• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2020년도 제61차 동계학술대회논문집 28권1호
• /
• pp.177-180
• /
• 2020

윈도우즈(Windows)에는 서버 메시지 블록(SMB :Server Message Block) 프로토콜을 이용하여 폴더(Folder)를 공유(Share)할 수 있는 기능을 제공 하고 있다. SMB 프로토콜은 네트워크 상 존재하는 노드들 간에 자원을 공유할 수 있도록 설계된 프로토콜이다. 주로 네트워크에 연결된 컴퓨터끼리 파일, 프린터, 포트 또는 기타 메시지를 주고받는데 사용된다. 하지만 이 기능은 대부분 사람들이 잘 알지 못하고 설정 방법을 몰라 사용 하지 않는 경우가 많다. 본 논문에서는 이 공유 폴더 기능을 보다 쉽고 빠르게 설정 할 수 있도록 공유 폴더 기능 향상을 위한 도우미를 설계하고 구현 한다.

• 정보보호학회논문지
• /
• 제30권3호
• /
• pp.389-396
• /
• 2020

독특하게도 WannaCryptor는 사용자 데이터를 암호화하고 이를 복구하려면 돈을 요구하는 랜섬웨어임에도 불구하고 Windows 운영체제의 공유 폴더 취약점을 이용하여 스스로 확산하는 인터넷 웜과 같은 특징을 가진다. 본 논문에서는 기존 랜섬웨어와는 차별화되는 WannaCryptor의 확산 방식에 초점을 맞추어 확산을 분석하고 예측한다. 이를 위하여 가상 환경에서 동작 실험을 진행하였고, 확산 예측 모델링을 통하여 다양한 환경에서 WannaCryptor 확산의 양상을 분석하였다.

• Journal of Information Processing Systems
• /
• 제17권4호
• /
• pp.772-786
• /
• 2021

The process of tracking suspicious behavior manually on a system and gathering evidence are labor-intensive, variable, and experience-dependent. The system logs are the most important sources for evidences in this process. However, in the Microsoft Windows operating system, the action events are irregular and the log structure is difficult to audit. In this paper, we propose a model that overcomes these problems and efficiently analyzes Microsoft Windows logs. The proposed model extracts lists of both common and key events from the Microsoft Windows logs to determine detailed actions. In addition, we show an approach based on the proposed model applied to track illegal file access. The proposed approach employs three-step tracking templates using Elastic Stack as well as key-event, common-event lists and identify event lists, which enables visualization of the data for analysis. Using the three-step model, analysts can adjust the depth of their analysis.

• 정보보호학회논문지
• /
• 제28권3호
• /
• pp.591-603
• /
• 2018

윈도우 이벤트 로그는 윈도우 운영체제에서 시스템 로그를 기록하는 형식이며, 시스템 운영에 대한 정보를 체계적으로 관리한다. 이벤트는 시스템 자체 또는 사용자의 특정 행위로 인해 발생할 수 있고, 특정 이벤트 로그는 기업 보안 감사, 악성코드 탐지 등에 사용될 수 있다. 본 논문에서는 기업 보안 감사 및 악성코드 탐지와 관련된 이벤트 로그(외부장치 연결, 응용 프로그램 설치, 공유 폴더 사용, 프린터 사용, 원격 연결/해제, PC 시작/종료, 로그온/오프, 절전모드, 네트워크 연결/해제, 이벤트 로그 삭제, 시스템 시간 변경, 파일/레지스트리 조작, 프로세스 생성, DNS 질의, 윈도우 서비스 추가)들을 선정하고, 발생하는 이벤트 ID를 분류 및 분석하였다. 또한, 기존의 이벤트 로그 분석도구는 EVTX 파싱 기능만을 포함하고 있어 이를 포렌식 수사에 이용할 경우 사용자의 행적을 추적하기 어렵다. 이에 본 연구에서 새로운 분석도구를 구현하였으며, EVTX 파싱과 행위 분석이 가능하다.