• 정보보호학회논문지
• /
• 제21권2호
• /
• pp.71-82
• /
• 2011

라이브 포렌식은 하드디스크 파일시스템 분석으로 획득할 수 없는 메모리 내의 활성 데이터를 얻을 수 있다는 장점으로 인해 최근의 포렌식 조사 시 활용되고 있다. 하지만 기존의 라이브 포렌식은 활성 시스템에서 시스템 정보를 획득하기 위한 명령어 기반의 도구를 사용함으로써, 악성코드에 의한 변조된 결과 획득 및 재분석이 용이하지 못한 단점을 가지고 있다. 따라서 본 논문은 시스템 조사 도구를 이용한 라이브 포렌식의 단점을 보완하기 위한 윈도우즈커널 객체 구조 설명 및 분석 방법을 설명한다. 또한, 이를 활용하기 위한 도구를 설계 및 구현하였고, 실험 결과를 통해 그 효과를 입증한다.

• 정보보호학회논문지
• /
• 제21권4호
• /
• pp.89-100
• /
• 2011

그간 디지털 포렌식의 활성 시스템 분석 분야의 한 화두는 물리 메모리 이미지 분석이었다. 물리 메모리 분석은 프로세스를 은닉을 하더라도 그 데이터를 물리 메모리에서 확인할 수 있고 메모리에 존재하는 사용자의 행위를 발견할 수 있어 분석 결과의 신뢰성을 높이는 등 디지털 포렌식 분석에 큰 도움이 되고 있다. 하지만 메모리 분석 기술 대부분이 윈도우 운영체제 환경에 초점이 맞추어져 있다. 이는 분석 대상의 다양성을 고려하였을 때 타 운영체제에 대한 메모리 분석이 필요하게 되었음을 의미한다. Mac OS X는 윈도우에 이어 두 번째로 높은 점유율을 가진 운영체제로 부팅 시 커널 이미지를 물리 메모리에 로딩하면서 운영체제가 구동하고 주요 정보를 커널이 관리한다. 본 논문은 Mac OS X의 커널 이미지가 저장하고 있는 심볼 정보를 이용한 물리 메모리 분석 방법을 제안하고, 제안한 내용을 토대로 물리 메모리 이미지에서 프로세스 정보와 마운트된 장치 정보, 커널 버전 정보, 외부 커널 모듈정보(KEXT)와 시스템 콜 목록 정보의 추출 방법을 보인다. 추가적으로 사례 분석을 통해 물리 메모리 분석의 효용성을 입증한다.

• 융합보안논문지
• /
• 제6권3호
• /
• pp.59-67
• /
• 2006

최근 개인 PC 해킹과 경제적 이익을 목적으로 하는 게임 해킹이 급증하면서 윈도우즈 시스템을 대상으로 하는 특정 목적의 악성코드들이 늘어나고 있다. 악성코드가 은닉 채널 사용이나 개인 방화벽과 같은 보안 제품 우회, 시스템 내 특정 정보를 획득하기 위한 기술로 대상 프로세스의 메모리 내에 코드나 DLL을 삽입하는 기술이 보편화되었다. 본 논문에서는 대상 프로세스의 메모리 영역에 코드를 삽입하여 실행시키는 기술에 대해 분석한다. 또한 피해 시스템에서 실행중인 프로세스 내에 인젝션 된 DLL을 추출하기 위해 파일의 PE 포맷을 분석하여 IMPORT 테이블을 분석하고, 실행중인 프로세스에서 로딩중인 DLL을 추출하여 명시적으로 로딩된 DLL을 추출하고 분석하는 기법에 대해 설명하였다. 인젝션 기술 분석과 이를 추출하는 기술을 통해 피해시스템 분석시 감염된 프로세스를 찾고 분석하는 시발점이 되는 도구로 사용하고자 한다.

• 대한치매학회지
• /
• 제22권4호
• /
• pp.148-157
• /
• 2023

Background and Purpose: Episodic memory is a system that receives and stores information about temporally dated episodes and their interrelations. Our study aimed to investigate the relevance of episodic memory to time perception, with a specific focus on simultaneity/order judgment. Methods: Experiment 1 employed the simultaneity judgment task to discern differences in time perception between patients with mild cognitive impairment or dementia, and age-matched normals. A mathematical analysis capable of estimating subjects' time processing was utilized to identify the sensory and decisional components of temporal order and simultaneity judgment. Experiment 2 examined how differences in temporal perception relate to performance in temporal order memory, in which time delays play a critical role. Results: The temporal decision windows for both temporal order and simultaneity judgments exhibited marginal differences between patients with episodic memory impairment, and their healthy counterparts (p = 0.15, t(22) = 1.34). These temporal decision windows may be linked to the temporal separation of events in episodic memory (Pearson's ρ = -0.53, p = 0.05). Conclusions: Based on our findings, the frequency of visual events accumulated and encoded in the working memory system in the patients' and normal group appears to be approximately (5.7 and 11.2) Hz, respectively. According to the internal clock model, a lower frequency of event pulses tends to result in underestimation of event duration, which phenomenon might be linked to the observed time distortions in patients with dementia.

• 전자공학회논문지CI
• /
• 제47권5호
• /
• pp.35-40
• /
• 2010

NAND 플래시 메모리는 기존의 HDD 보다 빠른 접근 속도, 저전력 소비, 진동에 대한 내성 등의 이점을 바탕으로 PDA를 비롯한 여러 모바일 장치부터, 임베디드 시스템, PC에 이르기까지 사용 영역이 넓어지고 있다. DiskSim을 비롯한 HDD 시뮬레이터들이 다양하게 개발되어 왔으며, 이를 바탕으로 소프트웨어 또는 하드웨어에 대한 개선점을 찾아냄으로써 유용하게 사용되었다. 하지만 NAND 플래시 메모리나, SSD에 대해서는 리눅스 기반의 몇 개의 시뮬레이터만이 개발되었으며, 실제 스토리지 장치나 PC등이 사용되는 운영체제가 윈도우즈인 것을 고려하면 윈도우즈 기반의 NAND Flash 시뮬레이터가 꼭 필요하다고 볼 수 있다. 본 논문에서 개발한 NAND Flash FTL 성능 분석을 위한 시뮬레이터인 NFSim은 윈도우즈 운영체제에서 구동되는 시뮬레이터로, NAND 플래시 메모리 모델 및 FTL 알고리즘들은 각각 윈도우즈 드라이버 모델 및 클래스로 제작되어 확장성이 용이하고, 각 알고리즘의 성능을 측정한 데이터는 그래프를 통해 표시되므로, 별도의 툴을 사용할 필요가 없다.

• Journal of Platform Technology
• /
• 제11권2호
• /
• pp.39-53
• /
• 2023

무 설치 프로그램(이하 '포터블 프로그램'이라 한다.)은 일반적 소프트웨어와는 다르게 설치과정 없이 사용할 수 있는 프로그램이다. 별도의 설치 과정이 없기 때문에 포터블 프로그램은 높은 이동성을 가지며 다양하게 활용된다. 예를 들어, 다수의 PC의 초기 설정이 필요할 때 하나의 USB 드라이브에 다양한 포터블 프로그램을 저장하여 초기설정을 할 수 있다. 또는 PC에 문제가 발생하여 정상적인 부팅이 어려울 때 USB 드라이브에 Windows PE를 구성하고 저장된 포터블 프로그램으로 PC 복구에 사용될 수 있다. 그리고 포터블 프로그램은 레지스트리 값 변경 등 PC 설정에 직접적인 영향을 끼치지 않으며 흔적을 남기지 않는다. 이는 다시 말해, 포터블 프로그램이 높은 보안성을 가진다는 것을 의미한다. 포터블 프로그램을 사용 후 삭제하면 일반적인 방식으로의 행위분석에 어려움이 존재한다. 만약 사용자가 악성 행위에 포터블 프로그램을 사용하였다면 일반적인 방식으로의 분석으로는 증거 수집에 한계가 따른다. 따라서 포터블 프로그램은 일반적인 설치 소프트웨어와는 다른 새로운 방식의 행위분석이 이루어져야 한다. 본 논문에서는 가상머신 상에서 Windows 10 운영체제를 설치한 후 Opera, Notepad++의 포터블 프로그램으로 시나리오를 진행한다. 그리고 이를 운영체제의 파일분석, 메모리 포렌식 등의 다양한 방법으로 분석하여, 프로그램 실행시간, 횟수 등의 정보를 수집하고, 사용자의 구체적 행위분석을 실시한다.

• 정보보호학회논문지
• /
• 제31권4호
• /
• pp.661-674
• /
• 2021

커널을 변조하는 루트킷과 같은 악성코드가 만약 메모리 분석을 회피하기 위한 메커니즘을 추가하게 될 경우, 분석이 어려워지거나 불가능하게 되면서 분석가의 판단에 악영향을 미칠 수 있다. 따라서 향후 고도화된 커널 변조를 통해 탐지를 우회하는 루트킷과 같은 악성코드에 선제적으로 대응하고자 한다. 이를 위해 공격자의 관점에서 윈도우 커널에서 사용되는 주요 구조체를 분석하고, 커널 객체를 변조할 수 있는 방법을 적용하여 메모리 덤프 파일에 변조를 진행하였다. 변조 결과 널리 사용되는 메모리 분석 도구에서 탐지가 되지 않는 것을 실험을 통해 확인하였다. 이후 분석가의 관점에서 변조 저항성의 개념을 사용하여 변조를 탐지할 수 있는 소프트웨어 형태로 만들어 기존 메모리 분석 도구에서 탐지되지 않는 영역에 대해 탐지 가능함을 보인다. 본 연구를 통해 선제적으로 커널 영역에 대해 변조를 시도하고 정밀 분석이 가능하도록 인사이트를 도출하였다는 데 의의가 있다 판단된다. 하지만 정밀 분석을 위한 소프트웨어 구현에 있어 필요한 탐지 규칙을 수동으로 생성해야 한다는 한계점이 존재한다.

• 정보보호학회논문지
• /
• 제23권5호
• /
• pp.931-938
• /
• 2013

디스크 암호화 소프트웨어로 데이터를 암호화 하는 경우 패스워드를 획득하기 전까지 암호화 데이터의 원본 데이터를 추출하기 위해서는 많은 어려움이 있다. 이러한 디스크 암호화 소프트웨어의 암호화 키는 물리 메모리 분석을 이용하여 암호화 키를 추출할 수 있다. 물리 메모리에서 암호화 키 탐색을 수행하는 경우 일반적으로 메모리 전체를 대상으로 탐색을 수행하기 때문에 메모리 크기에 비례하여 많은 시간이 요구된다. 하지만 물리 메모리 데이터에는 시스템 커널 오브젝트, 파일 데이터와 같이 암호화 키와 관련이 없는 많은 데이터가 포함되어 있음으로, 이를 분석하여 키 탐색에 필요한 유효한 데이터를 추출하는 방법이 요구된다. 본 논문에서는 윈도우즈 커널 가상 주소 공간 분석을 통해 물리 메모리에서 디스크 암호화 키가 저장되는 메모리 영역만 수집하는 효율적인 방법을 제시하고자 한다. 실험을 통해 제안된 방법이 기존 방법보다 암호화 키 탐색 공간을 효율적으로 줄임으로써 우수함을 증명한다.

• JSTS:Journal of Semiconductor Technology and Science
• /
• 제1권2호
• /
• pp.116-124
• /
• 2001

We implemented POPeye (Probe of Performance ＋ eye), a system analysis simulator to evaluate DRAM performance in a personal computer environment. When running any real-life application programs such as Microsoft Office and Paint Shop Pro on Windows OS, POPeye simulates detailed transactions between a CPU and a memory system. Using this tool, we comparatively analyzed the performance of a DDR-SDRAM, a D-RDRAM, and a DDR-FCRAM.

• 한국전자통신학회논문지
• /
• 제8권11호
• /
• pp.1697-1706
• /
• 2013

SD 슬레이브 IP 개발 시 CMD 및 데이터가 정상적으로 처리되는지 분석하기 위해서 프로토콜 분석기를 이용하고 있다. 본 논문에서는 윈도우 환경에서 Visual C++를 이용하여 SD 프로토콜을 분석할 수 있는 프로토콜 분석기를 개발하였다. SD 프로토콜 분석기는 SD 메모리 데이터를 저장하기 위한 임베디드 리눅스 소프트웨어와 이를 분석하기 위한 MFC 프로그램으로 구성되며, 프로토콜 분석은 SD 메모리 카드에서 호스트로 송수신되는 데이터를 리눅스 소프트웨어에서 수집하여 MFC에서 분석할 수 있도록 설계하였다. 실험 결과 개발된 보드를 이용하여 SD 메모리 카드에 데이터를 읽거나 기록할 때 발생되는 CMD 종류의 확인이 가능 하였으며, 문제가 발생되는 부분에 대한 디버깅이 가능하였다.