[논문]삭제된 $UsnJrnl 파일 복구를 통한 과거 사용자 행위 확인

김동건; 박석현; 조오현

doi:10.22156/cs4smb.2020.10.05.023

삭제된 $UsnJrnl 파일 복구를 통한 과거 사용자 행위 확인
Analyzing Past User History through Recovering Deleted $UsnJrnl file 원문보기

융합정보논문지 = Journal of Convergence for Information Technology, v.10 no.5, 2020년, pp.23 - 29

김동건 (충북대학교 전자정보공학과) , 박석현 (충북대학교 소프트웨어학과) , 조오현 (충북대학교 소프트웨어학과)

초록
AI-Helper

최근 디지털 범죄 수사는 많은 범죄 현장에서 사용되고 있다. 범죄 현장에서는 다양한 전자 장치가 존재하며, 이러한 장치의 디지털포렌식(Digital Forensics) 결과는 중요한 증거로 사용된다. 특히, 디지털포렌식에서 사용자의 행동과 해당 행동이 발생한 시간은 매우 중요한 정보이다. 하지만 사용자의 행동이 기록되는 주기가 짧은 한계점을 가지고 있다. 이러한 특징은 실제 디지털포렌식의 제한 요소로 작용한다. 본 논문에서는 삭제된 사용자 행동 레코드를 복구하고 이를 디지털포렌식에 적용하였으며, 이전 조사 방법과 차이점을 비교하였다. 스토리지에 따라 복구 결과에는 차이가 존재하지만 복구 된 사용자의 동작이 디지털포렌식에 활용 될 때, 사용자 행위 기록이 최소 6%에서 최대 539%로 증가하는 결과를 보여준다.

Abstract ▼ AI-Helper

These days, digital forensic technologies are being used frequently at crime scenes. There are various electronic devices at the scene of the crime, and digital forensic results of these devices are used as important evidence. In particular, the user's action and the time when the action took place are critical. But there are many limitations for use in real forensics analyses because of the short cycle in which user actions are recorded. This paper proposed an efficient method for recovering deleted user behavior records and applying them to forensics investigations, then the proposed method is compared with previous methods. Although there are difference in recovery result depending on the storage, the results have been identified that the amount of user history data is increased from a minimum of 6% to a maximum of 539% when recovered user behavior was utilized to forensics investigation.

주제어

표/그림 (14)

그림 Fig. 1. NTFS Structure
그림 Fig. 2. MFT(Master File Table) Structure
그림 Fig. 3. MFT Entry Structure with properties $STANDARD_INFORMATION, $FILE_NAME, $DATA(Resident)
그림 Fig. 4. $LogFile Operation Record Header Format
표 Table 1. Characteristic of File Carving Technique [10]
그림 Fig. 5. $UsnJrnl : $J Attribute (Record Information)
그림 Fig. 6. Test System Information
그림 Fig. 7. Logging of $USnJrnl Files Acquired in Conventional Way
그림 Fig. 8 Non-allocated $UsnJrnl:$J Attribute (Record Information)
그림 Fig. 9. Recovered $USnJrnl:$J FileRecord Information
그림 Fig. 10. $USnJrnl:$J File Record Checked in Non-allocated Area
그림 Fig. 11. File Carving Results in Record Units
그림 Fig. 12. Conventional Method and Result
그림 Fig. 13. Comparing the Period During which Historical User Actions Identified

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 레코드 단위 파일 카빙 기법을 제안 한다. 파일은 여러 개의 레코드단위로 구성되어 있는데, 레코드 단위의 카빙 기법은 파일을 구성하는 레코드의 일부를 획득하기 위한 기법이다.
본 논문은 삭제된 $UsnJrnl 파일을 분석하고 복구하는 방법을 소개한다. $UsnJrnl 파일은 Windows2000 의 NTFS 5.

제안 방법

실험에서는 각각의 다른 환경에서 사용한 PC를 이용하여 기존의 $UsnJrnl 파일 분석을 통해 사용자 행위기 록을 확인한다. 그리고 제안된 방법인 삭제된 $UsnJrnl 파일 복구를 통한 사용자 행위기록을 확인한다. 마지막으로 실험 결과를 비교하여 기존의 방법과 제안된 방법을 통한 사용자 행위 기록의 차이를 분석한다.
기존의 NTFS 저널파일 획득 방법을 통해 현재 존재 하고 있는 $UsnJrnl파일을 획득하고, 비할당 영역에서 삭제된 $UsnJrnl파일에 대한 복구를 진행한다. 복구한 $UsnJrnl 파일에서 사용자 행위 분석을 통해 기존의 방식과 복구한 파일을 추가한 경우의 차이에 대해 확인 한다.
본 실험에서는 삭제된 $UsnJrnl:$J속성 레코드파일 복구를 진행하고, 복구된 파일 분석을 통해 사용자 행위를 분석했을 때, 기존의 사용자행위 분석 방식과 비교하여 어떤 차이가 있는지 비교한다. 기존의 사용자 행위 분석 방식은 기존에 알려진 방법인 라이브영역에서 획득 가능한 $UsnJrnl:$J 파일을 획득 후 확인하였다.
라이브영역에서 획득 가능한 $UsnJrnl:$J속성 파일을 통해 사용자 행위를 확인하고, 비할당영역에서 삭제된 $UsnJrnl:$J속성 파일을 복구하여 사용자 행위로그를 확인을 통해, 기존의 방법과 제안한 방법의 결과물을 비교 하였다.
그리고 제안된 방법인 삭제된 $UsnJrnl 파일 복구를 통한 사용자 행위기록을 확인한다. 마지막으로 실험 결과를 비교하여 기존의 방법과 제안된 방법을 통한 사용자 행위 기록의 차이를 분석한다.
기존의 NTFS 저널파일 획득 방법을 통해 현재 존재 하고 있는 $UsnJrnl파일을 획득하고, 비할당 영역에서 삭제된 $UsnJrnl파일에 대한 복구를 진행한다. 복구한 $UsnJrnl 파일에서 사용자 행위 분석을 통해 기존의 방식과 복구한 파일을 추가한 경우의 차이에 대해 확인 한다.
본 논문에서는 삭제된 $UsnJrnl 복구를 통해 기존의 $UsnJrnl파일을 확인하여 더 많은 사용자 행위 기록 정보를 확인한다. 이는 $UsnJrnl 복구를 통해 더욱 자세하고 다양한 사용자 행위를 확인하여 디지털포렌식에 활용할 수 있다.
본 실험에서는 삭제된 $UsnJrnl:$J속성 레코드파일 복구를 진행하고, 복구된 파일 분석을 통해 사용자 행위를 분석했을 때, 기존의 사용자행위 분석 방식과 비교하여 어떤 차이가 있는지 비교한다. 기존의 사용자 행위 분석 방식은 기존에 알려진 방법인 라이브영역에서 획득 가능한 $UsnJrnl:$J 파일을 획득 후 확인하였다.
실험 대상물에서 $UsnJrnl파일을 획득 및 분석하기 위해 Hex Editor를 사용하며, 본 실험에서는 X-Ways 사에서 개발한 WinHex를 이용하여 획득 및 분석을 진행하였다. 획득한 $UsnJrnl 파일을 분석해 사용자 행위를 확인하기 위해 Guidance Software사에서 개발한 대표적인 디지털포렌식 분석도구 Encase V7을 사용했다.
실험에서는 각각의 다른 환경에서 사용한 PC를 이용하여 기존의 $UsnJrnl 파일 분석을 통해 사용자 행위기 록을 확인한다. 그리고 제안된 방법인 삭제된 $UsnJrnl 파일 복구를 통한 사용자 행위기록을 확인한다.
하지만, 기존의 분석대상인 $UsnJrnl 파일을 통한 사용자 행위기록은 저장되는 주기가 짧은 한계점을 가지고 있다. 이를 해결하고 보다 정확하고 자세한 정보를 획득하기 위한 방안으로 삭제된 $UsnJrnl 파일 복구방법과 이를 통한 과거의 사용자행위 분석방법을 제시하였다.
첫째, $UsnJrnl파일에 대한 분석을 통해 파일의 구조와 이를 통해 확인할 수 있는 사용자 행위에 대해 소개하였고 둘째, 비할당영역에서 삭제된 저널파일의 복구하는 방법과 이를 통한 과거사용자행위 분석방법을 제시하였다. 본 논문에서 제안한 방법을 이용하여 사용 자 행위에 대한 포렌식을 진행하면 기존의 방법에서는 획득할 수 없었던 많은 과거 기록과 정보를 획득할 수 있으며 보다 정확하고 효율적인 디지털 포렌식 조사가 가능하다.

대상 데이터

6과 같다. 각각 다른 환경에서 다른 조건으로 사용한 5개의 시스템을 사용해 실험을 실시했다.

데이터처리

4.4 기존의 방식으로 확인 가능한 사용자 행위 기록

기존의 방식대로 라이브영역에서 $UsnJrnl을 획득 후 사용자 행위에 대한 분석을 진행하였고, Fig. 7.와 같은 결과를 얻을 수 있다. 총 386,373 건의 사용자행 위가 확인되었고 행위가 저장된 기간은 2019-10-06 05:30:18 ∼ 2019-10-07 15:49:22 약 2일의 기간에 발생했던 사용자 행위가 확인된다.

이론/모형

본 논문은 위에서 언급한 다양한 요소 중 $UsnJrnl 파일을 활용한다. 해당 파일은 시간정보 및 사용자, 시스템의 행위를 저장하고 있다.
실험 대상물에서 $UsnJrnl파일을 획득 및 분석하기 위해 Hex Editor를 사용하며, 본 실험에서는 X-Ways 사에서 개발한 WinHex를 이용하여 획득 및 분석을 진행하였다. 획득한 $UsnJrnl 파일을 분석해 사용자 행위를 확인하기 위해 Guidance Software사에서 개발한 대표적인 디지털포렌식 분석도구 Encase V7을 사용했다. 해당 도구는 보다 간편하게 획득한 증거파일에서 사용자 행위, 파일 행위, 발생 시간 등 다양한 정보를 간편하게 확인할 수 있도록 설계된 도구이다.

성능/효과

10은 비할당영역에 존재하고 있는$UsnJrnl:$J 속성 파일레코드를 표시한 것으로, 각각의 레코드파일은 정해진 위치에 고유값을 가지고 있는 것을 확인할 수 있다. File Signature값과 Record Size, Size of Filename의 값을 토대로 삭제된 속성 레코드파일을 찾을 수 있으며, 이를 바탕으로 사용자 행위에 대해 분석한 결과 기존의 방식보다 83,222건의 사용자 행위를 추가로 확인할 수 있었고, 확인되는 기간 또한 12일 더 이전의 기록까지 확인되었다.
13은 실험 결과 중 과거 사용자 행위가 확인되는 기간을 비교한 그래프이다. 그래프를 비교해 보면 기존의 사용자 행위 확인 방식보다 확인되는 사용자 행위의 기간이 최소 12일에서 최대 186일 까지 증가한 것을 확인할 수 있다.
12는 실험 시편을 대상으로 결과를 나타낸 표이다. 기존의 방식보다 최소 6%에서 최대 539%까지 확인되는 사용자 행위 기록이 증가한 것을 볼 수 있다. 제안한 방법을 통해 삭제된 $UsnJrnl:$J 레코드파일을 복구한 후 사용자 행위에 대한 조사를 하였을 경우 기존의 방법으로 사용자 행위에 기록 보다 적게는 23,222개 많게는 678,691 건의 사용자 행위가 추가발견 되었다.
이와 같이 본 논문에서 제안한 삭제된 $UsnJrnl:$J 파일을 복구하여 사용자 행위에 대한 포렌식 조사 시, 기존의 방법에서는 삭제되어 확인할 수 없었던 과거의 사용자 행위기록과 시간을 확인할 수 있다.
기존의 방식보다 최소 6%에서 최대 539%까지 확인되는 사용자 행위 기록이 증가한 것을 볼 수 있다. 제안한 방법을 통해 삭제된 $UsnJrnl:$J 레코드파일을 복구한 후 사용자 행위에 대한 조사를 하였을 경우 기존의 방법으로 사용자 행위에 기록 보다 적게는 23,222개 많게는 678,691 건의 사용자 행위가 추가발견 되었다.

후속연구

앞으로 더 많은 정보의 복구 및 획득을 위해서는 새로운 파일에 대한 개발 및 연구가 필요하다. 또한 새로운 복구기법 개발을 통해 기존의 방법으로 복구가 불가능한 데이터를 획득할 수 있는 방법이 필요하다.
첫째, $UsnJrnl파일에 대한 분석을 통해 파일의 구조와 이를 통해 확인할 수 있는 사용자 행위에 대해 소개하였고 둘째, 비할당영역에서 삭제된 저널파일의 복구하는 방법과 이를 통한 과거사용자행위 분석방법을 제시하였다. 본 논문에서 제안한 방법을 이용하여 사용 자 행위에 대한 포렌식을 진행하면 기존의 방법에서는 획득할 수 없었던 많은 과거 기록과 정보를 획득할 수 있으며 보다 정확하고 효율적인 디지털 포렌식 조사가 가능하다.
앞으로 더 많은 정보의 복구 및 획득을 위해서는 새로운 파일에 대한 개발 및 연구가 필요하다. 또한 새로운 복구기법 개발을 통해 기존의 방법으로 복구가 불가능한 데이터를 획득할 수 있는 방법이 필요하다.

참고문헌 (10)

H. Carvey. (2013). HowTo: Determine User Access To Files. http://windowsir.blogspot.kr/2013/07/howto-determine-user-access-to-files.html
D. Y. Won. (2015). A Study on Digital Evidence Collection Procedures Improvement. Journal of Digital Forensics, 9(2), 27-41.
G. Palmer. (2001). A Road Map for Digital Forensic Research. technical report DTR-T001-0, Utica, New York
C. Boyd & P. Forster. (2004). Time and Date issues in forensic computing - a case study. Digital Investigation, 1(1), 18-23.

상세보기
B. Carrier. (2005). File System Forensic Analysis. Addison-Wesley, 340-341.
R. Russon & Y. Fledel. (2004). NTFS Documentation, Chapter 3. NTFS files:$LogFile, pp. 38-42. http://dubeyko.com/development/FileSystems/NTFS/ntfsdoc.pdf
S. Neuner et al. (2016). Time is on my side: Stegan graphy in filesystem metadata. Digital Investigation, 18(2016), S76-S86.

상세보기
H. J Yoon. (2018). A study on user behavior trackingusing $UsnJrnl. Doctoral dissertation, Graduate School of Seoul National University.
J. H. Oh. (2013). NTFS Log Tracker. Forensic Insight ; Digitalforensic community in korea.
M. S. Park. (2012). Record File Carving Technique for Efficient File Recovery in Digital Forensic Investigation. Graduate School of Information Security Korea University.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증