컴퓨터 포렌식을 통한 리눅스 시스템 침해사고 분석에 관한 연구 = (A) study on analyzing computer security incident of linux through computer forensics

국문 초록 (Abstract)

웹 2.0시대를 맞이하여 인터넷 기반 서비스는 날로 더 늘어나고 있는 추세이다. 서비스가 다양해지고 고객의 요구가 다양해 지면서 기업에서는 고객을 위한 유연성 있는 서비스를 위해 끊임 없이 시스템에 투자를 한다.
리눅스 시스템은 이런 기업의 투자비용 대비 고효율의 장점을 가지 시스템으로 각광 받고 있으나 오픈소스 기반의 태생적 한계도 가지고 있다. 그러나 이미 많은 기업들이 리눅스 시스템을 기반으로 서비스를 운영하고 있으며, 향후 더 많은 기업이 리눅스 기반 시스템을 구축 할 계획을 가지고 있다.

본 논문에서는 리눅스시스템을 기반으로한 침해사고 대응에 대한 증거확보에 컴퓨터 포렌식 분석을 통해 안전하게 증거를 수집하고 분석하는 과정에 대해서 연구를 진행하였다. 본 논문은 컴퓨터 포렌식의 개요, 컴퓨터 포렌식 도구의 소개, 컴퓨터 포렌식 절차를 설명하고, 리눅스 시스템의 침해사고에 대한 분석을 단계별로 적용하여 보았다, 특히 침해사고 시스템이 운용중인 상태에서 휘발성의 성격을 가지 증거자료를 확보하기 위한 절차와 방법을 각 단계별 분석해 보았다.
컴퓨터 포렌식(Forensics)은 법정 제출용 디지털 증거를 수집하여 분석하는 기술을 말하며 인권을 강조하는 요즘 IT 관련 기관과 기업을 중심으로 많은 관심이 집중되고 있다. 침해사고 증거 수집 및 분석 과정은 기술적으로 복잡하고 난해하여 분석가의 전문성에 의해 증거의 무결성과 신뢰성이 결정된다. 침해사고 증거 수집 및 분석 과정의 수준향상을 위해 IT 분야에서 많은 전문가의 참여와 컴퓨터 포렌식의 고급기술에 대한 연구가 필요하다.

마지막으로 침해사고에 대한 심각성과 리눅스시스템이 침해사고에 얼마만큼 심각하게 노출되 있는지 기술적으로 보완해야 할 부분이 어떤 부분인지에 대해서 구체적인 방법으로 분석해 보았다. 또 사고 후 법적 효력을 갖는 증거를 안전하게 확보하는 절차와 방법에 대해서 컴퓨터 포렌식이 얼마나 효과적인지 알아보았다.
현재 국내외에서 활발히 수행되고 있는 컴퓨터 포렌식 기술은 향후 유비쿼터스 컴퓨팅 환경을 지향하는 IT 분야에서 핵심 기술로서 인식되고 있으며, 또한 새로운 포렌식 기술에 대한 연구 개발이 더욱 체계적이고 활발히 수행필요가 있다.

목차 (Table of Contents)

• 제1장 서 론 1
• 1. 연구배경과 목적 1
• 2. 연구범위 및 방법 3
• 제2장 리눅스 시스템 침해사고(해킹)의 분류 4
• 1. 일반적 침해사고 유형 4
• 가. 바이러스(악성프로그램)에 의한 침해 4
• 나. 해커에 의한 침해(공격 5
• 2. 기술적 침해사고 8
• 가. 수동적공격(Passive Attacks 8
• 나. 능동적 공격(Active Attacks 8
• 제3장 컴퓨터 포렌식 12
• 1. 컴퓨터 포렌식의 정의 12
• 2. 컴퓨터 포렌식의 필요성 12
• 3. 컴퓨터 포렌식의 기본원칙 13
• 4. 컴퓨터 포렌식의 절차 13
• 가. 수사준비 13
• 나. 증거 획득 13
• 다. 증거물 보관 및 이송 14
• 라. 증거물 분석 및 조사 15
• 마. 보고서 작성 17
• 5. 컴퓨터 포렌식의 유형 17
• 가. 분석 목적에 따른 분류 17
• 나. 분석 대상에 따른 분류 18
• 제4장 리눅스 시스템 침해사고 분석 22
• 1. 분석 절차 23
• 가. 침입흔적 조사방법 23
• 나. 의심 시스템파일 및 로그 분석 23
• 제5장 운용상태 리눅스시스템 포렌식 분석 30
• 1. 환경에 설정 31
• 2. 포렌식 도구모음 미디어를 준비하기 31
• 가. 데이터 수집 과정동안에 주의할 사항 31
• 나. 포렌식 분석에 필요한 툴 32
• 3. 운용중인 시스템에서의 자료 수집 33
• 가. 공격받은 시스템의 화면 캡쳐 및 마운팅 준비 33
• 나. 미디어 마운트하기 34
• 다. 현재 날짜와 시간 34
• 라. Cache tables 35
• 마. 현재, 접속상태가 유지중인 연결들과 열려진 TCP/UDP 포트 35
• 바. 물리적 메모리 이미지 (Physical memory imgae 36
• 사. 운영체제의 커널 메모리에 적재되어 있는 모듈들의 목록 37
• 아. 활동중인 프로세스들의 목록 38
• 자. 의심스러운 프로세스들을 수집하기 39
• 차. 공격받은 시스템에 대한 유용한 정보 39
• 카. 현재 시간 39
• 4. 파일 시스템 이미지들 40
• 5. 기초 데이터 분석 40
• 가. 프로세스를 초기화했던 프로그램이 제거된 경우 40
• 나. 활동중인 프로세스에 의해 열려진 파일이 지워졌다 40
• 6. 키워드 탐색하기 (Keyword searching 42
• 가. strings 42
• 나. less 42
• 다. grep 43
• 7. 고급 포렌식 분석 (Advanced forensic analysis 43
• 가. gdb 도구를 사용하여 복사된 kcore 파일을 분석 43
• 나. 시스템 콜 주소들의 검증 44
• 다. 활동중인 프로세스들의 목록 45
• 제6장 결 론 48
• 참고문헌 50
• Abstract 52