포렌식 관점에서 차세대 파일시스템 연구 동향

황현욱(Hyunuk Hwang),오정훈(Junghoon Oh),이승용(Seungyong Lee),김기범(Kibom Kim),손기욱(Kiwook Sohn) 한국정보보호학회 2019 情報保護學會誌 Vol.29 No.6

기존의 NTFS, HFS+, Ext4와 같은 전통적인 파일시스템들은 디스크 사용, 공간 관리, 데이터 암호화 등 여러 측면에서 한계점을 가지고 있었다. 특히 디스크 사용 측면에서 기본적으로 단일 디스크 안에서 동작하도록 설계되었기 때문에 여러 개의 디스크에서 동작하도록 하려면 RAID와 같은 별도의 구성이 필요했다. 이에 따라 주요 운영체제들은 위와 같은 기존 파일시스템들의 한계점들을 극복하도록 설계된 Pooled Storage 파일시스템들을 공개하였다. Pooled Storage 파일시스템에 관한 연구는 2017년 여름 미국 오스틴에서 열린 DFRWS 학회에서 독일의 Jan-Niclas Hilgert에 의해 발표된 이후 디지털 포렌식 학계 및 산업계에서 집중적인 연구개발이 진행되고 있다. 2017년 Hilgert는 ZFS 파일시스템에 대한 분석기능을 공개소프트웨어인 SleuthKit에 추가한 기술을 발표하였고, 2018년 DFRWS에서는 BtrFS 파일시스템에 대한 분석기능을 공개하였다. BlackBag Technologies의 Joe Syle은 APFS 파일시스템에 대한 분석기능을 SleuthKit에 추가한 결과를 DFRWS 2018에서 발표하였다. 노르웨이의 Rune Nordvik은 2019년 DFRWS에서 REFS를 역공학을 통하여 분석한 결과를 공개하였다. 국내에서는 고려대학교를 중심으로 ReFS에 대한 연구가 진행 중이다. 본 논문에서는 주요 운영체제들이 공개한 Pooled Storage 파일시스템 형태의 차세대 파일시스템인 ReFS, APFS, BtrFS를 소개하고 각 파일시스템의 특징과 주요 기능들을 설명한다.

포렌식에서 활용 가능한 삼성 스마트폰 백업 파일 분석 기법

이규원,황현욱,김기범,장태주,Lee, Gyuwon,Hwang, Hyunuk,Kim, Kibom,Chang, Taejoo 한국정보처리학회 2013 정보처리학회논문지. 컴퓨터 및 통신시스템 Vol.2 No.8

스마트폰의 다양한 기능들이 사용되면서 사용자의 개인정보를 비롯한 대용량의 데이터들이 스마트폰에 저장되고 있다. 그러나 운영체제와 어플리케이션의 잦은 업데이트는 데이터의 손실을 야기할 수 있으며, 개인의 소중한 데이터를 분실할 위험성을 갖게 한다. 이로 인하여 데이터의 백업에 대한 중요성이 크게 증가하였으며 많은 사용자들이 자신의 데이터를 안전하게 보관하기 위해 백업 기능을 사용하고 있다. 그러나 포렌식 관점에서 이 백업 파일들은 스마트폰의 은닉 및 데이터의 고의 삭제시 중요한 수사 대상이 된다. 따라서, 이 논문에서는 세계에서 스마트폰 점유율이 가장 높은 삼성 스마트폰의 Kies 백업 파일에 대한 구조를 분석하고, 백업 파일을 복원하는 기법을 제안한다. 실험 결과 제안된 기법은 다양한 유형의 파일들을 분석하여 타 도구들 대비 높은 파일 추출 결과를 보였다. As various features of the smartphone have been used, a lot of information have been stored in the smartphone, including the user's personal information. However, a frequent update of the operating system and applications may cause a loss of data and a risk of missing important personal data. Thus, the importance of data backup is significantly increasing. Many users employ the backup feature to store their data securely. However, in the point of forensic view these backup files are considered as important objects for investigation when issued hiding of smartphone or intentional deletion on data of smartphone. Therefore, in this paper we propose a scheme that analyze structure and restore data for Kies backup files of Samsung smartphone which has the highest share of the smartphone in the world. As the experimental results, the suggested scheme shows that the various types of files are analyzed and extracted from those backup files compared to other tools.

파일 슬랙 영역에서의 UsnJrnl 레코드 복구에 관한 연구

오정훈(Junghoon Oh),황현욱(Hyunuk Hwang) 한국디지털포렌식학회 2020 디지털 포렌식 연구 Vol.14 No.1

UsnJrnl은 NTFS 변경 로그로 응용 프로그램에서 특정 파일의 변경 여부를 파악하기 위해 사용되며 포렌식 분석 관점에서는 특정 기간 동안 발생한 파일시스템 작업 내용을 알 수 있는 중요한 아티팩트이다. 기존의 UsnJrnl 연구는 단순히 $UsnJrnl:$J 스트림을 파싱하거나 비할당 영역에서 UsnJrnl 레코드를 카빙하는 방향으로 진행되었다. 하지만 끊임없이 생성되며 한 개의 레코드가 매우 작은 UsnJrnl 로그의 특성상 파일 슬랙 영역에서도 충분히 UsnJrnl 레코드를 복구할 수 있다. 본 논문에서는 파일 슬랙 영역에서 UsnJrnl 레코드를 성공적으로 복구할 수 있는 방안을 연구하고 연구 내용을 바탕으로 개발한 도구를 소개한다. 그리고 실제 시스템들의 파일 슬랙 영역을 대상으로 UsnJrnl 레코드 카빙을 수행한 결과를 설명한다. UsnJrnl is an NTFS change log that is used by an application to determine whether a particular file has changed, from a forensic analysis point of view, it is an important artifact that tells you what file-system activity has occurred during a particular period of time. Existing UsnJrnl studies have simply been processed to parsing the $UsnJrnl:$J stream or to carving UsnJrnl records in un-allocated area. However, due to the nature of the UsnJrnl log, which is constantly created and a very small record, UsnJrnl records can be recovered enough even in the file slack space. In this paper, we study how to successfully recover UsnJrnl records in file slack Space and introduce the tool developed based on the research, In addition, the results of performing the UsnJrnl record carving in the file slack space of real systems are explained.

NTFS 로그 분석을 통한 사용자 의심 행위 탐지에 관한 연구

오정훈(Junghoon Oh),황현욱(Hyunuk Hwang) 한국디지털포렌식학회 2021 디지털 포렌식 연구 Vol.15 No.3

$LogFile 파일과 $UsnJrnl 파일은 NTFS(NT File System)의 로그 파일로 $LogFile 파일에는 트랜젝션 로그가 저장되고 $UsnJrnl 파일에는 변경 로그가 저장된다. 이 두 가지 로그 파일을 분석하면 특정 기간 동안 파일시스템에서 이루어진 파일 작업 내역을 알 수 있다. 현재까지 NTFS 로그 파일 통한 사용자 의심 행위 탐지 연구는 파일 시간 변조 탐지에 관한 연구와 머신러닝 기법을 활용한 데이터 와이핑 흔적 탐지에 관한 연구가 수행되었지만 실제 환경에서 활용할 수 있는 유의미한 연구 성과는 없었다. 그 외 사용자 의심 행위 탐지에 관한 연구들도 특정 케이스에서 로그에 남는 흔적을 분석하는 수준으로 이루어졌으며 실제 환경에서 사용자 의심 행위를 탐지하기 위한 체계적인 연구 및 도구 개발은 진행되지 않았다. 따라서 본 논문에서는 NTFS 로그에서 탐지할 수 있는 사용자 의심 행위들을 분류하고 각 행위를 탐지할 수 있는 방안에 대한 연구를 진행하였다. 그리고 수행된 연구 결과를 바탕으로 구현된 NTFS Log Tracker의 의심 행위 탐지 기능에 대해 설명한다. The $LogFile and $UsnJrnl files are NTFS (NT File System) log files. The transaction log is saved in the $LogFile file and the change log is saved in the $UsnJrnl file. Analyzing these two log files reveal the history of file operations performed on the file system during a specific period. To date, studies on the detection of suspicious user behavior through NTFS log files have been conducted on file time tampering detection and data wiping trace detection using machine learning techniques, but there have been no significant research results that can be used in real environments. In other cases, it was done to analyze the traces left in the log in a particular case, and no systematic research has been conducted for suspicious behavior detection. Therefore, in this paper, we classify suspicious user behavior that can be detected in NTFS logs and conduct research on how each behavior can be detected. We also describe the detection function for suspicious user behavior in NTFS Log Tracker, which are implemented based on the research.

디지털포렌식에서 선별을 위한 메모이제이션 기반 주요 파일 수집 기법

김준수(Junsu Kim),황현욱(Hyunuk Hwang) 한국디지털포렌식학회 2020 디지털 포렌식 연구 Vol.14 No.4

디지털포렌식 수사에서 압수⋅수색은 피압수자의 디지털 저장매체에서 범죄사실과 관련된 디지털증거만을 선별 추출하는 것을 기본원칙으로 한다. 압수⋅수색 현장에서는 제한된 시간 동안 한정된 인력만을 활용할 수 있으므로, 필요한 정보만을 빠르게 찾는 선별기술이 필수적인 요소이다. 국내 수사기관에서 현장 선별⋅압수 시 일반적으로 사용하는 포렌식 도구는 “주요 파일 선별” 기능을 통해 문서, 그림, 전자메일 등과 같은 주요 파일들을 종류별로 수집하여 제공한다. 주요 파일의 선별은 주요 파일을 수집하는 규칙에 기반하여 이루어질 수 있는데, 기존 주요 파일 선별기술은 수집규칙의 규모가 커짐에 따라 주요 파일 선별의 소요시간이 크게 증가하는 것을 피할 수 없었다. 본 논문에서는 이러한 문제의 해결을 위해, 컴퓨터 포렌식 도구의 주요 파일 선별 성능을 크게 향상시킬 수 있는 메모이제이션 기반 주요 파일 수집 기법을 제안하여 수사 효율을 높이고, 실험을 통해 제안하는 방법의 성능을 확인한다. In digital forensics, only digital evidence related to criminal facts should be extracted from digital storage media. Triage technologies that quickly find only necessary information are essential at search and seizure sites because only a limited number of people can use them for a limited period. Computer forensics tools commonly used by Korean investigative agencies at search and seizure sites collect and provide key files such as documents, photos, and e-mails by file type through the key file collection technologies. In general, collecting key files are based on the rules for the collection, and existing techniques have been unable to avoid significantly increasing the time required as the number of collection rules grows. In this paper, to solve these problems and increase investigation efficiency, we propose a memoization-based method that can greatly improve the performance of the key file collection technique of computer forensics tools, and verify the performance of the proposed method through our experiments.

악성코드 탐지를 위한 물리 메모리 분석 기술

강영복(YoungBok Kang),황현욱(Hyunuk Hwang),김기범(Kibom Kim),손기욱(Kiwook Sohn),노봉남(Bongnam Noh) 한국정보보호학회 2014 情報保護學會誌 Vol.24 No.1

악성코드는 다양해진 감염 경로를 통해 쉽게 노출될 수 있으며, 개인정보의 유출뿐만 아니라 봇넷을 이용한 DDoS 공격과 지능화된 APT 공격 등을 통해 심각한 보안 위협을 발생시키고 있다. 최근 악성코드들은 실행 후에는 메모리에서만 동작하는 방식으로 파일로 존재하지 않기 때문에 기존의 악성코드 탐지 기법으로 이를 찾기가 쉽지 않다. 이를 극복하고자 최근에는 물리 메모리 덤프를 포함하여 악성코드 분석 및 탐지 연구가 활발하게 진행되고 있다. 본 논문에서는 윈도우 시스템의 물리 메인 메모리에서 악성코드 탐지 기술에 대해 설명하고, 기존 개발된 물리 메모리 악성코드 탐지 도구에 대한 분석을 수행하여 도구별 악성코드 탐지 기능에 대한 특징을 설명한다. 물리 메모리악성코드 탐지 도구의 분석 결과를 통해 기존 물리 메모리 악성코드 탐지 기술의 한계점을 제시하고, 향후 정확하고 효율적인 물리 메모리 악성코드 탐지의 기반 연구로 활용하고자 한다.

파일 오브젝트 분석 기반 개선된 물리 메모리 실행 파일 추출 방법

강영복(Youngbok Kang),황현욱(Hyunuk Hwang),김기범(Kibom Kim),노봉남(Bongnam Noh) 한국정보보호학회 2014 정보보호학회논문지 Vol.24 No.5

악성코드의 지능화에 따라 물리 메모리에서 실행 파일을 추출하는 것이 중요한 연구 이슈로 부각되고 있다. 물리 메모리에서 파일 데이터를 추출하는 경우 일반적으로 프로그램 실행과정에서 사용 중인 파일 데이터를 추출하기 때문에 원본 파일 데이터가 추출되지 않는 문제점이 있다. 따라서 물리 메모리에 저장되는 파일 정보를 분석하고 이를 기반으로 디스크에 저장된 파일과 동일하게 추출하는 방법이 요구된다. 본 논문에서는 윈도우 파일 오브젝트 커널 정보 분석을 통한 실행 파일 데이터 추출 방법을 제시한다. 실험을 통해 물리 메모리에 저장되어있는 실행 파일 데이터 특징을 분석하고, 기존 방법과 비교하여 원본 파일 데이터를 효과적으로 추출함으로써 제안 방법의 우수함을 증명한다. According to the intelligence of the malicious code to extract the executable file in physical memory is emerging as an import researh issue. In previous physical memory studies on executable file extraction which is targeting running files, they are not extracted as same as original file saved in disc. Therefore, we need a method that can extract files as same as original one saved in disc and also can analyze file-information loaded in physical memory. In this paper, we provide a method that executable file extraction by analyzing information of Windows kernel file object. Also we analyze the characteristic of physical memory loaded file data from the experiment and we demonstrate superiority because the suggested method can effectively extract more of original file data than the existing method.

디스크 암호화 키의 효율적인 탐색을 위한 커널 메모리 수집 방법

강영복(Youngbok Kang),황현욱(Hyunuk Hwang),김기범(Kibom Kim),이경호(Kyoungho Lee),김민수(Minsu Kim),노봉남(Bongnam Noh) 한국정보보호학회 2013 정보보호학회논문지 Vol.23 No.5

디스크 암호화 소프트웨어로 데이터를 암호화 하는 경우 패스워드를 획득하기 전까지 암호화 데이터의 원본 데이터를 추출하기 위해서는 많은 어려움이 있다. 이러한 디스크 암호화 소프트웨어의 암호화 키는 물리 메모리 분석을 이용하여 암호화 키를 추출할 수 있다. 물리 메모리에서 암호화 키 탐색을 수행하는 경우 일반적으로 메모리 전체를 대상으로 탐색을 수행하기 때문에 메모리 크기에 비례하여 많은 시간이 요구된다. 하지만 물리 메모리 데이터에는 시스템 커널 오브젝트, 파일 데이터와 같이 암호화 키와 관련이 없는 많은 데이터가 포함되어 있음으로, 이를 분석하여 키 탐색에 필요한 유효한 데이터를 추출하는 방법이 요구된다. 본 논문에서는 윈도우즈 커널 가상 주소 공간 분석을 통해 물리 메모리에서 디스크 암호화 키가 저장되는 메모리 영역만 수집하는 효율적인 방법을 제시하고자 한다. 실험을 통해 제안된 방법이 기존 방법보다 암호화 키 탐색 공간을 효율적으로 줄임으로써 우수함을 증명한다. It is hard to extract original data from encrypted data before getting the password in encrypted data with disk encryption software. This encryption key of disk encryption software can be extract by using physical memory analysis. Searching encryption key time in the physical memory increases with the size of memory because it is intended for whole memory. But physical memory data includes a lot of data that is unrelated to encryption keys like system kernel objects and file data. Therefore, it needs the method that extracts valid data for searching keys by analysis. We provide a method that collect only saved memory parts of disk encrypting keys in physical memory by analyzing Windows kernel virtual address space. We demonstrate superiority because the suggested method experimentally reduces more of the encryption key searching space than the existing method.

소프트웨어 기반 보안 USB에 대한 취약성 분석 방법론

김민호(Minho Kim),황현욱(Hyunuk Hwang),김기범(Kibom Kim),장태주(Taejoo Chang),김민수(Minsu Kim),노봉남(Bongnam Noh) 한국정보보호학회 2012 정보보호학회논문지 Vol.22 No.6

USB 메모리가 보편화됨에 따라 보안 USB 제품들이 일반화 되고 있다. 보안 USB는 장치 기반의 접근제어, 저장된 파일의 암호화 등 다양한 방식으로 데이터를 보호하고 있다. 따라서 포렌식 관점에서 분석자가 데이터에 접근하기 위해서는 많은 어려움이 존재하여 데이터 복호화가 필요하다. 본 논문에서는 보안이 적용된 이동식 저장 매체에 대한 취약성 검증을 위해 소프트웨어 방식의 데이터 암·복호화 기술을 연구하고 이에 대한 분석 메커니즘을 제안한다. 보안 메커니즘이 적용된 USB 저장장치를 대상으로 데이터 복호화를 위한 취약점 분석을 수행하였으며, 그 결과 암호화가 적용된 보안 USB 제품에 대해서 패스워드 없이 원본 파일을 추출할 수 있는 취약점이 존재함을 확인할 수 있었다. The modern society with the wide spread USB memory, witnesses the acceleration in the development of USB products that applied secure technology. Secure USB is protecting the data using the method as device-based access control, encryption of stored files, and etc. In terms of forensic analyst, to access the data is a lot of troubles. In this paper, we studied software-based data en/decryption technology and proposed for analysis mechanism to validation vulnerability that secured on removable storage media. We performed a vulnerability analysis for USB storage device that applied security mechanism. As a result, we found vulnerabilities that extracts a source file without a password.

딥 러닝을 이용한 문서 스캔 이미지 탐색 기술

이수현(Soo-Hyeon Lee),김준수(Junsu Kim),황현욱(Hyunuk Hwang),이해연(Hae-Yeoun Lee) 한국디지털포렌식학회 2021 디지털 포렌식 연구 Vol.15 No.1

IT 기술의 발전으로 많은 이미지 데이터들이 생산 및 유통되고 있어서, 디지털포렌식에서 처리해야 하는 데이터의 양이 급증하고 있어서 활용할 수 있는 인적 및 물적 자원의 한계에 도달하고 있다. 문서 스캔 이미지는 포렌식 분석의 주요한 대상으로서, 방대한 양의 이미지 데이터에서 문서 스캔 이미지들만을 탐색하는 것은 중요하지만, 범용적인 딥 러닝 기술의 경우 포렌식에서 요구하는 정확도를 충족하지 못하는 문제가 있다. 본 논문에서는 딥 러닝을 이용하여 문서 스캔 이미지를 탐색하는 기술에 대하여 설명하고, 실제 수집된 문서 스캔 이미지를 대상으로 탐색한 결과를 제시한다. 영상 인식과 분류에서 범용적으로 사용되는 컨볼루셔널 뉴럴 네트워크 기반의 딥 러닝 모델을 도입하였고, 문서 스캔 이미지 탐색에 적합하도록 컨볼루셔널 및 전연결 계층에 대한 설계를 하였으며, 활성화 함수 및 풀링 함수 등의 설정을 하였다. MSCOCO 데이터셋에서 가져온 일반 이미지들과 5종으로 정의하여 수집한 문서 스캔 이미지를 이용하여 데이터베이스를 구축하였고, 이를 바탕으로 제시한 딥 러닝 모델에 대하여 학습을 수행한 후에 탐색 성능에 대한 분석을 수행하였고 평균적으로 98.89%의 탐색 정확도를 달성하였다. As many images are created and distributed with advances in IT technology, the amount of data that must be processed with digital forensics is rapidly increasing and available human and material resources are reaching their limits. Document scan images are a major target of forensic analysis and it is important to search these images from a vast amount of images. However, general-purpose deep learning techniques do not meet the accuracy required for forensics. In this paper, we describe a document scan image searching technique using deep learning, and present the results of searching the actually collected document scan images as targets. A convolutional neural network-based deep learning model, which is commonly used in image recognition and classification, was adapted. To be suitable for document scan image searching, convolutional and fully-connected layers were designed and activation functions and pooling functions, etc. were set. A database was constructed using general images of MSCOCO dataset and document scan images collected as 5 types. After training the presented deep learning model using this database, the searching performance was analyzed and the average searching accuracy of 98.89% was achieved.