• 정보보호학회논문지
• /
• 제21권2호
• /
• pp.71-82
• /
• 2011

라이브 포렌식은 하드디스크 파일시스템 분석으로 획득할 수 없는 메모리 내의 활성 데이터를 얻을 수 있다는 장점으로 인해 최근의 포렌식 조사 시 활용되고 있다. 하지만 기존의 라이브 포렌식은 활성 시스템에서 시스템 정보를 획득하기 위한 명령어 기반의 도구를 사용함으로써, 악성코드에 의한 변조된 결과 획득 및 재분석이 용이하지 못한 단점을 가지고 있다. 따라서 본 논문은 시스템 조사 도구를 이용한 라이브 포렌식의 단점을 보완하기 위한 윈도우즈커널 객체 구조 설명 및 분석 방법을 설명한다. 또한, 이를 활용하기 위한 도구를 설계 및 구현하였고, 실험 결과를 통해 그 효과를 입증한다.

• 정보보호학회논문지
• /
• 제34권2호
• /
• pp.179-192
• /
• 2024

macOS는 Apple 사의 제품군에서만 사용할 수 있고 독자적인 시스템 구조, 비공개 커널, 시스템 무결성 보호를 위한 SIP(System Integrity Protection) 등의 보안 기능 등으로 인해 기존에 알려진 메모리 데이터 수집 도구들이 실제로는 제대로 작동하지 않거나 시스템 재부팅을 필수적으로 동반해야 한다는 문제가 있다. 따라서 본 논문은 macOS와 관련된 메모리 포렌식 관련 연구들과 알려진 도구들의 현황 및 한계점을 분석하고 다양한 macOS버전을 대상으로 메모리 수집과 분석을 위한 방법을 연구했다. 그 결과 OSXPmem과 dd 도구를 사용하여 시스템 재부팅 없이 메모리 데이터를 수집하고 Volatility 2, 3를 활용하여 메모리 데이터를 분석하는 디지털 포렌식 조사에서 실무적으로 활용할 수 있는 메모리 수집 및 분석 프로세스를 개발했다.

• 인터넷정보학회논문지
• /
• 제25권3호
• /
• pp.1-8
• /
• 2024

As the Internet of Things (IoT) has gained significant prominence in our daily lives, most IoT devices rely on over-the-air technology to automatically update firmware or software remotely via the network connection to relieve the burden of manual updates by users. And preserving security for OTA interface is one of the main requirements to defend against potential threats. This paper presents a simulation of an attack scenario on the commoditized System-on-a-chip, ESP32 chip, utilized for drones during their OTA update process. We demonstrate three types of attacks, WiFi cracking, ARP spoofing, and TCP SYN flooding techniques and postpone the OTA update procedure on an ESP32 Drone. As in this scenario, unpatched IoT devices can be vulnerable to a variety of potential threats. Additionally, we review the chip to obtain traces of attacks from a forensics perspective and acquire memory forensic artifacts to indicate the SYN flooding attack.

• The Korean Journal of Legal Medicine
• /
• 제42권4호
• /
• pp.146-152
• /
• 2018

We investigated the neural correlates of accurate eyewitness memory retrieval using functional near-infrared spectroscopy. We analyzed oxygenated hemoglobin ($HbO_2$) concentration in the prefrontal cortex during eyewitness memory retrieval task and examined regional $HbO_2$ differences between observed objects (target) and unobserved objects (lure). We found that target objects elicited increased activation in the bilateral ventrolateral prefrontal cortex, which is known for monitoring retrieval processing via bottom-up attentional processing. Our results suggest bottom-up attentional mechanisms could be different during accurate eyewitness memory retrieval. These findings indicate that investigating retrieval mechanisms using functional near-infrared spectroscopy might be useful for establishing an accurate eyewitness recognition model.

• 한국정보과학회논문지:데이타베이스
• /
• 제37권6호
• /
• pp.292-299
• /
• 2010

최근 플래시 메모리가 디지털 기기의 저장장치로 널리 사용됨에 따라 플래시 메모리에서 디지털 증거를 분석하기 위한 디지털 포렌식의 필요성이 증가하고 있다. 이를 위해 플래시 메모리에 저장되어 있는 파일을 효율적으로 복구하는 것이 매우 중요하다. 그러나 기존의 하드 디스크 기반 파일 복구 기법을 플래시 메모리에 그대로 적용하기에는 너무나 비효율적이다. 덮어쓰기 불가능과 같이 플래시 메모리는 하드 디스크와 전혀 다른 특성을 가지기 때문이다. 본 논문에서 디지털 포렌식을 지원하기 위한 플래시 메모리를 잘 이해하는 파일 복구 기법을 제안한다. 첫째, 플래시 메모리 저장장치로부터 복구 가능한 모든 파일들을 효과적으로 검색하는 방법을 제안한다. 이것은 플래시 메모리의 쓰기 연산을 담당하는 FTL(Flash Translation Layer)의 메타데이터를 최대한 활용한다. 둘째, 복구 대상 파일들 중에서 특정 파일을 효율적으로 복구할 수 있는 기법을 제안하며, 이를 위해 FTL의 사상 테이블의 위치 정보를 이용한다. 다양한 실험을 통해 본 논문에 제안하는 기법이 기존의 하드 디스크 기반 파일 복구 기법보다 우수함을 보인다.

• The Korean Journal of Legal Medicine
• /
• 제39권4호
• /
• pp.115-119
• /
• 2015

We investigated event-related potentials (ERPs) to estimate the accuracy of eyewitness memories. Participants watched videos of vehicles being driven dangerously, from an anti-impaired driving initiative. The four-letter license plates of the vehicles were the target stimuli. Random numbers were presented while participants attempted to identify the license plate letters, and electroencephalograms were recorded. There was a significant difference in activity 300-500 milliseconds after stimulus onset, between target stimuli and random numbers. This finding contributes to establishing an eyewitness recognition model where different ERP components may reflect more explicit memory that is dissociable from recollection.

• 정보보호학회논문지
• /
• 제21권4호
• /
• pp.89-100
• /
• 2011

그간 디지털 포렌식의 활성 시스템 분석 분야의 한 화두는 물리 메모리 이미지 분석이었다. 물리 메모리 분석은 프로세스를 은닉을 하더라도 그 데이터를 물리 메모리에서 확인할 수 있고 메모리에 존재하는 사용자의 행위를 발견할 수 있어 분석 결과의 신뢰성을 높이는 등 디지털 포렌식 분석에 큰 도움이 되고 있다. 하지만 메모리 분석 기술 대부분이 윈도우 운영체제 환경에 초점이 맞추어져 있다. 이는 분석 대상의 다양성을 고려하였을 때 타 운영체제에 대한 메모리 분석이 필요하게 되었음을 의미한다. Mac OS X는 윈도우에 이어 두 번째로 높은 점유율을 가진 운영체제로 부팅 시 커널 이미지를 물리 메모리에 로딩하면서 운영체제가 구동하고 주요 정보를 커널이 관리한다. 본 논문은 Mac OS X의 커널 이미지가 저장하고 있는 심볼 정보를 이용한 물리 메모리 분석 방법을 제안하고, 제안한 내용을 토대로 물리 메모리 이미지에서 프로세스 정보와 마운트된 장치 정보, 커널 버전 정보, 외부 커널 모듈정보(KEXT)와 시스템 콜 목록 정보의 추출 방법을 보인다. 추가적으로 사례 분석을 통해 물리 메모리 분석의 효용성을 입증한다.

• 정보보호학회논문지
• /
• 제22권4호
• /
• pp.827-839
• /
• 2012

휴대폰은 개인의 생활과 가장 밀접한 디지털 기기로 디지털 포렌식 수사 시에 반드시 고려해야 할 대상이 되고 있다. 최근에는 스마트폰의 사용이 증가하고 있는데, 스마트폰은 피처폰과는 달리 일반 PC와 유사한 고성능의 운영체제(Android, iOS 등)를 사용하면서 다양한 모바일 앱(app)을 통해 사용자에게 여러 가지 기능을 제공하는 특징이 있다. 디지털 포렌식 관점에서 스마트폰의 사용 흔적을 수집하고 분석하는 것이 중요해짐에 따라서 전세계적으로 스마트폰 포렌식에 관한 연구가 활발하게 이루어지고 있다. 스마트폰 내의 데이터를 분석하기 위해서는 백업 또는 디버깅 기능을 이용하여 사용자 파일을 추출하거나, 운영체제의 루트(root) 권한을 획득하여 플래시 메모리에 대한 이미지를 수집한 후에 파일시스템(YAFFS, EXT, RFS, HFS+ 등)을 재구성하여 분석하는 방법을 사용할 수 있다. 그러나 이와 같은 방법은 정상적으로 존재하는 파일 이외에 삭제되거나 플래시 메모리 페이지의 데이터가 수정되면서 생성될 수 있는 잉여 데이터에 대한 분석에는 한계가 있다. 본 논문에서는 스마트폰으로부터 획득한 플래시 메모리 이미지 내의 단편화된 페이지(fragmented pages)를 분석하는 기법을 소개한다. 이를 통해 플래시 메모리 페이지의 스페어 영역(spare area)이 없어서 파일시스템의 재구성이 불가능한 이미지 또는 정상적인 파일시스템의 비할당 영역에 속하는 임의의 페이지들에 대한 효과적인 분석 방법을 제시한다.

• 정보학연구
• /
• 제10권4호
• /
• pp.41-56
• /
• 2007

In Digital Computing Environment, volatile information such as register, cache memory, and network information are hard to make certain of a real-time collection because such volatile information are easily modified or disappeared. Thus, a collection of volatile information is one of important step for computer forensics system on ubiquitous computing. In this paper, we propose a volatile information collection module, which collects variable volatile information of server system based on memory mapping in real-time.

• 한국콘텐츠학회:학술대회논문집
• /
• 한국콘텐츠학회 2008년도 춘계 종합학술대회 논문집
• /
• pp.507-513
• /
• 2008

디지털 콘텐츠 컴퓨팅 환경에서 서비스를 제공하는 서버시스템의 레지스터, 캐시메모리, 네트워크 정보 등의 휘발성 정보는 침해사고 이후 시간의 경과나 외부의 조작으로 사라지거나 변조되기 쉽기 때문에 실시간으로 확보하는 것이 중요하다. 본 논문에서는 디지털 콘텐츠 컴퓨팅 환경의 서버 시스템에서 휘발성 정보를 메모리를 기반으로 수집하는 기법을 활용하여 동작 중인 서버에서 위급상황이 발생할 시 필요한 정보를 실시간으로 수집할 수 있는 휘발성 정보 수집 모듈을 제안한다.