• 디지털산업정보학회논문지
• /
• 제15권4호
• /
• pp.111-116
• /
• 2019

The digital forensic analysis ensures the integrity of confiscated data by calculating hash values for seizure and search of digital evidence and receiving confirmation and signature from participants. However, evidence that is irrelevant to the alleged offense needs to be deleted even after seizure from the point of view of privacy. But the hash value is altered by deleting the irrelevant data from the image file, one will not be able to prove that the file is in the initial state when it was seized. Therefore, in this paper, a study was conducted to support the integrity of the digital evidence, even if some of the seized digital evidence was deleted or damaged during the seizure search. The hash value of each data is calculated and hash value of the combination of hash values are also calculated. Even if the unrelated evidence is deleted from the seized evidence regardless of file system such as FAT or NTFS, the suggested method presented a way to provide the integrity that proves there is no change in the evidence file.

• 사물인터넷융복합논문지
• /
• 제9권6호
• /
• pp.23-28
• /
• 2023

Windows 운영체제는 다양한 데이터를 타임스탬프와 함께 로깅한다. 타임스탬프 변조는 안티포렌식의 한 행위로 용의자가 범행과 관련된 데이터의 타임스탬프 조작을 통해 흔적을 숨겨 분석관이 사건의 상황 재현을 어렵게 하여 수사를 지연시키거나 중요한 디지털 증거 획득을 실패하게 만든다. 따라서 이를 대처하기 위해 타임스탬프 변조를 탐지하는 여러 기법이 개발되었다. 그러나 만일 용의자가 타임스탬프 패턴을 인지하고 정교하게 시간을 조작하거나 변조 탐지에 활용되는 시스템 아티팩트를 변경한다면 탐지가 어렵다는 한계점을 가지고 있다. 본 논문에서는 용의자가 파일의 타임스탬프를 조작하더라도 저장장치의 속도에 비례하여 1초 미만의 단위값까지를 고려한 정교한 변경이 어려움에 착안하여, 타임스탬프 변조를 탐지할 수 있는 기법을 설계하고자 한다. 설계한 탐지 기법에서는 우선 변조가 의심스러운 파일의 타임스탬프를 확인하여 해당 파일의 쓰기시간을 확인한다. 그다음 확인된 시간을 저장장치의 성능을 고려하여 시간 내에 기록된 파일 크기와 대조한다. 마지막으로 특정 시간에 파일이 쓰인 총용량을 구하고 저장장치의 최대 입출력 성능과 비교하여 파일의 변조 여부를 탐지한다.

• 융합정보논문지
• /
• 제10권5호
• /
• pp.23-29
• /
• 2020

최근 디지털 범죄 수사는 많은 범죄 현장에서 사용되고 있다. 범죄 현장에서는 다양한 전자 장치가 존재하며, 이러한 장치의 디지털포렌식(Digital Forensics) 결과는 중요한 증거로 사용된다. 특히, 디지털포렌식에서 사용자의 행동과 해당 행동이 발생한 시간은 매우 중요한 정보이다. 하지만 사용자의 행동이 기록되는 주기가 짧은 한계점을 가지고 있다. 이러한 특징은 실제 디지털포렌식의 제한 요소로 작용한다. 본 논문에서는 삭제된 사용자 행동 레코드를 복구하고 이를 디지털포렌식에 적용하였으며, 이전 조사 방법과 차이점을 비교하였다. 스토리지에 따라 복구 결과에는 차이가 존재하지만 복구 된 사용자의 동작이 디지털포렌식에 활용 될 때, 사용자 행위 기록이 최소 6%에서 최대 539%로 증가하는 결과를 보여준다.