• 정보보호학회논문지
• /
• 제33권4호
• /
• pp.671-685
• /
• 2023

인공지능이 이미지 편집 기술에 적용되어 조작 흔적이 거의 없는 고품질 이미지를 생성할 수 있게 되었다. 그러나 이러한 기술들은 거짓 정보 유포, 증거 인멸, 사실 부인 등의 범죄 행위에 악용될 수 있기 때문에 이에 대응하기 위한 방안이 필요하다. 본 연구에서는 이미지 조작을 탐지하기 위해 이미지 파일 분석과 모바일 포렌식 아티팩트 분석을 수행한다. 이미지 파일 분석은 조작된 이미지의 메타데이터를 파싱하여 Reference DB와 비교분석을 통해 조작여부를 탐지하는 방법이다. Reference DB는 이미지의 메타데이터에 남는 조작 관련 아티팩트를 수집하는 데이터베이스로서, 이미지 조작을 탐지하는 기준이 된다. 모바일 포렌식 아티팩트 분석은 이미지 편집 도구와관련된 패키지를 추출하고 분석하여 이미지 조작을 탐지하도록 한다. 본 연구에서 제안하는 방법론은 기존의 그래픽적 특징기반 분석의 한계를 보완하고, 이미지 처리 기법과 조합하여 오탐을 줄일 수 있도록 한다. 연구 결과는 이러한 방법론이 디지털 포렌식 조사 및 분석에 유의미하게 활용될 수 있음을 보여준다. 또한, 조작된 이미지 데이터셋과 함께 이미지 메타데이터 파싱 코드와 Reference DB를 제공하여 관련 연구에 기여하고자 한다.

• 디지털산업정보학회논문지
• /
• 제15권4호
• /
• pp.111-116
• /
• 2019

The digital forensic analysis ensures the integrity of confiscated data by calculating hash values for seizure and search of digital evidence and receiving confirmation and signature from participants. However, evidence that is irrelevant to the alleged offense needs to be deleted even after seizure from the point of view of privacy. But the hash value is altered by deleting the irrelevant data from the image file, one will not be able to prove that the file is in the initial state when it was seized. Therefore, in this paper, a study was conducted to support the integrity of the digital evidence, even if some of the seized digital evidence was deleted or damaged during the seizure search. The hash value of each data is calculated and hash value of the combination of hash values are also calculated. Even if the unrelated evidence is deleted from the seized evidence regardless of file system such as FAT or NTFS, the suggested method presented a way to provide the integrity that proves there is no change in the evidence file.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제16권9호
• /
• pp.3068-3086
• /
• 2022

Digital Forensics is gaining popularity in adjudication of criminal cases as use of electronic gadgets in committing crime has risen. Traditional approach to collecting digital evidence falls short when the disk is encrypted. Encryption keys are often stored in RAM when computer is running. An approach to acquire forensic data from RAM when the computer is shut down is proposed. The approach requires that the investigator immediately cools the RAM and transplant it into a host computer provisioned with a tool developed based on cold boot concept to acquire the RAM image. Observation of data obtained from the acquired image compared to the data loaded into memory shows the RAM chips exhibit some level of remanence which allows their content to persist after shutdown which is contrary to accepted knowledge that RAM loses its content immediately there is power cut. Results from experimental setups conducted with three different RAM chips labeled System A, B and C showed at a reduced temperature of -25C, the content suffered decay of 2.125% in 240 seconds, 0.975% in 120 seconds and 1.225% in 300 seconds respectively. Whereas at operating temperature of 25℃, there was decay of 82.33% in 60 seconds, 80.31% in 60 seconds and 95.27% in 120 seconds respectively. The content of RAM suffered significant decay within two minutes without power supply at operating temperature while at a reduced temperature less than 5% decay was observed. The findings show data can be recovered for forensic evidence even if the culprit shuts down the computer.

• 전자공학회논문지
• /
• 제52권6호
• /
• pp.79-84
• /
• 2015

디지털 영상의 배포에서, 위 변조자에 의해 영상이 변조되는 심각한 문제가 있다. 이러한 문제를 해결하기 위하여, 본 논문에서는 영상의 픽셀값 경사도에 따른 특징벡터를 이용한 미디언 필터링 영상 포렌식 판정 알고리즘을 제안한다. 제안된 알고리즘에서, 원영상의 픽셀값 경사도로부터 자기회귀 계수를 1~6차까지의 6 Dim.을 계산한다. 그리고 경사도를 Poisson 방정식의 해에 의한 재구성 영상과 원영상과의 차영상으로 부터, 4 Dim. (평균값, 최대값 그리고 최대값의 좌표 i,j)의 특징벡터를 추출한다. 2 종류의 특징벡터는 10 Dim.으로 조합되어 변조된 영상의 미디언 필터링 (Median Filtering: MF) 검출기의 SVM (Support Vector Machine) 분류를 위한 학습에 사용된다. 제안된 미디언 필터링 검출 알고리즘은 동일 10 Dim. 특징벡터의 MFR (Median Filter Residual) 스킴과 비교하여 원영상, 평균필터링 ($3{\times}3$) 영상 그리고 JPEG (QF=90) 영상에서는 성능이 우수하며, Gaussian 필터링 ($3{\times}3$) 영상에서는 성능이 다소 낮지만, 성능평가 전체항목에서 민감도 (Sensitivity; TP: True Positive rate)와 1-특이도 (1-Specificity; FP: False Positive rate)의 AUC (Area Under Curve)가 모두 1에 수렴하여 'Excellent (A)' 등급임을 확인하였다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제6권2호
• /
• pp.75-86
• /
• 2017

오늘날 다양한 서버 내 가상화 기술 중 도커(Docker)는 기존의 방식보다 경량화된 서비스 운영 환경을 제공함으로써 많은 기업 환경에 도입되고 있다. 도커는 이미지, 컨테이너 개념을 통해 서버 환경 구축, 업데이트, 이동을 효율적으로 할 수 있게 지원한다. 도커가 많이 보급될수록 도커 이미지를 배포하는 서버나 도커 기반의 호스트에 대한 공격 유인이 증가할 것이다. 이에 본 논문에서 도커 데몬이 비활성화 된 상태에서도 컨테이너의 파일 시스템을 추출할 수 있는 방안을 포함하여 도커를 사용하는 호스트에 대한 포렌식 조사 기법과 그 절차를 제시하였다.

• 전자공학회논문지
• /
• 제54권5호
• /
• pp.42-47
• /
• 2017

본 논문에서는 디지털 영상의 배포에서, 위 변조에 사용되는 미디언 필터링 (Median Filtering : MF)을 분류하는 포렌식 검출 알고리즘을 제안한다. 이러한 문제를 해결하기 위한 특징벡터는 영상의 에지 검출량 정보 32, 64, 128에 대한 허프변환(Hough Transform)에 의하여, 각 허프라인 (Hough Line)의 양끝 좌표값과 Angle-Distance 좌표상의 허프픽크치 (Hough Peaks)를 조합하여 42-Dim.으로 구성하였다. 변조된 영상들 중에서 미디언 필터링을 분류하는 검출기는 SVM (Support Vector Machine)에서 특징벡터를 학습하여 구현되었다. 제안된 미디언 필터링 검출 알고리즘은 특징벡터의 길이가 10-Dim.의 MFR (Median Filtering Residual) 스킴 및 686-Dim.의 SPAM (Subtractive Pixel Adjacency Matrix) 스킴과 비교하여 원영상, 평균필터링 ($3{\times}3$), JPEG (QF=90, 70) 압축, 가우시안 필터링 ($3{\times}3$, $5{\times}5$) 영상 모두에서 미디언 필터링의 포렌식 분류율이 99% 이상의 성능을 확인하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2007년도 추계학술발표대회
• /
• pp.298-299
• /
• 2007

웹 서버에서 로그파일은 웹 서버에 대한 접속정보를 저장한다. 이 정보를 분석하면 웹 서비스를 하는데 있어서 서비스의 질을 높이는데 좋은 참고자료가 될 뿐 아니라 웹 서버에 이상이 생겼을 경우 발생한 오류를 조기에 발견하는 데에도 사용되는 중요한 자료이다. 현재 이러한 로그파일은 텍스트 파일로 저장이 되어있으며 오랜 시간이 지나 그 웹 페이지가 삭제되었을 경우 로그파일에 기록된 그 시각의 웹 페이지를 찾아보기가 어렵다. 본 연구에서는 로그파일에 기록된 그 시각의 웹 페이지의 이미지를 저장하는 방법으로 이러한 단점을 보안하고 오랜 시간이 지난 후에도 그 웹 페이지를 볼 수 있는 방법을 제안한다. 이 아이디어가 구현되어 실현되면 또한 Digital Forensic 으로써 범죄 수사에도 많은 도움이 될뿐만 아니라 휴대전화로 풀 인터넷 브라우징이 가능한 풀브라우저에도 적용될 수 있다.

• Journal of Electrical Engineering and Technology
• /
• 제10권4호
• /
• pp.1886-1898
• /
• 2015

In today’s era of advanced technological developments, the threats to the authenticity and integrity of digital images, in a nutshell, the threats to the Image Forensics Research communities have also increased proportionately. This happened as even for the ‘non-expert’ forgers, the availability of image processing tools has become a cakewalk. This image forgery poses a great problem for judicial authorities in any context of trade and commerce. Block matching based image cloning detection system is widely researched over the last 2-3 decades but this was discouraged by higher computational complexity and more time requirement at the algorithm level. Thus, for reducing time need, various dimension reduction techniques have been employed. Since a single technique cannot cope up with all the transformations like addition of noise, blurring, intensity variation, etc. we employ multiple techniques to a single image. In this paper, we have used Fuzzy logic approach for decision making and getting a global response of all the techniques, since their individual outputs depend on various parameters. Experimental results have given enthusiastic elicitations as regards various transformations to the digital image. Hence this paper proposes Fuzzy based cloning detection and classification system. Experimental results have shown that our detection system achieves classification accuracy of 94.12%. Detection accuracy (DAR) while in case of 81×81 sized copied portion the maximum accuracy achieved is 99.17% as regards subjection to transformations like Blurring, Intensity Variation and Gaussian Noise Addition.

• 전자공학회논문지
• /
• 제51권3호
• /
• pp.75-81
• /
• 2014

디지털 영상의 배포에서, 저작권 침해자에 의해 영상이 불법으로 위 변조되어 유통되는 심각한 문제가 대두되어 있다. 이러한 문제를 해결하기 위하여, 본 논문에서는 위 변조된 디지털 영상의 에지 에너지 정보를 이용한 영상 포렌식 판정 알고리즘을 제안한다. 제안된 알고리즘은 SA (Streaking Artifacts)와 SPAM (Subtractive Pixel Adjacency Matrix)을 이용하여, 원 영상의 JPEG 압축률 (QF=90, 70, 50, 30)에 따른 에지정보와 질의영상의 에지정보를 추출하고, 이를 각각 비교하여 위 변조 여부를 판정한다. 원 영상과 질의영상의 에지정보 매칭은 JPEG 압축률 조합의 임계치 (TCJCR : Threshold by Combination of JPEG Compression Ratios)에 따라 이루어진다. 실험을 통하여, TP (True Positive)와 FN (False Negative)은 87.2%와 13.8%이며, 산출된 최소평균 판정 에러는 0.1349이다. 그리고 제안된 알고리즘의 성능평가에서 민감도 (Sensitivity)와 1-특이도(1-Specificity)의 AUROC (Area Under Receiver Operating Characteristic) 커브 면적은 0.9388로 'Excellent(A)' 등급임을 확인하였다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제5권12호
• /
• pp.491-498
• /
• 2016

최근 Windows PE와 같은 포터블 OS를 USB, CD/DVD 등의 이동식 저장매체에 저장하여 부팅하는 기법으로 기밀자료 및 내부정보가 유출되는 사례가 증가하고 있다. 이동식 저장매체를 이용한 이 부팅 기법은 타깃 PC에 설치된 USB 보안, 매체제어솔루션 등의 보안 소프트웨어의 우회가 가능하고, 부팅 후 PC의 저장매체를 마운트하여 정보 추출 및 악성코드 삽입 등의 행위가 가능하며, 이동식 저장매체의 사용흔적과 같은 로그기록이 남지 않는 특징이 있어 자료유출여부 확인과 역추적이 어렵다. 이에 본 논문에서는 플래시 메모리에서 BIOS 설정과 관련된 데이터가 기록되는 BIOS 펌웨어 이미지를 수집 및 분석하여 이상행위로 추정할 수 있는 이동식 저장매체를 이용한 부팅 흔적을 찾아 기업의 감사 또는 디지털 포렌식 수사를 수행하는데 도움이 될 수 있는 방안을 제시한다.