[논문]구글 아카이빙 데이터 기반 멀티 행위 분석

김예은; 홍사라; 김성민

doi:10.13089/jkiisc.2023.33.5.737

[국내논문] 구글 아카이빙 데이터 기반 멀티 행위 분석
Multi-Behavior Analysis Based on Google Archiving Data 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.33 no.5, 2023년, pp.737 - 751

김예은 (성신여자대학교) , 홍사라 (성신여자대학교) , 김성민 (성신여자대학교)

초록
AI-Helper

기업 및 개인의 데이터가 온프레미스 환경에서 클라우드로 이동하면서 클라우드 포렌식 중요성이 증가하고 있다. 클라우드 데이터는 모바일 기기부터 데스크톱 등 여러 장치에 저장될 수 있으며, 연동된 계정과 클라우드 서비스로부터 생성되는 정보 등 다양한 행위 아티팩트가 존재한다. 그러나 데이터의 분산 저장과 아티팩트 연계성 부족 등 클라우드의 환경적 제약으로 인해 디지털 증거를 확보하고 분석하는 것에 한계점이 있다. 이를 해결할 수 있는 수단 중 하나로 아카이빙 서비스가 있으며, 대표적으로 구글의 Takeout이 있다. 본 논문에서는 아카이빙 데이터 기반의 클라우드 포렌식을 위해 사용자 행위 데이터를 분석하고 수사 관점에서 필요한 항목을 선별한다. 또한 아티팩트의 연관성과 멀티 행위를 유의미하게 판단하기 위해 선별한 데이터를 시간 정보 기준으로 분석하는 과정과 웹 기반 시각화를 제안한다. 이를 통해 클라우드 데이터 증거수집의 중요성이 증가함에 따른 아카이빙 데이터의 활용 가치를 보여주고자 한다.

Abstract ▼ AI-Helper

The importance of digital forensics in the cloud environment is increasing as businesses and individuals move their data from On-premise to the cloud. Cloud data can be stored on various devices, including mobile devices and desktops, and encompasses a variety of user behavior artifacts, such as information generated from linked accounts and cloud services. However, there are limitations in securing and analyzing digital evidence due to environmental constraints of the cloud, such as distributed storage of data and lack of artifact linkage. One solution to address this is archiving services, and Google's Takeout is prime example. In this paper, user behavior data is analyzed for cloud forensics based on archiving data and necessary items are selected from an investigation perspective. Additionally, we propose the process of analyzing selectively collected data based on time information and utilizing web-based visualization to meaningfully assess artifact associations and multi-behaviors. Through this, we aim to demonstrate the value of utilizing archiving data in response to the increasing significance of evidence collection for cloud data.

주제어

표/그림 (25)

그림 Fig. 1. Browser Market Share Mauritius
표 Table 1. Google Archiving Service Data
그림 Fig. 2. Google Drive
표 Table 2. Chrome Data
표 Table 3. Google Play Store Data
표 Table 4. Google Chat Data
그림 Fig. 3. Archiving Data Analysis
그림 Fig. 4. YouTube
그림 Fig. 5. Google Play Store_install
그림 Fig. 6. Google Chat User_Info
그림 Fig. 7. Google Chat_Groups
그림 Fig. 8. BrowserHistory_Time Data
그림 Fig. 9. DB Schema
그림 Fig. 10. User_device Table
그림 Fig. 11. YouTube View Log Data
그림 Fig. 12. Google Play Store Data
표 Table 5. Time Data
그림 Fig. 13. Visualization – Location
그림 Fig. 14. Youtube Search Data Visualization
그림 Fig. 15. Determining the analysis Time
그림 Fig. 16. Multi-Behavior Visualization - Google Chrome/Play Store/Photo
표 Table 6. Scenario
그림 Fig. 17. User/Device Analysis
그림 Fig. 18. User/Device Visualization
그림 Fig. 19. Location Visualization - Google Photo

AI 본문요약
AI-Helper

문제 정의

현재 국내에서는 피압수자의 동의 없이 계정 정보를 수집하는 것에 법적 한계가 있다. 이에 데이터의 활용성을 높이기 위해 제도적 개선이 요구되며 아카이빙 데이터의 가치를 보이는 연구를 통해 개선 필요성을 강조하고자 한다. 향후 연구에서는 제안한 프레임워크를 자동화하여 행위 분석을 진행하고자 하며, 다양한 카테고리의 범주화된 시나리오를 기반으로 실질적인 행위 탐지가 가능하도록 구체화할 것이다.
이러한 아카이빙 데이터를 통해 구글 클라우드 포렌식을 수행할 경우 분산되어 있는 아티팩트 문제를 해결하고, 시간 정보로 사건의 흐름 구성 및 이벤트 연계를 통한 필요 정보 습득 등 수사에 필요한 증거를 확인할 수 있다. 이에 본 연구에서는 구글 아카이빙 서비스를 통한 클라우드 데이터를 분석하고자 한다.

가설 설정

은 아카이빙 데이터 기반의 수사 측면 활용 과정을 보이기 위해 기업 내 사원이 구글 계정으로 로그인한 후 행한 가상의 시나리오를 작성한 것이다. 계정 접속 후 드라이브 접근, 기밀 유출을 위한 인터넷 및 유튜브 검색, 구글 플레이스토어 등 애플리케이션 및 서비스를 이용한 상황을 가정한다.
구글 아카이빙 데이터를 활용한 증거수집을 위해서는 수사 대상의 계정을 사전에 확보해야 한다. 이에 본 연구에서는 기업 내 기밀문서 유출자로 의심되는 사원의 계정을 확보하여 데이터를 수집한 상황을 가정한다. Fig.

제안 방법

이에 본 논문에서는 수사 관점의 데이터 구조분석과 처리 과정에 중점을 두고, 기존 선행 연구에서 언급된 데이터의 구조 분석과 언급되지 않은 Google Chat, Google Pay 데이터를 추가로 확인하였다. 또한 각 이벤트 데이터는 형식이 다른 시간 정보를 가지고 있어 타임스탬프를 해석하는 데 어려움이 있기 때문에 이벤트 시간 정보를 확인하고, 이를 형식화해 서비스간 연계 분석을 진행하고자 한다.
본 연구에서는 이러한 중요성을 고려해 구글 아카이빙 서비스 데이터 중 수사적 관점에서 필요한 데이터를 처리 과정 중심으로 분석하고, 데이터의 시간 정보를 기준으로 이벤트를 연계한 시각화를 제안하였다. 이를 통해 구글 이벤트 기반의 사건 재구성과 시간 기준 검색을 통해 사건의 선·후 관계 및 멀티 행위를 파악하는 데 도움이 될 수 있음을 확인하였다.
Takeout 데이터를 추출하면 이벤트 데이터가 각 폴더에 저장되기 때문에 분석시 어려움이 있다. 이에 추출한 Takeout 데이터를 DB로 재구성해 수집된 데이터를 효율적으로 관리하고 분석하고자 한다. 또한 쿼리(SQL Query)를 통해 사용자의 행위 및 타임라인을 파악할 수 있다.
제안한 분석 방법의 실용성 검증을 위해 가상의 범죄 행위 시나리오를 구성하고, 이를 기반으로 수사 시뮬레이션을 수행하고자 한다. Table 6.

대상 데이터

선행 연구에서 언급된 아카이빙 데이터는 지도, 드라이브 등 기본 계정에 주어지는 11개(중복 제외)의 데이터를 수사 관점으로 활용하는 방법을 다루었다. 구글은 시장 점유율을 높이기 위해 다양한 서비스와 제품을 수시로 개발하고 있어 데이터의 분석 및 처리에 관한 연구가 지속적으로 요구된다.
구글은 시장 점유율을 높이기 위해 다양한 서비스와 제품을 수시로 개발하고 있어 데이터의 분석 및 처리에 관한 연구가 지속적으로 요구된다. 이에 본 논문에서는 수사 관점의 데이터 구조분석과 처리 과정에 중점을 두고, 기존 선행 연구에서 언급된 데이터의 구조 분석과 언급되지 않은 Google Chat, Google Pay 데이터를 추가로 확인하였다. 또한 각 이벤트 데이터는 형식이 다른 시간 정보를 가지고 있어 타임스탬프를 해석하는 데 어려움이 있기 때문에 이벤트 시간 정보를 확인하고, 이를 형식화해 서비스간 연계 분석을 진행하고자 한다.
중요 파일 전송 및 저장에 활용되는 지메일, 구글 드라이브 데이터는 기업의 정보유출과 같이 파일 및 송수신 메일이 주요 수단인 사건에서 용의자의 행위 정보를 획득하는 주요 데이터가 된다.

이론/모형

본 연구에서는 구축한 DB와 연동이 가능한 웹 기반 시각화를 위해 Grafana 도구를 활용한다. Grafana는 데이터를 실시간으로 시각화하고 모니터링하기 위한 오픈소스 데이터 시각화 도구로 데이터를 시각적으로 표현해 대시보드 형태로 제공해 준다.

성능/효과

구글 서비스 활동 로그는 연동된 계정마다 자동 동기화되기 때문에 같은 시간에 사용자 행위 데이터가 복합적으로 저장될 수 있다. 따라서 분석된 데이터를 기반으로 사용자 행위 증거를 수집하면 용의자가 같은 시간에 접근했던 서비스의 멀티 행위 분석이 가능하며, 수사를 효과적으로 이끌어 나갈 수 있다. 다음으로 각 이벤트 별로 분석된 시간 정보와 계정 아이디를 기반으로 멀티 프로필 분석이 가능하다.
특히 인터넷 검색, 유튜브 등 일상적으로 많이 사용되는 서비스 로그를 수집해 사용자의 관심 분야를 파악하면 수사 방향을 신속히 설정하고 용의자 범위를 좁힐 수 있다. 이러한 아카이빙 데이터를 통해 구글 클라우드 포렌식을 수행할 경우 분산되어 있는 아티팩트 문제를 해결하고, 시간 정보로 사건의 흐름 구성 및 이벤트 연계를 통한 필요 정보 습득 등 수사에 필요한 증거를 확인할 수 있다. 이에 본 연구에서는 구글 아카이빙 서비스를 통한 클라우드 데이터를 분석하고자 한다.
이렇게 구글 아카이빙 데이터를 분석하고 활용함으로써, 구글 클라우드 포렌식의 효율적인 수사 프레임워크를 구축할 수 있다.
이를 통해 구글 이벤트 기반의 사건 재구성과 시간 기준 검색을 통해 사건의 선·후 관계 및 멀티 행위를 파악하는 데 도움이 될 수 있음을 확인하였다
이를 통해 분석하고자 하는 이벤트 테이블을 선정해 의심시간과 행위 정보를 확인할 수 있으며, 이벤트 단위로 흩어진 테이블에서 분석 기준 시간으로 판단된 시점을 필터링해 시간 복잡도를 줄일 수 있다. 인터넷 검색 기록을 저장한 테이블에서 ‘계정 삭제’, ‘검색 기록 삭제’ 등 이상 키워드가 보인 시간 전·후를 기준으로 필터링해 동일 시간대 다른 이벤트에서의 용의자 행위를 빠르게 판단한다.
분석 기준 시간 전·후로 용의자가 인터넷 검색으로 남긴 기록과 해당 시간 범위에서 다운로드한 애플리케이션 정보를 함께 확인할 수 있다. 이를 통해 이벤트 단위로만 확인이 가능했던 구글 클라우드 데이터를 추가적으로 조합해 사용자가 동일 시간대에 어떤 행동을 했는지에 대한 멀티 행위 분석이 가능해진다. Fig.
구글 드라이브는 스프레드시트 등 구글 문서와 사용자가 업로드한 파일에 대한 정보가 보관된다. 추출된 아카이빙 데이터를 분석하면 파일 이름, 확장자, 접근 권한, 다운로드 권한, 크기 정보 확인이 가능하다. 해당 정보를 확인하기 위해서는 데이터 추출 시 파일에 대한 고급 설정(업로드 버전 포함, 파일 정보 포함)을 추가로 선택해야 한다.

후속연구

특히 구글 클라우드에는 사용자가 업로드 및 동기화한 파일뿐만 아니라 유튜브, 플레이스토어, 구글 챗 등 사용자의 구글 서비스에 대한 행위, 위치, 시간 정보까지 저장되기 때문에 수사에 유용하게 활용될 수 있다. 구글이 제공하는 서비스의 종류와 이를 활용하는 사용자는 증가하고 있기 때문에 새롭게 생성된 데이터와 기존의 방대한 데이터를 사건 유형에 따라 효율적으로 분석할 수 있는 연구가 지속적으로 필요하다. 그러나 현재 아카이빙 데이터에 대한 처리 및 분석 과정 연구는 부족한 상황이다.
이를 통해 안드로이드 환경에서 애플리케이션 사용으로 인해 발생하는 로그를 수집하고, 사용자 행위를 식별하는 데 활용할 수 있다. 이러한 정보는 애플리케이션과 디바이스를 통한 범죄가 증가하는 시점에 용의자의 행위를 분석하기 위한 중요 증거 데이터로 활용될 수 있다.
이에 데이터의 활용성을 높이기 위해 제도적 개선이 요구되며 아카이빙 데이터의 가치를 보이는 연구를 통해 개선 필요성을 강조하고자 한다. 향후 연구에서는 제안한 프레임워크를 자동화하여 행위 분석을 진행하고자 하며, 다양한 카테고리의 범주화된 시나리오를 기반으로 실질적인 행위 탐지가 가능하도록 구체화할 것이다.

참고문헌 (17)

Seunghee Seo, Jueun Kim and Changhoon Lee "Trends in Cloud Storage Analysis from a Digital Forensics Perspective", Journal of The Korea Institute of information Security & Cryptology, 32(23), pp. 29-36, Apr. 2022.？
Northern District of Ohio. "Northeast Ohio Priest Pleads Guilty to Charges of Sex Trafficking of a Minor, Sexual Exploitation of a Child and Possession of Child Pornography", https://www.justice.gov/usao-ndoh/pr/northeast-ohio-priest-pleads-guilty-charges-sex-trafficking-minor-sexual-exploitation, last modified Jun 16.2021, accessed Jun 09.2023.？
Sunglim Kang, Jungheum Park and Sangjin Lee, "The Trace Analysis of SaaS from a Client's Perspective",Korea Information Processing Society, 19(1), pp. 1-8, Feb. 2012.？
Boyu Zhang, Anis Zaman, Rupam Acharyya, Ehsan Hoque, Vincent Silenzio and Henry Kautz, "Detecting Individuals with Depressive Disorder from Personal Google Search and YouTube History Logs", arXiv preprint arXiv:2010.15670, Oct. 2020.？
Anis Zaman, Boyu Zhang, Vincent Silenzio, Ehsan Hoque and Henry Kautz "Individual-level Anxiety Detection and Prediction from Longitudinal YouTube and Google Search Engagement Logs", arXiv preprint arXiv:2007.00613, Jul. 2020.？
Dohyun Kim, Junki Kim and Sangjin Lee, "An Analysis of Google Cloud Data from a Digital Forensic Perspective", Journal of the Korea Institute of Information and Communication Engineering, 24(12), pp. 1662-1669, Dec. 2020.？
Hyun-Woo Kim and Sangjin Lee, "Visualization of User Behavior With Google User", Journal of Digital Forensics, 13(4), pp. 287-301, Dec. 2019.？
Dongho Kim and Sangjin Lee, "A Study on the Usage of Investigation of Google Cloud Data (Smartphone user-oriented)", Journal of Digital Forensics, 12(3), pp. 107-118, Dec. 2018.？
Statcounter, "browser-market-share", https://gs.statcounter.com/browser-market-share/all/mauritius, last modified Sep 26. 2023, accessed Sep. 26 2023.？
"September 2022, 41.83 million 'YouTube' users, 81% of users in Korea", Platum, last modified Oct 12. 2022, accessed Aug 03. 2023, https://news.zum.com/articles/78755836.？
Techopedia. "Google Data Liberation Front", https://www.techopedia.com/definition/26784/google-data-liberation-front, last modified Oct 24. 2012, accessed Jun 09. 2023.？
MarketSplash, "Over 200 Influential Google Statistics in 2023", https://marketsplash.com/ko/interesting-google-statistics/, last modified Jun 2023, accessed Aug 03. 2023.？
Platum, "Worldwide app downloads reach 35 billion in the first quarter of 2023 AI-based productivity apps grow noticeably", https://platum.kr/archives/208845, last modified Jun 15. 2023, accessed Aug 03. 2023.？
Google, "Google Chat Manual", https://docs.google.com/document/d/1V9HBCcTxj8Ml8myMWfkdwJ3QIjKNNnwdORJZ7eZs1sU/edit, last modified Jun 13. 2020, accessed Aug 03. 2023.？
Victor Eduardo Vasquez-Ortiz, Marco Milla, Joaquin Verastegui and Oscar Romero, "FPGA-based GPS controlled timing system with nanosecond accuracy and leap second support", IEEE Fourth Ecuador Technical Chapters Meeting(ETCM), pp. 1-6,Nov. 2019.？
Keun-Gi Lee, Seong-Jin Hwang, Chang-Hoon Lee and SangJin Lee, "Study on advanced analysis method based on timeline chart for Digital Forensic Investigation", Journal of Advanced Navigation Technology, 18(1), pp. 50-55. Apr. 2014.？
Kyeong Park, Eunmi Chang, Jun-Beom Park and Sungja Choi, "Analysis of Service Demandon Geological and Mine-related Thematic Maps and Available Contents in Geological Maps and Mine Maps",Journal of the Korean Cartographic Association, 15(1), pp. 13-24, Apr. 2014.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증