RPA의 자동화 행위 탐지 및 분석 방안 : 프로세스 정의 파일과 실행 로그 분석을 중심으로

다국어 초록 (Multilingual Abstract)

Recently, the adoption of Robotic Process Automation (RPA) solutions for business automation has significantly improved corporate productivity, but it has also increased the risk of security threats and information leakage caused by insiders. Existing digital forensic research has primarily focused on file systems, network traffic, and memory dump analysis, while methodologies for tracking and analyzing automation activities performed using RPA tools have received little attention.
This study proposes a forensic approach that treats workflow definition files and execution logs generated by RPA tools as primary digital evidence to interpret the intent and execution traces of RPA automation activities. A dedicated tool was also implemented to automate the analysis process. The commercial RPA solution UiPath Community Edition and the open-source frameworks Robot Framework and taskt were selected as analysis targets. Their file storage structures, log generation mechanisms, and security vulnerabilities were comparatively analyzed. UiPath generates process definition files in .xaml format with text-based execution logs, Robot Framework produces .robot script files and output.xml process definition files, and taskt generates .xml process definition files along with text-based execution logs. Each tool exhibited distinct analytical characteristics in its file structures and logging systems. In the experimental phase, various scenarios representative of real-world environments were designed, including sensitive information exposure, automated email transmission, FTP file uploads and downloads, and timestamp manipulation. Analysis of the generated workflow definition files and execution logs enabled the identification of key digital evidence, such as sender and recipient information, attachment file paths, FTP server addresses, and authentication credentials. The results demonstrate that workflow definition files are valuable forensic artifacts for tracing automation activities, reconstructing data, and inferring the intent of RPA automation designers.
Based on these findings, a Python-based tool named “RPA WorkFlow Analyzer” was developed. The tool automatically identifies the RPA platform by examining the internal structure of input files and applies tool-specific parsing logic to extract activity lists, keywords, command structures, and attribute values. Through the analysis of collected workflow definition files and execution logs, automation activities could be retrospectively reconstructed, empirically validating the feasibility of digital evidence extraction and analysis in RPA environments.
This study pioneers the emerging field of RPA forensics and systematically demonstrates the forensic value of workflow definition files and execution logs. Although the experiments were conducted in a controlled environment using three RPA tools, which limits generalizability, the study provides a foundational methodology for RPA forensics. To address the limitations of static analysis in handling obfuscation and encryption, future research should incorporate memory forensics and dynamic analysis techniques. Furthermore, extending the research to cloud-based RPA platforms and investigating anti-forensic countermeasures, such as encrypted credential decryption, remain important directions for future work.

국문 초록 (Abstract)

최근 기업에서 업무 자동화를 하기 위해 RPA(Robotic Process Automation) 솔루션 도입이 이루어지면서 기업의 생산성이 크게 개선되었다. 하지만 내부자에 의한 보안 위협과 정보 유출 사고 위험도 함께 증가하고 있다. 디지털 포렌식은 현재까지 파일 시스템, 네트워크 패킷, 메모리 덤프 분석 등에 중점을 두고 있었고, RPA 도구를 활용한 자동화 행위를 추적·분석하는 방법론은 거의 연구되지 않았다.
본 연구는 RPA 도구를 실행 한 후 생성되는 워크플로우 정의 파일 및 실행 로그를 주요 증거물로 보고 이를 분석하여 RPA 자동화 행위의 의도와 실행 흔적을 해석할 수 있는 포렌식 접근법을 제안하였다. RPA 자동화 행위 분석 과정을 자동화하는 전용 도구를 구현하였다. 분석 대상으로는 상용 솔루션인 UiPath Community Edition과 오픈소스 기반의 Robot Framework, taskt를 선택하였으며, 각 도구의 파일 저장 구조, 로그 생성 방식, 보안상 취약 요소를 상호 비교하였다. UiPath는 .xaml 형식의 프로세스 정의 파일과 텍스트 파일의 실행 로그를 생성하였고, Robot Framework는 .robot 형식의 스크립트 파일과 output.xml 프로세스 정의 파일을 생성했다. taskt는 .xml 형식의 프로세스 정의 파일과 텍스트 파일의 실행 로그를 생성 했다. 각 RPA 도구에서 생성된 파일의 구조와 로그 기록 체계에서 각기 고유한 분석적 특성을 확인하였다.
실험 단계에서는 실무 환경에서 발생할 수 있는 다양한 시나리오를 설계하였다. 시나리오로는 민감정보 노출, 이메일 자동 발송, FTP 파일 업로드 및 다운로드, 타임스탬프 위변조 등이 포함된다. 각 시나리오에서 생성된 프로세스 정의 파일과 실행 로그를 분석하여 발신인 및 수신인 정보, 첨부 파일 경로, FTP 서버 주소, 인증 자격증명 등 핵심 디지털 증거를 확인할 수 있었다. RPA 자동화 설계자의 의도와 데이터 복원 등 자동화 행위를 추적을 하는데 프로세스 정의 파일이 유용한 증거임이 입증되었다.
분석 결과를 바탕으로 Python을 활용하여 “RPA WorkFlow Analyzer”를 개발하였다. RPA WorkFlow Analyzer는 입력 파일의 내부 구조를 파악하여 사용된 RPA 도구를 자동으로 식별한다. 각 도구별 맞춤형 파싱 로직을 적용해 액티비티와 키워드 목록, 명령어 구조, 속성값 등을 추출한다. 수집·분석한 프로세스 정의 파일과 실행 로그를 기반으로 구성과 특징을 검토하여 자동화 행위를 역추적할 수 있었다. RPA 환경에서 디지털 증거의 추출과 분석이 가능함을 실증적으로 검증 하였다.
본 연구는 RPA 포렌식이라는 새로운 연구 영역을 개척하고, 프로세스 정의 파일과 실행 로그의 포렌식 가치를 체계적으로 입증하였다. 개발된 분석 도구와 프레임워크는 RPA 기반 시스템에서 발생할 수 있는 비정상적 또는 부적절한 자동화 행위의 디지털 증거 확보와 분석에 실질적으로 기여할 수 있었다. 3종의 RPA 도구를 대상으로 통제된 환경에서 수행되어 모든 환경에 일반화하기에는 한계가 있으나, RPA 포렌식의 기초 방법론을 제시하였다는 점에 의의가 있다. 제안된 정적 분석 도구의 난독화 및 암호화 대응 한계를 극복하기 위해 향후 메모리 포렌식과 동적 분석 기술을 도입할 필요가 있다. 클라우드 기반 플랫폼으로 연구 범위를 확장하고, 암호화된 자격증명 복호화 등 안티포렌식 대응 기법에 대한 심층적인 후속 연구가 요구된다.

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구 배경 및 필요성 1
• 1. 연구 배경 1
• 2. 연구 필요성 2
• 제2절 연구 범위 및 방법 3
• 1. 연구 범위 3
• 2. 연구 방법 4
• 제2장 RPA 이론적 배경 및 선행연구 5
• 제1절 RPA의 기술 개요 5
• 1. RPA(Robotic Process Automation)의 개념 5
• 2. RPA 구성 요소 및 특성 6
• 제2절 RPA 도구와 시장 동향 9
• 제3절 선행 연구 15
• 제3장 RPA의 프로세스 정의 파일 및 실행 로그 분석 19
• 제1절 실험 설계 19
• 1. 실험 목표 및 대상 19
• 2. 실험 환경 및 도구 20
• 3. 실험 방법 및 절차 22
• 제2절 실험 결과 분석 23
• 1. 프로세스 정의 파일 및 실행 로그 분석 23
• 2. 자동화 시나리오 실험 분석 31
• 제3절 시사점 및 한계 53
• 1. 요약 및 시사점 53
• 2. 한계 57
• 제4장 RPA 자동화 행위 분석 도구 개발 및 검증 58
• 제1절 RPA 자동화 행위 분석 도구 개발 58
• 1. 도구 필요성 58
• 2. 도구 설계 59
• 제2절 RPA 자동화 행위 분석 도구 검증 61
• 1. 검증 설계 61
• 2. 검증 방법 61
• 3. 검증 결과 63
• 제3절 RPA 자동화 행위 분석을 위한 절차적 제언 66
• 제5장 결 론 68
• 참 고 문 헌 70
• ABSTRACT 74