• 정보보호학회논문지
• /
• 제21권2호
• /
• pp.71-82
• /
• 2011

라이브 포렌식은 하드디스크 파일시스템 분석으로 획득할 수 없는 메모리 내의 활성 데이터를 얻을 수 있다는 장점으로 인해 최근의 포렌식 조사 시 활용되고 있다. 하지만 기존의 라이브 포렌식은 활성 시스템에서 시스템 정보를 획득하기 위한 명령어 기반의 도구를 사용함으로써, 악성코드에 의한 변조된 결과 획득 및 재분석이 용이하지 못한 단점을 가지고 있다. 따라서 본 논문은 시스템 조사 도구를 이용한 라이브 포렌식의 단점을 보완하기 위한 윈도우즈커널 객체 구조 설명 및 분석 방법을 설명한다. 또한, 이를 활용하기 위한 도구를 설계 및 구현하였고, 실험 결과를 통해 그 효과를 입증한다.

• 사물인터넷융복합논문지
• /
• 제9권3호
• /
• pp.7-12
• /
• 2023

디지털 포렌식에서 가장 중요하게 여기는 특징 중 하나는 무결성이다. 무결성은 데이터가 변조되지 않았음을 의미한다. 디지털 포렌식 과정에서 증거를 수집하는데 이 증거가 나중에 변조되었다면 증거로 사용될 수 없다. 아날로그 증거물은 사진을 찍어놓는 방식 등을 통해 변조된 사실을 쉽게 파악할 수 있다. 그러나 저장매체 속의 데이터 즉, 디지털 증거는 눈에 보이지 않기 때문에 변조되었는지 알기가 어렵다. 그래서 이 증거 데이터가 증거 수집 단계에서 법정 제출까지의 과정 중 변조가 되지 않았음을 증명하기 위해 해시값을 사용한다. 해시값은 증거 수집 단계에서 저장 데이터로부터 수집한다. 그러나 NAND 플래시 메모리는 내부적인 동작의 특성 때문에 시간이 지나면 물리적 데이터 형상이 수집 단계와 달라질 수 있다. 본 논문에서는 고의적인 데이터 훼손을 시도하지 않더라도 플래시 메모리의 물리적 형상이 변경될 수 있는 플래시 메모리의 특성 및 기술들을 연구한다.

• 정보보호학회논문지
• /
• 제21권4호
• /
• pp.89-100
• /
• 2011

그간 디지털 포렌식의 활성 시스템 분석 분야의 한 화두는 물리 메모리 이미지 분석이었다. 물리 메모리 분석은 프로세스를 은닉을 하더라도 그 데이터를 물리 메모리에서 확인할 수 있고 메모리에 존재하는 사용자의 행위를 발견할 수 있어 분석 결과의 신뢰성을 높이는 등 디지털 포렌식 분석에 큰 도움이 되고 있다. 하지만 메모리 분석 기술 대부분이 윈도우 운영체제 환경에 초점이 맞추어져 있다. 이는 분석 대상의 다양성을 고려하였을 때 타 운영체제에 대한 메모리 분석이 필요하게 되었음을 의미한다. Mac OS X는 윈도우에 이어 두 번째로 높은 점유율을 가진 운영체제로 부팅 시 커널 이미지를 물리 메모리에 로딩하면서 운영체제가 구동하고 주요 정보를 커널이 관리한다. 본 논문은 Mac OS X의 커널 이미지가 저장하고 있는 심볼 정보를 이용한 물리 메모리 분석 방법을 제안하고, 제안한 내용을 토대로 물리 메모리 이미지에서 프로세스 정보와 마운트된 장치 정보, 커널 버전 정보, 외부 커널 모듈정보(KEXT)와 시스템 콜 목록 정보의 추출 방법을 보인다. 추가적으로 사례 분석을 통해 물리 메모리 분석의 효용성을 입증한다.

• 정보보호학회논문지
• /
• 제24권5호
• /
• pp.861-870
• /
• 2014

악성코드의 지능화에 따라 물리 메모리에서 실행 파일을 추출하는 것이 중요한 연구 이슈로 부각되고 있다. 물리 메모리에서 파일 데이터를 추출하는 경우 일반적으로 프로그램 실행과정에서 사용 중인 파일 데이터를 추출하기 때문에 원본 파일 데이터가 추출되지 않는 문제점이 있다. 따라서 물리 메모리에 저장되는 파일 정보를 분석하고 이를 기반으로 디스크에 저장된 파일과 동일하게 추출하는 방법이 요구된다. 본 논문에서는 윈도우 파일 오브젝트 커널 정보 분석을 통한 실행 파일 데이터 추출 방법을 제시한다. 실험을 통해 물리 메모리에 저장되어있는 실행 파일 데이터 특징을 분석하고, 기존 방법과 비교하여 원본 파일 데이터를 효과적으로 추출함으로써 제안 방법의 우수함을 증명한다.

• 융합보안논문지
• /
• 제23권5호
• /
• pp.45-55
• /
• 2023

IT 기술의 발전으로 따른 디지털 기기 사용의 보편화와 함께, 익명 통신 기술의 규모 또한 기하급수적으로 증가하고 있다. 이러한 상황에서 특히, 다크 웹(Dark web)과 딥웹(Deep web) 등 익명성을 보장하는 보안 메신저가 디지털 범죄의 온상지가 되고 있다. 익명 네트워크를 이용한 범죄 행위는 사용 기기에 로컬 데이터를 거의 남기지 않아 행위 추적이 어렵다. 미국 연방형사소송규칙과 영국 수사권한법에서는 온라인 수색 관련 법 및 제도 도입을 통해 대응하고 있으나, 한국은 관련 법의 부재로 인하여 수사적 대응 또한 전무한 실정이다. 종래의 (해외에서 사용되는) 온라인 수색 기법은 프로세스가 종료되면 아티팩트(Artifact) 수집을 할 수 없고, 메모리에만 데이터를 저장하는 악성코드에 대응할 수 없으며, 민감 데이터 식별이 어렵고, 무결성이 침해된다는 기술적 한계가 확인된다. 본 논문에서는 기본권 침해를 최소화하는 방향에서 물리 메모리 데이터 분석을 통한 익명 네트워크 사용자 행위 추적 기반 블록체인 범죄 수사방식의 국내 도입 방안을 제안한다. 클로링을 통해 수집한 다크 웹 사이트 사용자의 행위를 추적해 물리 메모리의 잔존율과 77.2%의 합의 성공률을 확인함으로써 제안 방안의 수사로서의 실효성을 입증하고자 하였다.

• 한국방송∙미디어공학회:학술대회논문집
• /
• 한국방송공학회 2008년도 동계학술대회
• /
• pp.103-106
• /
• 2008

물리 메모리 영역에는 증거로 활용될 수 있는 프로세스 정보와 이름, ID, 비밀 번호, 전자 메일 주소 등의 정보를 담고 있다. 또 용의자가 행위를 감추기 위해 안티 포렌식 기법을 사용하여 저장매체 상에서 완전 삭제한 파일의 잔여 데이터를 취득할 수 있는 가능성이 있다. 하드 디스크와 같은 저장 매체의 경우 증거 수집 절차시 Hash와 같은 무결성 보장 과정을 거쳐 복사본의 유효성 확인이 가능하지만 물리 메모리 영역의 경우 운용 중인 시스템에서 발생하는 운영체제와 응용 프로그램의 동작에 의한 지속적인 데이터의 변화로 무결성 및 동일한 대상에서 수집되었다는 것을 확인하기 어렵고 소프트웨어 기반의 수집은 시스템의 상태를 변화 시킨다. 본 논문에서는 물리 메모리 영역 수집 기법을 알아보고 IEEE1394의 특성을 이용한 하드웨어 기반 물리 메모리 영역 수집 도구를 구현하였다. 또 수집된 물리 메모리 덤프를 이용하여 물리 메모리에서 얻을 수 있는 정보를 확인하고 동일 대상의 메모리와 다른 대상의 메모리를 비교하여 그 차이를 확인한다.

• 정보처리학회논문지C
• /
• 제19C권1호
• /
• pp.1-8
• /
• 2012

최근 초고속 통신망의 발달과 클라우드 컴퓨팅 기술을 활용한 온 디멘드(On-demand)형 소프트웨어 SaaS(Software as a Service)의 사용이 크게 증가하고 있다. 하지만 이러한 클라우드 컴퓨팅 환경에 대한 디지털 포렌식은 현재 학문적, 실용적 체계화 수준이 미비한 실정이다. 또한 클라우드 환경의 특성상 사용자 행위에 의한 데이터가 로컬 시스템에 거의 남지 않고, 원격지 서버에 분산 저장되기 때문에 디지털 포렌식 조사관점에서 많은 어려움이 따른다. SaaS는 기본적으로 웹을 통해 접속하는 서비스 형태이기 때문에, 클라이언트관점에서 History files, Cookie files, Temporary Internet Files, 물리메모리 등의 분석이 중요하다. 본 논문에서는 현재 널리 쓰이는 SaaS를 선정하여, 클라우드 컴퓨팅 서비스 타입 중 하나인 SaaS 사용 흔적 분석 방안을 제시한다.