[논문]라이브 포렌식을 위한 윈도우즈 물리 메모리 분석 도구

한지성; 이상진

doi:10.13089/jkiisc.2011.21.2.71

라이브 포렌식을 위한 윈도우즈 물리 메모리 분석 도구
The Windows Physical Memory Dump Explorer for Live Forensics 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.21 no.2, 2011년, pp.71 - 82

한지성 (고려대학교 디지털포렌식연구센터) , 이상진 (고려대학교 디지털포렌식연구센터)

초록
AI-Helper

라이브 포렌식은 하드디스크 파일시스템 분석으로 획득할 수 없는 메모리 내의 활성 데이터를 얻을 수 있다는 장점으로 인해 최근의 포렌식 조사 시 활용되고 있다. 하지만 기존의 라이브 포렌식은 활성 시스템에서 시스템 정보를 획득하기 위한 명령어 기반의 도구를 사용함으로써, 악성코드에 의한 변조된 결과 획득 및 재분석이 용이하지 못한 단점을 가지고 있다. 따라서 본 논문은 시스템 조사 도구를 이용한 라이브 포렌식의 단점을 보완하기 위한 윈도우즈커널 객체 구조 설명 및 분석 방법을 설명한다. 또한, 이를 활용하기 위한 도구를 설계 및 구현하였고, 실험 결과를 통해 그 효과를 입증한다.

Abstract ▼ AI-Helper

Live data in physical memory can be acquired by live forensics but not by harddisk file-system analysis. Therefore, in case of forensic investigation, live forensics is widely used these days. But, existing live forensic methods, that use command line tools in live system, have many weaknesses; for instance, it is not easy to re-analyze and results can be modified by malicious code. For these reasons, in this paper we explain the Windows kernel architecture and how to analyze physical memory dump files to complement weaknesses of traditional live forensics. And then, we design and implement the Physical Memory Dump Explorer, and prove the effectiveness of our tool through test results.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문은 라이브 포렌식 관점에서 윈도우즈 물리 메모리 덤프 파일을 분석하고, 이를 이용하여 시스템이 활성화 되어있을 때의 프로세스. DLL(동적 링크 라이브러리), 핸들 등의 상태를 보여주는 도구의 설계 및 그 결과물을 보여준다.

제안 방법

CProcessList 및 CScanProcess 클래스로부터 전달 받은 프로세스 정보를 통해, 각 프로세스가 가지고 있는 핸들 테이블을 분석하여 데이터를 제공한다.
CProcessList와 CScanProcess로부터 얻어온 프로세스 정보를 비교한다. 연결 리스트에 연결되지 않은 프로세스가 종료되지 않은 채 정상적으로 실행되고 있다면 루트킷에 의한 은닉으로 판단할 수 있다.
기존의 일반적인 라이브 포렌식 조사는 [표 1][4]과 같은 명령어 기반 인터페이스 도구들을 개별적으로 실행하거나 쉘 스크립트를 이용하여 일괄적으로 실행하여 결과를 취합하는 방식을 이용하였다. 이는 일반적으로 시스템 관리를 위해 사용하는 도구를 이용하여 신속하게 휘발성 정보들을 수집할 수 있다는 장점이 있다.
다음, 동일 시스템의 하드디스크로부터 나온 암호화 된 압축파일인 ‘EncryptedZip.zip’을 문자열 추출 후, 이를 이용해 사전 공격을 통한 복호화를 시도하였다.
물리 메모리 분석 도구를 이용한 테스트 시스템 분석을 수행하였다. 대상 시스템의 OS는 윈도우즈 XPSP2, 물리 메모리의 용량은 1GB이다.
물리 메모리 전역을 대상으로 TCP 세션 정보를 담고 있는 TCB 구조체를 추출하여 프로세스의 네트워크 세션 정보를 구성한다.
커널 레이어에 존재하는 CMemSpace와 동일한 클래스이며, 상위 클래스인 CHandleList와 CProcessModList에 프로세스 주소 공간을 위한 추상화를 제공한다.
커널 전역 변수 및 디렉토리 테이블 베이스를 탐색 한다. 또한 디렉토리 테이블 베이스를 이용해 상위 클래스로부터 전달 받은 가상 주소를 물리 주소로 변환 후 물리 영역을 읽어오는 역할을 수행한다.

대상 데이터

물리 메모리 분석 도구를 이용한 테스트 시스템 분석을 수행하였다. 대상 시스템의 OS는 윈도우즈 XPSP2, 물리 메모리의 용량은 1GB이다. 대상 시스템의 물리 메모리를 수집 후 물리 메모리 분석을 수행한 결과는 [그림 8]과 같다.
또한 의도적인 은닉 프로세스가 존재할 때, 이를 탐지하기 위한 기법도 설명한다. 분석 대상은 인텔 x86 CPU 기반의 윈도우즈 XP, Vista, 7 및 server 2003, 2008 등의 서버 제품군이다.

이론/모형

물리 메모리 전역을 대상으로 카빙 기법을 적용하여 EPROCESS 구조체를 추출한다. 이 클래스는 DKOM을 이용한 은닉 프로세스 및 종료된 프로세스를 탐지할 수 있다

성능/효과

이 분석 방법을 적용하여 설계 및 구현한 물리 메모리 분석 도구인 'Physical Memory Dump Explorer'는 물리 메모리 분석 방법의 장점을 그대로 따르면서 포렌식 조사관에게 편의성을 제공하여 라이브 포렌식 조사 시 상당한 효율의 상승을 가져올 수 있다. 그리고 자체 실험 결과, 루트킷 탐지 및 악성코드의 행동 분석이 가능하고 텍스트 추출 기능을 이용해 사전 파일 생성 시, 적은 시간 내에 높은 확률로 암호화된 파일의 패스워드를 찾을 수 있음을 입증하였다. 향후 본 도구는 64비트 버전까지 확장할 계획이며, 추가적인 윈도우즈 커널 및 악성코드 분석 기능을 추가해 종합적인 라이브 포렌식 도구로서 발전시킬 계획이다.
본 논문이 소개한 물리 메모리 분석 방법은 현재 널리 쓰이고 있는 도구를 이용한 활성데이터 수집과는 달리, 시스템에 최소한의 영향을 끼치면서 악성코드에 의한 결과 변조를 우회하며, 물리 메모리 덤프 파일을 언제든지 상세히 재분석 할 수 있다는 장점을 가지고 있다. 이 분석 방법을 적용하여 설계 및 구현한 물리 메모리 분석 도구인 'Physical Memory Dump Explorer'는 물리 메모리 분석 방법의 장점을 그대로 따르면서 포렌식 조사관에게 편의성을 제공하여 라이브 포렌식 조사 시 상당한 효율의 상승을 가져올 수 있다.
zip’을 문자열 추출 후, 이를 이용해 사전 공격을 통한 복호화를 시도하였다. 아스키 문자열 6,801,869개, UTF-8 문자열 22,442개, UTF-16 문자열 2,768,141개, 총 9,592,452개의 문자열을 압축 파일 패스워드 복구 도구인 Advanced Archive Password Recovery[27]를 이용하여 사전 공격한 결과, 2시간 17분 23초 만에 복호화에 성공하여 물리 메모리에서 추출한 문자열이 패스워드 사전 공격에 매우 효과적임을 확인하였다.
프로세스가 핸들로 참조할 수 있는 객체는 프로세스, 스레드, 파일, 레지스트리 키 등이 있다. 핸들 테이블을 분석함으로써 현재 프로세스가 소유하고 있는 프로세스, 스레드 및 현재 열고 있는 파일 등을 얻을 수 있다.

후속연구

그리고 자체 실험 결과, 루트킷 탐지 및 악성코드의 행동 분석이 가능하고 텍스트 추출 기능을 이용해 사전 파일 생성 시, 적은 시간 내에 높은 확률로 암호화된 파일의 패스워드를 찾을 수 있음을 입증하였다. 향후 본 도구는 64비트 버전까지 확장할 계획이며, 추가적인 윈도우즈 커널 및 악성코드 분석 기능을 추가해 종합적인 라이브 포렌식 도구로서 발전시킬 계획이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	라이브 포렌식의 장점은?	라이브 포렌식은 하드디스크 파일시스템 분석으로 획득할 수 없는 메모리 내의 활성 데이터를 얻을 수 있다는 장점으로 인해 최근의 포렌식 조사 시 활용되고 있다. 하지만 기존의 라이브 포렌식은 활성 시스템에서 시스템 정보를 획득하기 위한 명령어 기반의 도구를 사용함으로써, 악성코드에 의한 변조된 결과 획득 및 재분석이 용이하지 못한 단점을 가지고 있다.
	디지털 포렌식 방법을 이용한 디스크 분석의 한계점은 무엇인가?	대부분의 경우 디지털 증거는 하드디스크나 USB 메모리에 저장되어 있는 비휘발성 데이터일 가능성이 크기 때문에, 디스크 분석만으로도 유효한 주요 증거를 찾을 수 있다. 하지만 이러한 분석 방법 하에서는 시스템의 전원을 차단하는 순간 중요한 휘발성 증거들을 잃는다[3].
	기존의 라이브 포렌식의 단점은?	라이브 포렌식은 하드디스크 파일시스템 분석으로 획득할 수 없는 메모리 내의 활성 데이터를 얻을 수 있다는 장점으로 인해 최근의 포렌식 조사 시 활용되고 있다. 하지만 기존의 라이브 포렌식은 활성 시스템에서 시스템 정보를 획득하기 위한 명령어 기반의 도구를 사용함으로써, 악성코드에 의한 변조된 결과 획득 및 재분석이 용이하지 못한 단점을 가지고 있다. 따라서 본 논문은 시스템 조사 도구를 이용한 라이브 포렌식의 단점을 보완하기 위한 윈도우즈커널 객체 구조 설명 및 분석 방법을 설명한다.

참고문헌 (27)

R. Jones, "Safer Live Forensic Acquisition," University of Kent at Canterbury, http://www.cs.kent.ac.uk/pubs/ug/200 7/co620-projects/forensic/report.pdf
E. Kenneally, and C. Brown, "Risk Sensitive Digital Evidence Collection," Digital Investigation, Vol. 2, Issue 2, pp. 101-119, June 2005.

상세보기
I. Sutherland, J. Evans, T. Tryfonas, and A. Blyth, "Acquiring Volatile Operating System Data Tools and Techniques," ACM SIGOPS Operating Systems Review, Vol. 42, Issue 3, pp. 65-73, April 2008.

상세보기
M. Monty, "Live Forensics on a Windows System: Using Windows Forensic Toolchest," Jun 2006. http://www.foolmoon. net/security
B. Carrier, J. Grand, "A Hardware-based Memory Acquisition Procedure for Digital Investigations," Digital Investigation, Vol. 1, Issue 1, pp. 50-60, February 2004.

상세보기
A. Boileau, "Hit By A Bus: Physical Access Attacks with Firewire.," RUXCON, Sydney, Australia, September 30-October 1, 2006.
Mantech's Memory DD, Mantech, http: //www.mantech.com/
MoonSols Windows Memory Toolkit, MoonSols, http://moonsols.com/component/ jdownloads/view.download/3/2
H. Carvey, Windows Forensic Analysis DVD Toolkit, Second Edition, Syngress, June 2009
A. Walters, "FATKit: Detecting Malicious Library Injection and Upping the "Anti"", July 2006.
B. D. Carrier and J. Grand, "A hardwarebased memory acquisition procedure for digital investigations," Digital Investigation, Vol. 1, No. 1, pp. 50-60, 2004.

상세보기
MemParser, C. Betz, http://memparser. sourceforge.net/
PtFinder, A. Schuster, http://computer. forensikblog.de/files/ptfinder/
Volatility, Volatile Systems, https:// www.volatilesystems.com/default/volat ility
M.E. Russinovich and D.A. Solomon, Windows Internals, 5th Edition, Microsoft Press, June 2009.
S.M. Hejazia, C. Talhia and M. Debbabi, "Extraction of forensically sensitive information from windows physical memory," Digital Investigation, Vol. 6, Supplement 1, pp. S121-S131, September 2009.

상세보기
M. Burdach. "Finding digital evidence in physical memory," http://forensic.seccure. net/pdf/mburdach physical memory forensics bh06.pdf, 2006.
A. Schuster, "The impact of Microsoft Windows pool allocation strategies on memory forensics," The Proceedings of the Eighth Annual DFRWS Conference, Vol. 5, Supplement 1, pp. S58-S64, September 2008.
S. Lee, A. Savoldi, S. Lee, and J. Lim, "Password Recovery Using an Evidence Collection Tool and Countermeasures," Intelligent Information Hiding and Multimedia Signal Processing, Vol. 2, pp. 97-102, November 2007.
R. Zhang, L. Wang, and S. Zhang, "Windows Memory Analysis Based on KPCR," Proceedings of the 2009 Fifth International Conference on Information Assurance and Security, Vol. 2, pp. 677- 680, August 2009.
D. Aumaitre, "A Little Journey inside Windows Memory," Journal in Computer Virology, Vol. 5, No. 2, pp. 105-177, January 2009.

상세보기
A. Schuster, "Searching for processes and threads in Microsoft Windows memory dumps," Digital Investigation, Vol. 3, Supplement 1, pp. 10-16, September 2006.

상세보기
B. Dolan-Gavitt, A. Srivastava, P. Traynor, and J. Giffin, "Robust Signatures for Kernel Data Structures," Proceedings of the 16th ACM conference on Computer and communications security, pp. 566- 577. 2009.
B. Blunden, The Rootkit Arsenal : Escape and Evasion in the Dark Corners of the System, Jones & Bartlett Publishers, May 2009.
ProcessLibrary.com, Uniblue, http://www. processlibrary.com/
FU Rootkit, http://rootkit.com/board_ project_fused.php?didproj12
Advanced Archive Password Recovery, Elcomsoft, http://www.elcomsoft.com/ archpr.html

저자의 다른 논문 :

LOADING...

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증