하고 있다. 본 논문은 IconCache.db 파일의 특성을 알아보고 안티포렌식에 대응할 수 있는 활용방안을 제시한다.

• 한국안전학회지
• /
• 제32권5호
• /
• pp.13-19
• /
• 2017

In this paper, study of vehicle fire cases caused by connector and power wiring of anti-lock brake system(ABS) module damage is presented. The purpose of ABS module is to improve braking and steering ability under sudden stop of the vehicle by repeatedly activating and releasing the brake with electric signal via electric control unit. The electric control unit for ABS may experience incomplete contact between power line and signal line or electrical breakdown on the printed circuit board by undergoing repetitive signal change which would consequently result in electrical heat and spark, eventually leading to automotive fire. Therefore, the purpose of this paper is to provide fundamental data by analyzing connector and power wiring of ABS module damage conducive to the precise investigation on the cause of vehicle fire.

• International Journal of Internet, Broadcasting and Communication
• /
• 제8권3호
• /
• pp.31-40
• /
• 2016

In this paper, we propose a new anti-forensic method for hiding data in the timestamp of a file in the Windows NTFS filesystem. The main idea of the proposed method is to utilize the 16 least significant bits of the 64 bits in the timestamps. The 64-bit timestamp format represents a number of 100-nanosecond intervals, which are small enough to appear in less than a second, and are not commonly displayed with full precision in the Windows Explorer window or the file browsers of forensic tools. This allows them to be manipulated for other purposes. Every file has $STANDARD_INFORMATION and $FILE_NAME attributes, and each attribute has four timestamps respectively, so we can use 16 bytes to hide data. Without any changes in an original timestamp of "year-month-day hour:min:sec" format, we intentionally put manipulated data into the 16 least significant bits, making the existence of the hidden data in the timestamps difficult to uncover or detect. We demonstrated the applicability and feasibility of the proposed method with a test case.

• 한국정보전자통신기술학회논문지
• /
• 제8권4호
• /
• pp.327-337
• /
• 2015

이 논문에서는 윈도우즈 NTFS 파일시스템에서 디렉토리의 인덱스에 메시지를 숨기기 위한 새로운 안티 포렌식 방법을 제안한다. 인덱스 엔트리 관리를 위하여 채택하고 있는 B-tree 구조의 특징을 이용하여 인덱스 레코드의 슬랙 영역에 숨길 메시지를 저장한다. 안티포렌식을 위해 숨길 메시지가 노출되지 않게 하기 위해 서 위장 파일을 사용하여 삭제된 파일이름의 정보가 MFT 엔트리에 남지 않도록 한다. 이 기법의 핵심 아이디어 의 이해하기 위해서 B-tree방식의 인덱스 레코드의 운영방법을 소개하고 이 연구에서 제안된 알고리즘을 설명 한다. 제작된 소프트웨어를 사용한 메시지를 숨긴 사례를 들어서 이 방법이 실질적인 기법이라는 것을 보인다.

• 정보보호학회논문지
• /
• 제26권2호
• /
• pp.387-396
• /
• 2016

디지털 기기의 사용이 늘어나면서 저장매체에 남아있는 각종 디지털 정보를 분석하여 범죄 단서를 찾는 디지털 포렌식 기술이 나날이 발전하고 있다. 또한 디지털 포렌식 기술과 더불어 안티 포렌식 기술도 발전하고 있다. 안티 포렌식 기술 중 분석을 어렵게 할 목적으로 사용 흔적 삭제 도구를 이용하여 로그파일 또는 웹브라우저 흔적을 삭제하기도 한다. 만약 사이버 범죄 수사 시 삭제되거나 손상된 데이터가 수사진행에 중요한 단서가 될 수 있다면 삭제되거나 손상된 데이터에 대한 복구는 매우 중요하다. 현재까지 이벤트 로그를 이용하여 다른 파일이나 파일 시스템을 복구하는 방식에 대한 연구는 많이 진행되었으나 이벤트 로그 자체를 복구하는 방법에 대한 연구는 미흡하다. 본 논문에서는 삭제되거나 손상된 이벤트 로그(EVTX) 파일의 복구 알고리즘을 제안하고, 실험을 통해 제안한 알고리즘의 높은 복구율을 확인한다.