• 한국정보보호학회:학술대회논문집
• /
• 한국정보보호학회 2006년도 하계학술대회
• /
• pp.799-803
• /
• 2006

리눅스 메모리 덤프데이터 분석기술은 메모리에 저장되는 데이터를 찾는데 목적이 있고, 현재 수행중인 프로그램이나, 리눅스 커널의 오류 발생 원인을 찾는데 이용이 된다. 이 논문에서는 리눅스 메모리 덤프 방법과 메모리 덤프 데이터 분석 기술에 대하여 기존의 방법들을 조사한 결과를 설명한다. 메모리 덤프데이터 분석기술은 메모리에 저장되는 기본적인 데이터를 조사를 할 수 있고, 수행중인 프로그램을 분석하고, 이미 만들어진 시스템을 역으로 추적하여 애초의 문서나 설계기법 등의 자료를 얻어낼 수 있다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2014년도 춘계학술발표대회
• /
• pp.429-430
• /
• 2014

쿠쿠 샌드박스(Cuckoo Sandbox)는 가상머신을 이용해 악성코드를 효율적으로 분석할 수 있는 도구이다. 가상머신에서 동작하기 때문에 악성코드에 거상머신 탐지기법(VM Detect)이 있다면, 분석을 하는데 어려움이 있다. 이러한 경우 악성코드를 분석하기 위해 실머신 기반에서 분석이 가능하도록 구현하고, 구현 과정에서 메모리 덤프(Memory Dump)문제가 존재한다. 이전 방식은 가상머신 소프트웨어들이 메모리 덤프 파일을 따로 만들고 해당 파일을 분석하였지만, 실머신에서는 메모리파일을 따로 가지지 않는다. 이러한 문제를 해결하기 위해 실머신에서는 어떻게 메모리덤프 문제를 해결할 수 있는지를 알아보고 덤프를 하였을 때, 가상머신과 실머신에서 어떤 차이점이 나타나는지 알아보고자 한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2018년도 추계학술발표대회
• /
• pp.102-103
• /
• 2018

위성으로 송신하는 원격명령은 실시간 명령과 저장 명령, 메모리업로드 명령 등으로 구분된다. 저장 명령은 특정한 시간에 수행하는 절대시간 명령과 정해진 시간 간격에 따라 수행하는 상대시간 명령으로 구분할 수 있고, 절대시간 명령은 위성 본체에서 수행하는 명령과 탑재체에서 수행하는 명령으로 구분되고, 각각의 메모리 영역에 구분 저장된다. 지상으로부터 전송된 명령이 정상적으로 저장되었는지를 확인하기 위하여 메모리 덤프 명령을 통하여 해당 영역의 데이터를 전송받는다. 그런데 메모리 덤프로 받은 원시 데이터는 용량이 크고 연속적인 데이터 패턴으로 되어 있어 사용자가 바로 분석할 수 없으므로 별도의 파싱 프로그램이 요구된다. 본 논문은 위성으로부터 전송받은 임무명령 저장영역의 원시 데이터 내용을 사용자가 쉽게 분석할 수 있도록 하기 위해 개발된 파싱 프로그램에 대하여 서술한 것이다.

• 정보보호학회논문지
• /
• 제16권1호
• /
• pp.87-96
• /
• 2006

본 논문에서는 RFC3227 문서[1]에 따른 일반적인 디지털 증거 수집 절차를 살펴보고 메모리 정보 수집에 대한 절차를 정립하였다. 또한 디지털 증거 수집 절차의 개선 사항으로 메모리 덤프 절차를 포함시키고 시스템 전체 메모리를 획득하는 방법을 제시하였다. 실 사용자들의 메모리를 덤프하고 가상 메모리 시스템의 페이지 파일을 수집하여 얼마나 많은 정보가 검출되는 지를 확인해 보았는데, 이 과정에서 핵심 보안정보인 사용자 ID와 패스워드가 페이지 파일의 절반 정도에서 검출되었으며 데이터복구를 통해 중요 정보를 획득할 수 있음을 확인하였다. 또한 각각에 대한 분석기법과 메모리 정보를 중심으로 하는 메모리 정보 획득 절차를 제시하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2015년도 추계학술발표대회
• /
• pp.49-52
• /
• 2015

시스템 통합 테스팅 중 결함 위치 추정을 위한 메모리 정보 획득을 위해 SUT(System Under Test) 내에 상주하여 메모리 덤프를 수행하는 테스트 에이전트가 존재한다. 그러나 테스트 에이전트가 프로세서에 미치는 영향이 충분히 고려되지 않아 특정 상황에서 비정상적인 동작이 수행됨을 관찰되었다. 따라서 본 논문에서는 테스트 에이전트가 프로세서 성능에 미치는 영향을 파악하고 개선하기 위해 전송작업과 프로세서 부하의 모델을 구성, 가변적인 전송 에이전트, 그리고 손실 예상 패킷을 보상하는 알고리즘으로 전송 작업을 개선한다. 제안된 방법의 검증을 위해 차량 전장 제어기를 재현하여 메모리 덤프 전송 실험을 하였다. 결과로 데이터의 정상 전송을 확인하였으며, 기존 방법에 비해 30%의 테스트 시간 단축을 보였다.

• 정보보호학회논문지
• /
• 제27권4호
• /
• pp.775-783
• /
• 2017

클라우드 컴퓨팅 기반의 인프라 구축이 활성화됨에 따라, 안전성과 보안성이 강화된 클라우드 구축을 위한 기술이 큰 화두로 인식되고 있다. 이에 대한 방안으로써, 클라우드 사용자 인스턴스의 시스템 보안 강화를 위한 다양한 보안 솔루션이 등장하고 있다. 특히 인스턴스(가상머신)의 메모리 분석을 통한 악성코드 분석 및 탐지에 관한 연구가 활발히 진행되고 있다. 하지만 메모리 분석을 통한 보안 모니터링 기술은 메모리 덤프 시 수반되는 연산 오버헤드로 인해 다수의 인스턴스가 하나의 물리적 서버 노드에서 구동되는 클라우드 플랫폼과 같은 환경으로의 적용에 어려움이 있어왔다. 본 논문에서는 메모리 덤프 시 발생하는 오버헤드를 최소화하기 위해 악성코드 분석 및 탐지에 필요한 인스턴스 메모리의 특정 부분을 모니터링 하는 기술을 제안하고, 부분 메모리 모니터링 기반 악성코드 탐지 시스템을 통해 제안 기술의 실효성을 검증한다.

• 한국멀티미디어학회논문지
• /
• 제12권8호
• /
• pp.1120-1127
• /
• 2009

게임 산업의 급격한 성장과 사회적 영향은 그에 비례하여 게임 서비스의 취약성을 공격하는 침해사고 건수는 지속적으로 증가하고 있다. 하지만, 게임서비스 역기능 방지를 위한 차별화된 정보보안 기술연구는 아직 미진한 상태이다. 따라서 본 연구에서는 현재 서비스되고 있는 온라인 게임서비스에 대한 침해현황을 조사하고, 가장 큰 보안 취약점으로 도출된 게임서비스 위변조에 기술적 대응 방안을 설계하였다. 게임 서비스의 위변조 방지를 위하여 실행파일을 암호화하고 실시간으로 복호화하며 게임서비스 역 분석 방지를 위하여 디버깅, 디스어셈블, 자체 메모리 덤프를 방지하고 모듈 의존성에 대한 정보를 은닉하도록 하였다.

• 정보보호학회지
• /
• 제24권1호
• /
• pp.39-44
• /
• 2014

악성코드는 다양해진 감염 경로를 통해 쉽게 노출될 수 있으며, 개인정보의 유출뿐만 아니라 봇넷을 이용한 DDoS 공격과 지능화된 APT 공격 등을 통해 심각한 보안 위협을 발생시키고 있다. 최근 악성코드들은 실행 후에는 메모리에서만 동작하는 방식으로 파일로 존재하지 않기 때문에 기존의 악성코드 탐지 기법으로 이를 찾기가 쉽지 않다. 이를 극복하고자 최근에는 물리 메모리 덤프를 포함하여 악성코드 분석 및 탐지 연구가 활발하게 진행되고 있다. 본 논문에서는 윈도우 시스템의 물리 메인 메모리에서 악성코드 탐지 기술에 대해 설명하고, 기존 개발된 물리 메모리 악성코드 탐지 도구에 대한 분석을 수행하여 도구별 악성코드 탐지 기능에 대한 특징을 설명한다. 물리 메모리 악성코드 탐지 도구의 분석 결과를 통해 기존 물리 메모리 악성코드 탐지 기술의 한계점을 제시하고, 향후 정확하고 효율적인 물리 메모리 악성코드 탐지의 기반 연구로 활용하고자 한다.

• 한국방송∙미디어공학회:학술대회논문집
• /
• 한국방송공학회 2008년도 동계학술대회
• /
• pp.103-106
• /
• 2008

물리 메모리 영역에는 증거로 활용될 수 있는 프로세스 정보와 이름, ID, 비밀 번호, 전자 메일 주소 등의 정보를 담고 있다. 또 용의자가 행위를 감추기 위해 안티 포렌식 기법을 사용하여 저장매체 상에서 완전 삭제한 파일의 잔여 데이터를 취득할 수 있는 가능성이 있다. 하드 디스크와 같은 저장 매체의 경우 증거 수집 절차시 Hash와 같은 무결성 보장 과정을 거쳐 복사본의 유효성 확인이 가능하지만 물리 메모리 영역의 경우 운용 중인 시스템에서 발생하는 운영체제와 응용 프로그램의 동작에 의한 지속적인 데이터의 변화로 무결성 및 동일한 대상에서 수집되었다는 것을 확인하기 어렵고 소프트웨어 기반의 수집은 시스템의 상태를 변화 시킨다. 본 논문에서는 물리 메모리 영역 수집 기법을 알아보고 IEEE1394의 특성을 이용한 하드웨어 기반 물리 메모리 영역 수집 도구를 구현하였다. 또 수집된 물리 메모리 덤프를 이용하여 물리 메모리에서 얻을 수 있는 정보를 확인하고 동일 대상의 메모리와 다른 대상의 메모리를 비교하여 그 차이를 확인한다.

• 대한전자공학회논문지TC
• /
• 제49권7호
• /
• pp.71-79
• /
• 2012

컴퓨터 기술이 발전함에 따라 스마트폰, 태블릿 PC 등의 보급이 확산되고 디지털 매체로의 접근이 용이해졌다. 컴퓨터의 하드웨어 성능이 향상되고, 하드웨어 형태의 변화가 발생하였지만 기본적으로 이루어지는 동작 매커니즘의 변화는 이루어지지 않았다. 일반적으로 컴퓨터의 프로그램이 동작하게 되면 프로그램에서 사용하는 데이터가 메모리에 상주하게 된다. 이러한 데이터는 운영체제 동작의 효율성 때문에 메모리에 남아있게 되나, 메모리 덤프나 실시간 메모리 분석을 통해 메모리 내의 데이터에 접근이 가능하다. 이 데이터를 악용할 경우 사용자의 개인정보나 암호화 키, 기밀 데이터 등이 유출될 수 있기 때문에 대응 방안이 마련되어야 한다. 본 논문에서는 가상 메모리의 주소를 이용해 해당 프로세스의 물리 메모리 주소를 찾아내고 해당 프로세스의 메모리 데이터 초기화를 이용하여 사용자의 데이터 유출을 최소화하는 방안을 제안한다.