선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 본 논문에서는 디지털 포렌식 수사 시 FDE 환경을 고려한 증거 수집 절차를 제안한다. 4절에서는 FDE 솔루션 중 사용률이 높은 Bitlocker, Truecrypt, Symantec PGP Desktop의 Drive Encryption에 대한 탐지 및 대응방법을 기술한다.
제안 방법
- 4절의 내용을 토대로 FDE 환경 탐지를 위한 도구를 개발하였으며 운영체제의 실행 의존성이 적은 Python 스크립트로 개발하였다. Fig.
- FDE 환경 대응 시 FDE 솔루션에 따라 대응 방법에 차이가 존재한다. 본 논문에서 다루는 FDE 솔루션은 현재 시장점유율이 가장 높은 Bitlocker와 점유율 대비 사용률이 높은 Truecrypt, Symantec사의 PGP Desktop 솔루션 내 Drive Encryption 솔루션의 대응방법을 Table 2.와 같이 제안한다.
- 본 논문에서 제안된 증거 수집 절차를 활용하여 FDE 환경에 대응하는 수사관의 역량과 관계없이 일정한 수사 효율을 유지하기 위해 FDE 환경을 고려한 증거 수집 절차를 적용하여야 한다.
- 사례를 FDE환경을 고려한 증거 수집 절차를 적용하는 경우 조사 대상 시스템이 활성 상태임을 확인하고 물리 메모리를 수집한다. 수집된 물리 메모리는 FDE 환경 탐지 도구를 사용하여 적용된 솔루션을 확인한다. 사례에서 적용된 솔루션은 Truecrypt이므로 라이브 이미징이나 취약점 공격을 통해 증거 수집이 가능할 것이다.
- 조사 대상 시스템이 활성 상태인 경우 물리 메모리를 수집하고 덤프 파일을 탐지 도구 실행 인자로 사용한다. 이때 탐지 도구는 덤프 파일 내 프로세스 리스트를 해석하여 FDE 관련 프로세스를 검색하거나 프로세스들이 사용한 DLL 리스트에서 FDE가 사용한 특징적인 DLL을 검색하여 FDE 환경을 탐지한다.
- 따라서 저장 매체에 쓰기방지 장치를 연결 후 시그니쳐를 탐지한다. 이후 탐지된 결과를 바탕으로 FDE 솔루션에 맞는 대응을 한다.
- 조사 대상 시스템이 비활성 상태인 경우 저장매체 수집 이후 쓰기 방지 장치에 연결하고 탐지 도구를 실행한다. 탐지 도구는 저장 매체의 논리 볼륨에서 첫 번째 섹터나 MBR 영역 해석 후 FDE 솔루션별 시그니쳐를 검색하여 적용된 FDE 솔루션을 탐지한다,
대상 데이터
- OO 불법 도박 사이트를 운영 중인 사업장 위치를 제보받아 현장을 급습하였다. 현장에서는 도박 사이트 서버와 관리자 컴퓨터를 강제로 종료한 상황이었다.
- 또한, 활성 상태에서는 수집할 데이터가 복호화된 상태이거나, 물리 메모리 수집을 통해 암호키 획득이 가능할 수 있기 때문에 전원 차단에 유의하여야 한다. 그리고 활성데이터 수집 이후 논리 디스크 라이브 이미징을 통해 복호화된 데이터를 수집한다.
- 증거 수집을 위해 물리 메모리를 수집하고 분석하는 중 AES 암호키 스트림이 발견되었고 메모리상에 존재한 프로세스 리스트 중 Truecrypt 가 발견되었다. 다른 FDE 매체는 존재하지 않았으며 TrueCrypt 가상 디스크 확장자인 TC 파일을 검색하여 발견하였다. 그 후 물리 메모리 내부로부터 마스터키를 발견하여 복호화한 결과 대량의 고객 정보가 담긴 엑셀파일이 존재하였다.
- 기밀 유출 사건은 디지털 포렌식 수사를 방해하는 요소가 다수 존재하기 때문에 수사관의 경험과 역량에 의존하는 경우가 많다. 사례를 FDE환경을 고려한 증거 수집 절차를 적용하는 경우 조사 대상 시스템이 활성 상태임을 확인하고 물리 메모리를 수집한다. 수집된 물리 메모리는 FDE 환경 탐지 도구를 사용하여 적용된 솔루션을 확인한다.
성능/효과
- 현재까지 디지털 포렌식 조사 시 FDE가 적용된 매체 조사는 수요가 적은 실정이다. 그러나 Windows XP 서비스 지원 종료와 함께 다수의 사용자가 운영체제의 사양을 향상시켰으며, 특히 암호화 솔루션 중 FDE 제품 사용 환경이 개선되었다. Windows 운영체제의 경우 Windows Vista Ultimate 버전 이후 제품부터 FDE 프로그램인 Bitlocker를 기본 제공한다.
- 저장 매체를 먼저 확보하고 이미징 작업 중 매체 정보를 확인할 수 없는 문제가 발생하였다. 수집한 매체에 쓰기방지장치를 연결한 후 매체의 시그니쳐 확인 결과 Bitlocker가 활성화된 상태였다. Bitlocker 적용 확인 후에 피압수자와의 인터뷰를 통해 운영체제 로그온 정보를 알아냈으며, PC 주위에 구겨진 용지를 확인한 결과 Bitlocker의 복구키 정보를 출력한 용지임을 확인하고 추가 수집하였다.
- 유출 시 사용했을 것으로 추정되는 노트북이 켜져 있었으며 웹브라우저 기록이 전부 삭제되어 있었다. 증거 수집을 위해 물리 메모리를 수집하고 분석하는 중 AES 암호키 스트림이 발견되었고 메모리상에 존재한 프로세스 리스트 중 Truecrypt 가 발견되었다. 다른 FDE 매체는 존재하지 않았으며 TrueCrypt 가상 디스크 확장자인 TC 파일을 검색하여 발견하였다.
후속연구
- 본 논문 이후의 연구에서는 논문에 기술된 대응 방법 이외의 FDE 솔루션 탐지 및 대응방안 연구와 개별 파일 보호를 위해 사용되는 DRM 솔루션 대응 방안을 연구할 것이다.
- 수집된 물리 메모리는 FDE 환경 탐지 도구를 사용하여 적용된 솔루션을 확인한다. 사례에서 적용된 솔루션은 Truecrypt이므로 라이브 이미징이나 취약점 공격을 통해 증거 수집이 가능할 것이다.
- 따라서 증거 수집단계에서 FDE 환경을 고려한 증거 수집 절차를 적용해야 할 것이다. 이로써 증거 수집이 가능한 기회를 최대한 확보하여 수사 효율을 높이고 원활한 증거 수집을 수행할 수 있을 것이다.
- 향후 디지털 포렌식 수사에서 수사관이 대응하게 될 FDE 환경은 정립된 대응 절차에 의해 효율적으로 대응하여 일정한 수사 효율을 유지해야 할 것이다. 따라서 증거 수집단계에서 FDE 환경을 고려한 증거 수집 절차를 적용해야 할 것이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.