선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 본 논문에서는 윈도우의 SACL 기능을 활용하여 파일의 접근 이력을 로그로 남기는 방안을 제시하였다. 파일 시스템 감사 설정 시 대량의 로그가 발생되는 원인이 파일의 읽기 유형의 감사에 있음을 밝히고, 파일의 수정, 실행, 삭제로 감사를 제한한다면 로그의 발생량을 현실적으로 수용 가능한 수준으로 줄일 수 있음을 확인하였다.
- 본 논문에서는 이를 보완하기 위한 방법으로 윈도우 시스템에서 제공되는 SACL 감사 기능을 활용하여 파일 접근 이력을 효과적으로 남기는 방안에 대해 제안하고자 한다.
- 본 논문에서는 포렌식 준비도 제고를 위해 파일 접근이력을 확보하는 방안에 대해 다루고자한다. 컴퓨터 시스템의 동작은 디스크에 저장된 파일을 메모리에 로드 한 후 프로세서가 이를 처리하고, 처리된 데이터를 다시 파일에 기록하는 행위가 반복되는 과정이다.
- 이를 위해 윈도우의 SACL을 이용할 것을 제안하고자 한다. 하지만 지금까지 SACL은 포렌식 준비도 향상 목적을 위해 적극적으로 사용되지 않아 왔다.
제안 방법
- SACL의 효과를 확인하기 위하여 시스템에 발생될 수 있는 행위를 침입 킬 체인 단계(Intrusion Kill Chain)[13]로 구분하여 발생 가능한 행위 별로 기존 로그와 SACL 로그가 해당 행위를 식별할 수 있는지 확인하였다.
- 공격과 관련하여 시스템 내부에서 발생 가능한 행위를 20가지로 구성하였다. 이 중 4개월 후 얻을 수 있는 아티팩트는 6개 행위에 그쳤다.
- 공격자는 피해자에게 랜섬웨어를 첨부하여 스피어 피싱 메일을 발송하였으며, 피해자는 의심 없이 Outlook을 이용하여 이메일을 읽고 첨부파일을 다운로드한 후 압축을 해제하고, 실행하였다. 랜섬웨어는 곧바로 실행되어 시스템에 있는 모든 문서 파일을 암호화 했으며, 모든 폴더마다 암호화 사실을 알리기 위한 문서 파일을 생성했다.
- 본 논문에서는 파일의 접근 이력 기록을 위한 SACL 설정으로 13가지의 감사 항목 중 Execute(0x20), AppendData(0x4), Delete (0x10000)를 설정할 것을 제안한다. 또한 6개월 이상 기록을 보관하기 위해 Security.
- 유입된 악성 파일은 RAT(Remote Administration Tool) 유형의 악성 프로그램으로, 실행 후 C&C(Command and Control) 서버로 네트워크가 연결되었으며, 공격자는 악성프로그램을 이용해 시스템을 살펴보고, 일부 문서 파일을 수집하여 압축 후 유출하였다.
- 퇴사를 앞둔 회사원 A씨는 사내 네트워크에서 다른 사용자들의 공유 폴더를 발견하고, 그곳에 저장되어 있던 다수의 문서들을 자신의 시스템으로 복사하였으며, 일부 엑셀 파일은 직접 열어 내용을 확인하였다. 자신의 시스템에 설치된 네이버 클라우드 네트워크 드라이브로 파일들을 복사하여 외부로 반출하였으며, 로컬 시스템에서는 파일들을 삭제했다. 한 달 후 퇴사 프로세스에 따라 시스템 감사를 실시하였다.
- 제안된 방법의 효과를 검증하기 위해 부하실험, 효과성 실험 그리고 기업 환경에서 발생될 수 있는 침해 시나리오를 가정하여 사건 분석에 활용할 수 있는지를 확인하였다.
- evtx 로그의 크기 제한을 20GB로 설정 하였다. 증상의 재발 여부를 하루 단위로 확인하였으며, 8일이 지나자 이상 증상이 재발되었다.
- 시스템에는 여전히 악성 코드가 동작 중이었다. 침해 사실은 수주가 지난 후 인지하게 되었으며, 피해자는 그 동안 매일 시스템을 재부팅했으며, 시스템 정리 도구를 사용하였다.
- 퇴사를 앞둔 회사원 A씨는 사내 네트워크에서 다른 사용자들의 공유 폴더를 발견하고, 그곳에 저장되어 있던 다수의 문서들을 자신의 시스템으로 복사하였으며, 일부 엑셀 파일은 직접 열어 내용을 확인하였다. 자신의 시스템에 설치된 네이버 클라우드 네트워크 드라이브로 파일들을 복사하여 외부로 반출하였으며, 로컬 시스템에서는 파일들을 삭제했다.
- 파일 시스템 감사 설정 활성화 및 SACL 설정을 (Append, Execute, Delete) 한 후, Security.evtx 로그의 크기 제한을 20GB로 설정 하였다. 증상의 재발 여부를 하루 단위로 확인하였으며, 8일이 지나자 이상 증상이 재발되었다.
- 자신의 시스템에 설치된 네이버 클라우드 네트워크 드라이브로 파일들을 복사하여 외부로 반출하였으며, 로컬 시스템에서는 파일들을 삭제했다. 한 달 후 퇴사 프로세스에 따라 시스템 감사를 실시하였다.
- A사에서는 내부적으로 사용하는 Windows Server 2012 서버 3대에서 일 주일에 한 두 차례씩 특정 폴더 및 파일이 비정기적으로 삭제되는 현상이 발생되었다. 해당 업체에서는 이상 증상을 인지하고 1개월간 시스템을 조사하였으나 결국 원인을 찾지 못하고 분석을 의뢰하였다.
대상 데이터
- Table 7.은 공격자 또는 정보유출 행위자가 악성 행위를 수행하고 관련 파일은 삭제하였으며, 이로부터 4개월이 지난 후에 아티팩트 획득이 가능한지를 확인 한 결과이며, 기본 설정을 사용하는 Windows 7 시스템을 대상으로 실험하였다.
성능/효과
- SACL 로그로 파악 가능한 행위 중 기존 아티팩트를 보강해주는 효과가 있는 경우가 40%, 기존 아티팩트가 남지 않았던 행위에 대한 정보를 제공해 주는 경우가 60% 인 것으로 파악되었다.
- SACL 설정이 발생시키는 로그의 양을 확인하기 위하여 Windows 7 시스템을 대상으로 전체 드라이브의 모든 파일 및 폴더 개체에 대해 Full ACEs(13개)를 활성화 하고, 사용자 개입이 없는 IDLE 상태로 운영한 결과 1시간 동안 총 230,599 개의 4663 이벤트로그가 발생했다. 용량으로 따지면 SACL 로그 1개당 700 bytes 정도의 크기를 가지므로, 총 154MB(161,419,300 bytes = 230,599 * 700bytes)의 로그가 기록된 것이다.
- SACL을 설정한 경우 파일이 삭제 목록을 모두 확인할 수 있었으며, Jumplist, MRU, lnk 등의 파일 접근 아티팩트와 달리 SACL로그는 파일을 처리한 프로세스와 시간이 누적하여 기록되어 있어, 장기간의 SACL 로그를 분석하여 과거에서 사용했던 파일인지 퇴사를 앞두고 갑자기 생성된 것인지 등 사용자의 행위 흐름을 파악할 수 있어 의도성을 입증 하는데 좀 더 효과적임을 확인하였다.
- SACL을 설정한 상태에서는 Outlook을 이용한 메일의 읽기와 VSC를 지운 것은 확인할 수 없었으나 첨부된 악성파일의 다운로드, 압축해제, 악성코드 실행, 문서 파일 암호화, 협박용 문서 생성, VSC삭제를 위한 wmic 실행, 자가 삭제 등의 거의 전 과정을 확인할 수 있었다.
- 과 이 프로세스를 기준으로 보면, 가장 많은 로그를 발생시키는 것은 안티바이러스 소프트웨어로써 이는 사용자의 행위와 관계없이 지속적으로 많은 로그를 발생시킨다. 두 번째로는 브라우저로 사용자 행위와 연관성이 높으면서 로그를 많이 유발시키는 것으로 나타났다. 그 외에는 크게 두드러지는 유형은 없었다.
- 파일 시스템 감사 설정 시 대량의 로그가 발생되는 원인이 파일의 읽기 유형의 감사에 있음을 밝히고, 파일의 수정, 실행, 삭제로 감사를 제한한다면 로그의 발생량을 현실적으로 수용 가능한 수준으로 줄일 수 있음을 확인하였다. 또한 이렇게 설정한 로그가 침해 단계 별로 흔적을 확인하고, 기존 아티팩트보다 사건의 흐름을 파악하는데 훨씬 효과가 있음을 확인하였다.
- 반면 포렌식 분석에 의미 있는 정보인 파일의 생성, 실행, 삭제와 관련된 0x4(AppendData), 0x20(Execute), 0x10000(Delete) 로그는 시간당 2964개의 로그(2MB)로 전체로그의 약 1.29% 에 해당하므로, 감사 로그의 양을 상당히 감소시킬 수 있어 SACL을 이용한 파일 감사가 상시 감사에 활용될 수 있는 가능성을 보였다. 위와 같이 계산해 보면 하루에 약 55MB 정도의 로그(55MB = 2MB * 24 hours + 7MB)가 기록된다.
- 본 사건은 이상 증상의 원인이 장기간 파악되지 않은 채 시스템을 재설치 하는 것으로 대응될 수 있었던 실 사례로, SACL을 통한 감사 방법이 실제 사건 조사에 효과적으로 활용될 수 있음을 확인할 수 있었다.
- 사용자 폴더, 안티바이러스, 윈도우 폴더에서 파일 처리 이벤트가 많이 발생했다. 사용자 폴더에서는 파일을 생성하고 삭제하는 로그가 비슷한 비율로 발생되었고, 안티바이러스 관련 경로에서는 파일 쓰기 로그가 많았으며, 윈도우 폴더에서는 실행 관련 로그가 많이 발생되었다. 따라서 이벤트 발생량을 더 줄여야 할 필요가 있을 때는 폴더별 설정을 세분화 하는 것이 방법이 될 수 있다.
- 이벤트로그를 분석한 결과, 비정기적으로 삭제되던 파일에 접근하는 프로세스 목록을 확보할 수 있었다. 웹 서비스용으로 사용되는 tomcat7.exe 프로세스가 cmd.exe를 실행하고, cmd.exe가 해당 파일들을 삭제했음을 확인할 수 있었다. 추가로 분석한 결과 서버에서 데이터 처리 시 사용된 임시폴더를 삭제하는 코드의 버그로 인해 드라이브 전체를 삭제하는 코드가(“cmd.
- 이번에는 IDLE 시스템이 아닌, 24시간 동작 중인 실제 업무용 시스템에서 ACE 중 0x4 (AppendData), 0x20(Execute), 0x10000 (Delete)를 활성화하여 1개월간 테스트한 결과, 4663 이벤트는 일평균 162,259개(108MB)가 발생 되는 것으로 측정되었다. 따라서 Security.
- 이벤트로그를 분석한 결과, 비정기적으로 삭제되던 파일에 접근하는 프로세스 목록을 확보할 수 있었다. 웹 서비스용으로 사용되는 tomcat7.
- 추가로 분석한 결과 서버에서 데이터 처리 시 사용된 임시폴더를 삭제하는 코드의 버그로 인해 드라이브 전체를 삭제하는 코드가(“cmd.exe /c rmdir /S /Q \”) 실행된 것으로 확인되었다.
- 본 논문에서는 윈도우의 SACL 기능을 활용하여 파일의 접근 이력을 로그로 남기는 방안을 제시하였다. 파일 시스템 감사 설정 시 대량의 로그가 발생되는 원인이 파일의 읽기 유형의 감사에 있음을 밝히고, 파일의 수정, 실행, 삭제로 감사를 제한한다면 로그의 발생량을 현실적으로 수용 가능한 수준으로 줄일 수 있음을 확인하였다. 또한 이렇게 설정한 로그가 침해 단계 별로 흔적을 확인하고, 기존 아티팩트보다 사건의 흐름을 파악하는데 훨씬 효과가 있음을 확인하였다.
- 하지만 SACL를 이용하여 “쓰기”, “실행”, “삭제”설정을 적용했다면 20개 행위 중 15개의 행위에 대한 정보를 얻을 수 있는 것으로 파악되어, 악성 행위 관련 흔적 획득률이 30%에서 75%로 향상됨을 알 수 있다.
후속연구
- SACL 로그를 주기적으로 모니터링 한다면, 사용자별 취급 문서 목록 파악이 가능하여 조직 내의 문서 흐름을 파악하는 용도로도 활용할 할 수 있을 것이다.
- SACL 설정을 한다고 해서 모든 흔적이 남는 것은 아니다. 또한 분석의 속도가 향상되는 것도 아니 다. 다만 파일 감사 로그와 기존 아티팩트의 교차분석을 통해 이전에는 추정으로 넘어가야했던 부분들에 대한 흔적간의 연결이 좀 더 강화될 수 있는 효과를 얻을 수 있을 것이다.
- 본 논문에서는 파일의 접근 이력 기록을 위한 SACL 설정으로 13가지의 감사 항목 중 Execute(0x20), AppendData(0x4), Delete (0x10000)를 설정할 것을 제안한다. 또한 6개월 이상 기록을 보관하기 위해 Security.evtx의 로그 용량을 20GB 이상 확보할 것을 제안한다.
- SACL의 경우 일괄적으로 기록되는 다른 흔적들과 달리 개별 설정이 가능하므로, 상황에 따라 보다 유연한 적용이 가능하다. 또한 최근 SSD, 고용량 메모리 사용 등 시스템의 성능 향상도 SACL 적용에 긍정적으로 작용할 것이다.
- 감사 항목을 제한하여 SACL 로그의 발생량을 줄인다 하더라도 SACL은 여전히 적은 용량의 로그가 아니다. 사고 분석 시 집중되는 데이터 처리 부하를 줄이기 위해서는 주기적으로 SACL 로그를 분석하여 요약 정보를 남기는 방안에 대한 연구가 필요할 것이다. 또한 시스템의 포렌식 준비도 향상을 위해서는 파일 시스템에 대한 로그 이외에도 네트워크, 웹브라우저 등 다른 아티팩트들의 수명도 6개월 이상 유지할 수 있어야 한다.
- 또한 시스템의 포렌식 준비도 향상을 위해서는 파일 시스템에 대한 로그 이외에도 네트워크, 웹브라우저 등 다른 아티팩트들의 수명도 6개월 이상 유지할 수 있어야 한다. 추후 연구로 윈도우 시스템 에서 사건 해결에 필요한 주요 아티팩트들이 최소 6 개월 이상 고르게 유지할 수 있는 방안에 대한 연구를 진행할 예정이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.