포렌식 준비도 향상을 위한 Windows NTFS 저널 로그 크기에 관한 연구 = On the Windows NTFS Journal Log Size for Enhancing Forensic Readiness

국문 초록 (Abstract)

모든 업무가 정보통신시스템으로 수행됨에 따라 침해사고와 정보 유출이 계속 발생하고 있어 신속하고 적절한 대응이 필요하다. 이에 따라 조직에서는 포렌식 준비도 개념을 기반으로 정보보호 대책을 수립하여 신뢰할 수 있는 디지털 증거를 수집할 수 있는 환경을 조성하고 사고 대응 비용을 최소화하려는 노력을 지속하고 있다. Windows NTFS 환경에서는 $LogFile과 $UsnJrnl이 파일 트랜잭션을 분석하기 위한 디지털 포렌식 아티팩트로 주로 활용되고 있다. 그러나 실제로는 아티팩트의 특성상 침해사고가 발생한 시점의 로그가 오래 보존되지 않아 이를 증거로 활용하기 어려운 경우가 많다. 본 논문에서는 윈도우 NTFS 시스템 환경에서 $LogFile과 $UsnJrnl의 크기에 대해 포렌식 준비도 관점에서 조망하여 침해 시도의 체류 시간을 고려한 적절한 기준을 제시하고 실험을 통해 이에 대한 효과성을 입증하고자 한다. 이를 통해 $LogFile과 $UsnJrnl의 크기를 조정한다면 조직의 포렌식 준비도를 제고할 수 있을 것이다.

다국어 초록 (Multilingual Abstract)

Recently, the need for prompt and appropriate response to threats such as intrusion accidents and data breaches within organizations has emerged. Accordingly, organizations continue to make efforts to establish information protection measures based on the concept of forensic readiness to create an environment in which reliable digital evidence can be collected and to minimize incident response costs. In the Windows NTFS environment, $LogFile and $UsnJrnl are mainly used as digital forensic artifacts to analyze file transactions. However, in reality, due to the nature of artifacts, the log at the time of the initial access of incidents is not preserved for a long time, so it is often difficult to use it as evidence. In this paper, we look at the setting the size of $LogFile and $UsnJrnl in the Windows NTFS system environment from the perspective of forensic readiness, suggest appropriate criteria considering the dwell time of an intrusion attempt, and try to prove its effectiveness through experiments. This will allow you to adjust Windows settings for the size of $LogFile and $UsnJrnl to improve your organization's forensic readiness.