[논문]디지털 포렌식 관점의 데이터 복구 및 분석 프레임워크

김진국; 박정흠; 이상진

doi:10.3745/kipstc.2010.17c.5.391

디지털 포렌식 관점의 데이터 복구 및 분석 프레임워크
A Framework for Data Recovery and Analysis from Digital Forensics Point of View 원문보기

정보처리학회논문지. The KIPS transactions. Part C Part C, v.17C no.5, 2010년, pp.391 - 398

김진국 (고려대학교 정보경영공학전문대학원) , 박정흠 (고려대학교 정보경영공학전문대학원) , 이상진 (고려대학교 정보경영공학전문대학원)

초록
AI-Helper

대부분의 디지털 포렌식 관련 도구들은 저장매체의 할당된 영역에 존재하는 파일을 분석하는데 초점을 맞추고 있기 때문에 용의자가 의도적으로 삭제하거나 이전에 사용되었던 파일들을 복구하는 기능이 부족하다. 따라서 삭제된 파일을 효과적으로 분석하기 위해서는 데이터 복구도구로 얻은 결과물을 다시 디지털 포렌식 도구로 분석해야한다. 이러한 작업은 사건을 빠르고 효과적으로 대응하거나 데이터의 무결성을 보존하는데 적절하지 않다. 따라서 본 논문에서는 기존 디지털 포렌식 관련 도구들의 한계점을 벗어나 디지털 포렌식 관점에서 데이터 복구 및 분석 도구를 통합 구현하기 위한 프레임워크를 제시하고 구현하였다.

Abstract ▼ AI-Helper

Most of digital forensics tools focus on file analysis of allocated area on storage. So, there is a lack of recovery methods for deleted files by suspects or previously used files. To efficiently analyze deleted files, digital forensic tools depend on data recovery tools. These process not appropriate for quick and efficient responses the incident or integrity preservation. This paper suggests the framework for data recovery and analysis tools from digital forensics point of view and presents implementation results.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

결국 삭제된 파일을 디지털 포렌식 분야에 효과적으로 활용하기 위해서는 데이터 복구에 기반한 디지털 포렌식 분석 도구가 필요하다. 따라서 본 논문에서는 기존 디지털 포렌식 관련 도구들의 한계점을 벗어나 디지털 포렌식 관점에서 데이터 복구 및 분석을 통합적으로 할 수 있는 프레임워크를 제시하고 구현하였다.
본 논문에서는 소프트웨어로 복구가 가능한 논리적 복구 중 메타 정보를 이용한 파일 복구와 데이터 카빙을 대상으로 디지털 포렌식 관점에서 복구 및 분석하기 위한 방법을 살펴본다.
본 논문은 디지털 포렌식 관점에서 데이터 복구 및 분석에 관한 도구가 갖추어야할 기능들에 관한 프레임워크를 제시하는데 초점을 맞추고자 한다. 특히 데이터분석에 관한 기능 요구사항은 복구된 데이터뿐만아니라 다양한 디지털 포렌식 데이터를 분석하는데 필수 기능으로 적용될 수 있을 것이다.
해쉬 분석은 알려진 파일들에 대한 해쉬셋을 이용하여 분석하고자 하는 저장매체에서 알려진 파일을 제거하기 위한 목적으로 수행된다. 특히 악성코드에 피해를 입은 시스템이나 침입에 의해 손상된 시스템의 경우 운영체제의 실행파일을 변경하는 경우, 해쉬 분석을 통해 손쉽게 변경된 파일을 찾아낼 수가 있다.

제안 방법

디지털 포렌식 도구들은 수사에 활용 가능해야하며 다른 도구와 다르게 분석된 결과가 법정에서 증거로 효력을 인정받을 수 있어야 한다. 따라서 본 논문에서 제시한 프레임워크는 데이터복구라는 중요한 포렌식 기법을 활용하여 제한된 시간 내에 효과적인 분석 기능들에 기반한 프레임워크를 제시하였다. 이러한 프레임워크는 데이터 복구뿐만 아니라 다른 디지털 포렌식 데이터를 분석하기 위한 필수적인 기능으로 활용될 수 있을 것이다.
앞서 제시한 프레임워크를 기반으로 디지털 포렌식 관점의 데이터 복구 및 분석 도구인 DATAForensics 구현하였다. 현재 제시한 기능 중 복구 대상 지정, 복구 영역 지정, 복구 단위 지정, 복구 파일 형식 지정, 복구 파일 검증, 파일 분류 분석, 정규표현식 검색, 분석 보고서 작성 기능의 일부를 구현하였다.
따라서 이를 효과적으로 분석한다면 수사에 단서로 사용될 가능성이 매우 높다. 하지만 현재 널리 사용되는 디지털 포렌식 도구들은 삭제되지 않은 파일에 중점을 두어 분석을 수행한다. 일부 복구 기능을 제공하는 도구들도 존재하지만 그 기능이 미약하다.
앞서 제시한 프레임워크를 기반으로 디지털 포렌식 관점의 데이터 복구 및 분석 도구인 DATAForensics 구현하였다. 현재 제시한 기능 중 복구 대상 지정, 복구 영역 지정, 복구 단위 지정, 복구 파일 형식 지정, 복구 파일 검증, 파일 분류 분석, 정규표현식 검색, 분석 보고서 작성 기능의 일부를 구현하였다. 앞으로 해쉬 분석, 시그니처/확장자 분석, 미리보기 분석, 사용자 정의 스크립트 및 플러그인을 추가해 나갈 예정이다.
현재 제시한 프레임워크를 기반으로 한 1차 버전의 데이터 복구 및 분석 도구를 개발하였다. 추후 프레임워크에서 제시한 기능을 추가하여 완성된 도구를 개발할 예정이다.

대상 데이터

데이터 복구 도구는 TopTenREVIEWS에서 발표한 2010 Data Recovery Software Review를 대상으로 살펴보았다[12]. 데이터 복구 전문 도구들은 메타 정보를 이용한 파일 복구를 비롯하여 데이터 카빙, 파티션 복구 등의 기능을 지원한다.

성능/효과

다양한 파일시스템 볼륨을 비롯하여 디지털 포렌식 이미지 또한 분석할 수 있다. 그리고 인식된 파일시스템의 할당 영역 파일, 삭제된 파일, 파일 슬랙, 비할당 영역을 효과적으로 분석할 수 있는 기능을 제공한다. 하지만 데이터 카빙 복구 기능은 별도의 EnScript를 통해 지원하지만 헤더와 푸터만 입력받아 카빙하므로 많은 오탐이 발생한다.

후속연구

무결성이 훼손된다면 디지털 포렌식 분석에서 필수적인 파일 간의 시간 관계 분석이나 해쉬 분석을 수행하기 어렵게 되며, 증거로서 인정받을 수 없다. 결과적으로 무결성을 보존하기 위한 추가적인 연구가 필요하다.
예를 들어, 일반적으로 문서 파일의 경우 파일의 처음에는 문서의 제목을 쓴다. 따라서 문서의 처음 일정 바이트로 파일이름을 생성한다면 파일을 응용프로그램을 통해 열어보기 전에 중요하다고 판단되는 파일을 선별하여 우선적으로 분석할 수 있을 것이다[19].
디지털 포렌식 분석을 위한 데이터 복구를 수행하기 위해서는 다양한 대상을 마운트 할 수 있는 복구 대상 지정을 비롯하여 복구 영역 지정, 복구 단위 지정, 복구 파일 형식 지정, 복구 파일 검증, 복구 파일 이름 생성의 기능이 필요하다. 또한 복구된 데이터를 디지털 포렌식 관점에서 분석하기 위해 파일 분류 분석, 정규표현식 검색, 해쉬 분석, 시그니처/확장자 분석, 미리보기 분석, 사용자 정의 스크립트 및 플러그인 추가 기능이 필요하며 법정에서 증거의 효력을 가지기 위해 신뢰할 수 있는 분석 보고서가 작성되어야 한다.
NIST의 NSRL(National Software Reference Library)을 이용하면 운영체제 버전별로 알려진 파일에 대한 해쉬셋을 얻을 수 있다[22]. 또한 생성된 각 파일의 해쉬 값은 보고서 작성 시 증거의 무결성을 입증하기 위해 사용될 수 있다.
따라서 사건의 성격에 따라 메타 정보를 이용한 파일 복구와 데이터 카빙을 적절히 활용할 수 있도록 독립적으로 동작할 수 있어야 한다. 또한 저장매체 전체영역에서 메타 정보를 이용한 파일 복구와 데이터 카빙 복구가 완료된 영역을 제외한 나머지 영역을 대상으로 텍스트 추출과 같은 추가적인 분석이 가능하도록 해야 한다.
추후 프레임워크에서 제시한 기능을 추가하여 완성된 도구를 개발할 예정이다. 실제 수사 환경에서 데이터 복구에 초점을 맞춘 디지털 포렌식 도구가 활용되면 좀 더 정밀한 증거 분석이 가능할 수 있을 것이다.
현재 제시한 기능 중 복구 대상 지정, 복구 영역 지정, 복구 단위 지정, 복구 파일 형식 지정, 복구 파일 검증, 파일 분류 분석, 정규표현식 검색, 분석 보고서 작성 기능의 일부를 구현하였다. 앞으로 해쉬 분석, 시그니처/확장자 분석, 미리보기 분석, 사용자 정의 스크립트 및 플러그인을 추가해 나갈 예정이다.
따라서 본 논문에서 제시한 프레임워크는 데이터복구라는 중요한 포렌식 기법을 활용하여 제한된 시간 내에 효과적인 분석 기능들에 기반한 프레임워크를 제시하였다. 이러한 프레임워크는 데이터 복구뿐만 아니라 다른 디지털 포렌식 데이터를 분석하기 위한 필수적인 기능으로 활용될 수 있을 것이다.
현재 제시한 프레임워크를 기반으로 한 1차 버전의 데이터 복구 및 분석 도구를 개발하였다. 추후 프레임워크에서 제시한 기능을 추가하여 완성된 도구를 개발할 예정이다. 실제 수사 환경에서 데이터 복구에 초점을 맞춘 디지털 포렌식 도구가 활용되면 좀 더 정밀한 증거 분석이 가능할 수 있을 것이다.
본 논문은 디지털 포렌식 관점에서 데이터 복구 및 분석에 관한 도구가 갖추어야할 기능들에 관한 프레임워크를 제시하는데 초점을 맞추고자 한다. 특히 데이터분석에 관한 기능 요구사항은 복구된 데이터뿐만아니라 다양한 디지털 포렌식 데이터를 분석하는데 필수 기능으로 적용될 수 있을 것이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	EnCase란 무엇인가?	EnCase는 GuidanceSoftware社에서 개발한 디지털 포렌식 도구로 NIST(National Institute of Standards and Technology)의 CFTT(Computer Forensics Tool Testing)을 통과하였고, 현재 전 세계적으로 사용되고 있다. 다양한 파일시스템 볼륨을 비롯하여 디지털 포렌식 이미지 또한 분석할 수 있다.
	FINALForensics란 무엇인가?	FINALForensics는 데이터 복구 서비스로 시작하여 현재는 다양한 디지털 포렌식 관련 제품을 서비스하고 있는 FINALDATA社에서 개발한 디지털 증거 분석 솔루션이다. FINALForensics는 기존에 데이터 복구 솔루션인 FINALDATA 제품에 기반한 제품이기 때문에 데이터 복구 기능은 많이 갖추고 있다.
	저장매체의 물리적 데이터 복구 방법은?	예를 들어 하드디스크의 경우 내부적으로 액추에이터, 암, 플래터, 스핀들 모터, PCB(Printed Circuit Board) 등의 요소로 구성된다. 데이터는 플래터 위에 자기장을 사용해 인코딩되어 있는데 플래터를 제외한 나머지 구성 요소들이 손상된 경우 해당 요소를 교체하여 플래터의 내용을 복구할 수 있다. 또한 플래터가 손상된 경우에도 손상 정도에 따라 복구가 가능한 경우도 있다. 한편 플래시 메모리의 경우 데이터를 저장한 칩을 제외한 나머지 부품이 손상된 경우 칩을 제거한 후 리볼링(Re-Balling) 방법을 통해 복구가 가능하다.

참고문헌 (24)

Nicole Lang Beebe, Jan Guynes Clark, “A hierarchical, objectives-based framework for the digital investigations process,” Digital Investigation, Vol.2, June, 2005.

상세보기
Brian D. Carrier, Eugene H. Spafford, “An Event-Based Forensic Investigation Framework,” Digital Forensic Research Workshop (DFRWS), Aug., 2004.
Ricci S.C. leong, “FORZA - Digital forensics investigation framework that incorporate legal issues,” Digital Investigation, Vol.3, September, 2006.

상세보기
M.I. Cohen, “PyFlag - An advanced network forensic framework,” Digital Investigation, Vol.5, September, 2008.

상세보기
Dr. Ren Wei, “A Framework of Distributed Agent-based Network Forensics System,” Digital Forensic Research Workshop (DFRWS), Aug., 2004.
Nick L. Petroni, Jr., AAron Walters, Timothy Fraser and William A.Arbaugh, “FATKit : A framework for the extraction and analysis of digital forensic data from volatile system memory,” Digital Investigation, Vol.3, December, 2006.

상세보기
Mark Reith, Clint Carr and Gregg Gunsch, “An Examination of Digital Forensic Models,” International Jounal of Digital Evidence, Vol.1, Issue 3, Fall 2002,
Jeroen van den Bos and Ronald van der Knijff, “TULP2G-An Open Source Forensic Software Framework for Acquiring and Decoding Data Stored in Electronic Devices,” International Journal of Digital Evidence, Vol.4, Issue 2, Fall 2005.
EnCase Forensic, http://www.guidancesoftware.com/computer-forensics-ediscovery-software-digital-evidence.htm
FTK(Forensic Toolkit), http://www.accessdata.com/forensictoolkit.html
FINALForensics, http://www.finaldata.co.kr/Forum/?sFRM.FF2
TopTenREVIEWS, http://data-recovery-software-review.toptenreviews.com/
김진국 외 4명, “파일카빙 기법에 관한 연구”, 디지털 포렌식연구 2호, 2008년 6월.
Joachim Metz, Bas Kloet and Robert-Jan Mora, “Analysis of 2007 DFRWS Forensic Carving Chllenge - The 07 smart carving approach,” Digital Forensic Research Workshop (DFRWS), July, 2007.
Peter Gutmann, “Secure Deletion of Data from Magnetic and Solid-State Memory,” Sixth USENIX Security Symposium, July, 1996.
Microsoft support site, http://support.microsoft.com/kb/140365.
Simson L. Garfinkel, “Carving contiguous and fragmented files with fast object validation,” Volume 4, Supplement 1, September 2007.

상세보기
김진국 외 2명, “Flase-Positive를 줄이기 위한 향상된 파일 카빙 기법 연구”, 안티 포렌식 대응기술 워크샵, 2008년 8월.
김진국 외 4명, “파일카빙에서의 파일이름 결정 방법”, 한국정보보호학회 동계학술대회, 2008년 12월.
Brian Carrier, “File System Forensic Analysis,” Addison Wesley Professional, P139-140, 2005.
Steve Bunting, “The Official EnCase Certified Examiner STUDY GUIDE Second Edition,” Sybex, 2007.
National Software Reference Library, http://www.nsrl.nist.gov/
IDA Pro, http://www.hex-rays.com/idapro/
OllyDbg, http://www.ollydbg.de/

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증