웹찢남

윈도우 아티팩트 포렌식 현장기반 분석 vs 이미징 후 분석 현장기반 - 컴퓨터가 켜져있을때 → 파일 시스템, 메모리 분석 가능 copy는 비할당 영역을 가져오지않고 imaging은 비할당 영역도 복사함 → 비할당 영역에 삭제된 파일, 데이터가 존재할 수 있음 Timeline analysis 저장 매체가 대용량화가 되고 영장 범위가 제한되는 등 시간대 별로 진행된 행위 분석을 해야함 window artifact 종류 사용자의 행위로 인해 운영체제 내부적으로 발생하는 변화들 date/times prefetchfile/superfetch - 사용자가 많이 사용하는 파일의 시스템 자원 정보를 미리 저장하여 실행속도 향상 short cut file - 바로가기 파일 recycle bin - 삭제된 파일을 보관하는..

BIOS: 시스템이 부팅이 될 때 해당 시스템의 기본 정보 제공 운영 체제와 하드웨어 사이의 입출력을 담당하는 저수준 소프트웨어와 드라이버로 구성된 펌웨어 BIOS의 중요성 시간 정보를 얻을 수 있음 (의도적으로 변경되었는 지를 확인 할 수 있는 기준) 하드디스크의 구성, 종류,용량 확인 시스템의 부팅 순서 설정 → 데이터 수집 시 유의 가능 RAM: 자유롭게 데이터를 읽고 쓸 수 있는 기억 장치 + 휘발성 메모리 수사 대상 컴퓨터에 전원이 공급되어 있다면 해당 컴퓨터의 상태를 가장 잘 알 수 있ㅇㅁ ROM: 읽기만 가능한 기억장치로 전원이 공급되지 않아도 내용이 사라지지 않음 컴퓨터를 시작할 때 필요한 설정 및 프로그램을 저장하고 있는 ROM BIOS 형태로 많이 사용 초기 ROM은 제조 회사에서 미리..

메모리 덤프 = 코어 덤프 메모리 덤프는 메모리의 내용 가운데 일부 또는 전체를 기억장치에 저장하는 행위 초기: 오류에 대한 디버깅의 목적 현재: 포렌식과 같은 범죄 수사행위의 증거 수집 목적 Why memory dump? 복호화된 파일 콘텐츠, 패스워드나 프로세스 임시 저장 데이터 등 메모리에서만 찾을 수 있는 특유의 정보 존재 비활성 저장장치에 코드를 복사하지 않고 직접 메모리에 로드되어 실행되는 악성 프로그램 존재 app 사용자 프라이버시 보호 기능이 강화되어 암호화되어 기록되거나 전용 모드에서는 아예 기록이 되지 않음 안티 포렌식 기술의 확산으로 전통적인 디지털 포렌식 조사 대상인 하드에 있는 데이터의 불안감 증가 Memory Dump tools 이미징 도구 -crash dumps → 블루스크린에..

jailbreak를 이용한 디스크 이미징 IOS 4.0 이후로 파일암호화로 분석의 어려움 존재 Agent의 Content Provider 호출을 이용한 논리적 수집 암호화강도가 심해져서 힘듬. IOS 포렌식 아이폰 데이터 수집 및 분석 비밀번호를 자꾸틀리면 로그인을 못함(시간으로 제어) dictionary attack 이 자주 쓰이고 있음 (가능성이 높은거 위주) $ 아이폰의 백업 데이터로부터 분석하는 법 시스템이 가진 기본 artifact - 전화번호부, 메시지, 통화기록 응용프로그램 기록 -문서작업, 웹, 이메일, 자동 로그인 정보 아이폰 데이터 수집 jailbreaking을 이용한 데이터 수집 IOS4.0 이후로 파일 데이터가 암호화 되어 있어 rawimaging으로는 데이터 복원 불가 iTunes..

웹 브라우저가 남기는 로그파일을 분석 Cache, History, Cookie, Download list Cache: 웹 사이트 접속 시 방문 사이트로 부터 데이터를 자동으로 다운받는 데이터 → 빠른 웹 페이지 로딩이 목적 Cache 인덱스 정보 분석 Cache 인덱스 정보 분류 ( 다운로드 URL/ 시간/ 데이터 파일명 등) URL+시간 → 특정 시간에 사용자가 어떤 행위를 했는지 유추 html 파일이 cache 데이터로 저장된 경우 캐시 데이터: 다운받은 데이터 (이미지, 텍스트, 아이콘 등) 캐시 인덱스 정보: 캐시 데이터 위치, 다운로드 URL, 시간 크기 등 History 정보란? 사용자가 방문한 웹사이트의 접속 정보 사용자의 편의를 위해 저장 Cookie 정보란? 웹 사이트에서 사용자의 하드디..

영장 집행 및 증거 수집 운반 및 보관 분석 및 조사 보고서 작성 디지털 포렌식 조사 수행 시 유의사항 적법 절차의 준수 피조사자 개인의 인권을 보장해야 하고, 피조사 기관의 영업 비밀이나 중요 → 열람 권한을 확보 하고 적법절차를 준수해야 한다. 증거 무결성 원본의 안전한 보존 (데이터를 안전하게 보존 해야함 ex)해시값 ) 증거의 무결성 확보 (증거 데이터에는 조작이 없다는걸 보여야함) 증거의 신뢰성 증명 (전문적인 분석 경험자와 방법) 분석 결과의 반복성 (동일한 실험 조건에 동일한 결과 도출) 모든 과정의 기록 (진정성을 위해) 수사 준비 1. 사건 발생 및 확인 주요 조사 대상의 선정 사건 발생 시 이에 대한 조사를 수행할 필요가 있는지 확인 일반 사건인지 사이버 범죄인지 2. 조사권한 획득 위..