• 정보보호학회논문지
• /
• 제25권6호
• /
• pp.1421-1433
• /
• 2015

디지털 기기나 컴퓨터의 포렌식을 통한 정확한 분석을 위해 디지털 포렌식 도구의 신뢰성 검증이 매우 중요하다. 도구의 신뢰성을 검증하기 위해서는 도구에 입력할 데이터 세트에 대한 개발과 연구가 필요하다. 컴퓨터에서 많이 사용되고 있는 윈도우 운영체제에서는 시간과 관련된 데이터 기준과 사용자 행위 기준의 윈도우 포렌식 아티팩트가 있다. 본 논문에서는 이 두 개의 윈도우 아티펙트를 모두 분석할 수 있도록 윈도우 환경에서 데이터 세트를 개발한 후, 공개용 디지털 포렌식 도구들을 이용하여 테스트를 진행하였다. 따라서 개발한 데이터 세트는 행위 기준의 아티팩트를 분석할 수 있는 능력을 키우기 위한 교육용으로, 디지털 포렌식 신뢰성을 검증하기 위한 도구 테스트를 목적으로, 새로운 아티팩트 분석을 위한 재활용성의 특성을 들어 활용방안을 제시한다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제13권6호
• /
• pp.3258-3279
• /
• 2019

Recently, ransomware has earned itself an infamous reputation as a force to reckon with in the cybercrime landscape. However, cybercriminals are adopting other unconventional means to seamlessly attain proceeds of cybercrime with little effort. Cybercriminals are now acquiring cryptocurrencies directly from benign Internet users without the need to extort a ransom from them, as is the case with ransomware. This paper investigates advances in the cryptovirology landscape by examining the state-of-the-art cryptoviral attacks. In our approach, we perform digital autopsy on the malware's source code and execute the different malware variants in a contained sandbox to deduce static and dynamic properties respectively. We examine three cryptoviral attack structures: browser-based crypto mining, memory resident crypto mining and cryptoviral extortion. These attack structures leave a trail of digital forensics evidence when the malware interacts with the file system and generates noise in form of network traffic when communicating with the C2 servers and crypto mining pools. The digital forensics evidence, which essentially are IOCs include network artifacts such as C2 server domains, IPs and cryptographic hash values of the downloaded files apart from the malware hash values. Such evidence can be used as seed into intrusion detection systems for mitigation purposes.

• 한국컴퓨터정보학회논문지
• /
• 제22권8호
• /
• pp.73-83
• /
• 2017

In this paper, we discuss the differences between an ordinary B-tree and B-tree implemented by NTFS. There are lots of distinctions between the two B-tree, if not understand the distinctions fully, it is difficult to utilize and analyze artifacts of NTFS. Not much, actually, is known about the implementation of NTFS, especially B-tree index for directory management. Several items of B-tree features are performed that includes a node size, minimum number of children, root node without children, type of key, key sorting, type of pointer to child node, expansion and reduction of node, return of node. Furthermore, it is emphasized the fact that NTFS use B-tree structure not B+structure clearly.

• 정보학연구
• /
• 제10권4호
• /
• pp.41-56
• /
• 2007

In Digital Computing Environment, volatile information such as register, cache memory, and network information are hard to make certain of a real-time collection because such volatile information are easily modified or disappeared. Thus, a collection of volatile information is one of important step for computer forensics system on ubiquitous computing. In this paper, we propose a volatile information collection module, which collects variable volatile information of server system based on memory mapping in real-time.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2012년도 추계학술발표대회
• /
• pp.1333-1335
• /
• 2012

이 연구에서는 전자기록물의 일반적인 특징과 법적 증거능력에 대해서 조사하고 이를 통해 국가기록원을 비롯한 기록보존소에서 관리하는 전자기록들의 증거능력에 대해 고찰하였다. 또한 디지털 증거를 수집 분석하여 법정에 제출하기 위한 분야인 디지털 포렌식(Digital Forensics)에서의 절차 및 기술을 통해 전자기록관리 프로세스에서 전자기록의 증거능력을 확보하기 위한 기초적인 방안을 제시한다.

• International Journal of Internet, Broadcasting and Communication
• /
• 제13권3호
• /
• pp.178-192
• /
• 2021

File system forensics typically focus on the contents or timestamps of a file, and it is common to work around file/directory centers. But to recover a deleted file on the disk or use a carving technique to find and connect partial missing content, the evidence must be analyzed using cluster-centered analysis. Forensics tools such as EnCase, TSK, and X-ways, provide a basic ability to get information about disk clusters, but these are not the core functions of the tools. Alternatively, Sysinternals' DiskView tool provides a more intuitive visualization function, which makes it easier to obtain information around disk clusters. In addition, most current tools are for Windows. There are very few forensic analysis tools for MacOS, and furthermore, cluster analysis tools are very rare. In this paper, we developed a tool named FACT (Forensic Analyzer based Cluster Information Tool) for analyzing the state of clusters in a HFS+ file system, for digital forensics. The FACT consists of three features, a Cluster based analysis, B-tree based analysis, and Directory based analysis. The Cluster based analysis is the main feature, and was basically developed for cluster analysis. The FACT tool's cluster visualization feature plays a central role. The FACT tool was programmed in two programming languages, C/C++ and Python. The core part for analyzing the HFS+ filesystem was programmed in C/C++ and the visualization part is implemented using the Python Tkinter library. The features in this study will evolve into key forensics tools for use in MacOS, and by providing additional GUI capabilities can be very important for cluster-centric forensics analysis.

• 디지털포렌식연구
• /
• 제12권3호
• /
• pp.97-108
• /
• 2018

컴퓨터기술 및 네트워크의 발전은 메신저, 이메일, 웹하드, 토렌트등 서비스 사용자의 손쉬운 대용량 파일 전송을 가능하게 하였다. 이는 소지자체가 불법인 아동음란물파일 소지자가 빠르게 다른 사용자에게 아동음란물을 전송 할 수 있다는 것을 의미한다. 하지만 현재는 메신저, 이메일, 웹하드, 토렌트 사용자간의 아동음란물을 배포를 예방하거나 차단하는 구체적인 방법에 대해 제안된 것은 없다. 본 논문에서는 '경찰청 아동음란물프로파일링시스템'의 보관되어 있는 MD5, SHA-1 해시값을 이용하여 아동음란물의 배포를 차단하고 소지자의 가입자 정보를 이용하여 아동음란물 소지 피의자를 특정할 수 있는 방법을 제안한다. 사용자가 파일을 배포하기 전 파일의 해시값을 추출하여 경찰청 아동음란물프로파일링시스템과 비교한 후 동일 값이 있을 경우 파일의 전송을 차단하고 해당 소지자에게 경고를 보내게 되며 서비스제공 기업은 가입자 정보를 수사기관에게 보내 아동음란물 소지자에 대한 수사를 신속하고 정확한 수사를 진행할 수 있다.

• International Journal of Computer Science & Network Security
• /
• 제24권6호
• /
• pp.207-215
• /
• 2024

Cloud computing is now used by most companies, business centres and academic institutions to embrace new computer technology. Cloud Service Providers (CSPs) are limited to certain services, missing some of the assets requested by their customers, it means that different clouds need to interconnect to share resources and interoperate between them. The clouds may be interconnected in different characteristics and systems, and the network may be vulnerable to volatility or interference. While information technology and cloud computing are also advancing to accommodate the growing worldwide application, criminals use cyberspace to perform cybercrimes. Cloud services deployment is becoming highly prone to threats and intrusions. The unauthorised access or destruction of records yields significant catastrophic losses to organisations or agencies. Human intervention and Physical devices are not enough for protection and monitoring of cloud services; therefore, there is a need for more efficient design for cyber defence that is adaptable, flexible, robust and able to detect dangerous cybercrime such as a Denial of Service (DOS) and Distributed Denial of Service (DDOS) in heterogeneous cloud computing platforms and make essential real-time decisions for forensic investigation. This paper aims to develop a framework for digital forensic for the detection of cybercrime in a joined heterogeneous cloud setup. We developed a Digital Forensics model in this paper that can function in heterogeneous joint clouds. We used Unified Modeling Language (UML) specifically activity diagram in designing the proposed framework, then for deployment, we used an architectural modelling system in developing a framework. We developed an activity diagram that can accommodate the variability and complexities of the clouds when handling inter-cloud resources.

• 정보보호학회논문지
• /
• 제21권3호
• /
• pp.165-176
• /
• 2011

본 논문에서는 TTAK.KO-12.0112 문서에 따른 컴퓨터 포렌식을 위한 디지털 증거 분석도구의 일반적인 검증 절차를 살펴보고, 제시된 검증 항목들을 이용하여 실제 증거분석 도구를 대상으로 기능 요구사항들을 테스트한다. 또한 테스트 내용을 바탕으로 대상 도구들에 대한 성능 평가를 수행하며 각 도구들의 증거 분석 기능에 대하여 향후 성능 개선 방향을 제시한다. 이는 테스트 대상 도구가 수행 가능한 기능들을 파악하고, 요구사항 문서에서 제안된 검증 절차들을 활용하여 각 기능 별로 구체적인 모의 테스트를 설계한 후, 검증 항목의 내용을 포함시킨 가상의 증거 이미지 파일들을 생성하여 도구가 분석한 결과를 검증하고 해석한다. 이 과정을 통해 대부분의 도구들에서 단편화된 삭제 파일에 대한 복구, 국내에서 널리 사용되고 있는 파일 포맷 인식, 한글 문자열 처리 기능 등에 취약점이 존재함을 확인할 수 있다.

• 정보보호학회논문지
• /
• 제23권1호
• /
• pp.57-67
• /
• 2013

침해사고는 시스템 해킹, 바이러스 및 웜, 홈페이지 변조, 자료 유출 등 그 유형이 다양하고, 단순한 바이러스나 웜 등의 유포가 아닌 개인정보 및 기업기밀 정보를 취득하거나 금전적 이득을 취하기 위한 목적으로, 공격자가 사용하는공격 기법이 고의적인 데이터의 삭제나 변경 등 고도의 은닉 기법을 활용하여 흔적을 남기지 않기 때문에, 정확한 자료를 수집하기가 쉽지 않다. 침해사고 초기 대응시 초동 대응자는 신속한 조사를 수행해야할 필요가 있는 침해위협 또는 범죄와 관련 현장 정보를 취급한다, 이때 체계적인 증거 수집을 위하여 침해사고의 식별에 적합한 디지털 포렌식 프로세스 방법론의 적용이 요구된다. 본 논문에서는 초동 대응자가 효과적인 초기 대응을 위하여, 윈도우 시스템 환경에서의 디지털 포렌식 측면에서 CFFTPM 포렌식 프로세스 모델을 적용하여 사용자 사용 정보, 타임라인 정보, 인터넷 정보 등 증거 수집 기본정보를 분석하고 이에 따라 클라이언트/서버 모델로 증거수집 응용시스템을 설계하고 이를 구현하였다.