포터블 웹 브라우저 사용 흔적 탐지 방법 = Method of Detecting to Artifacts of Portable Web Browser

국문 초록 (Abstract)

포터블 웹 브라우저(Protable Web Browsers)는 운영체제에 독립적으로 실행되도록 설계 된 웹 브라우저를 말한다. 일반 웹 브라우저가 운영체제 시스템에 사용흔적을 남기는 것과 다르게, 포터블 웹 브라우저는 대부분의 사용흔적을 설치된 폴더에 남긴다. 이를 악용하여, 이동식 디스크에서 포터블 웹 브라우저를 사용해 사용흔적을 데스크톱에 안 남길 수도 있다. 또한 하드디스크 내에 임의의 경로에 설치된 경우, 포터블 웹 브라우저 설치 경로를 찾아 사용 흔적을 획득해야 하는데 설치 경로는 운영체제 시스템에 저장되어 있지 않아 찾기 어렵다. 따라서 포터블 웹 브라우저의 사용흔적을 놓치기 쉬워 사용자의 웹 사용흔적, 사건과 관련된 유용한 정보 등을 놓치게 된다. 본 논문에서는 윈도우즈 레지스트리의 UserAssist킷값, Shortcut file, Prefetch file을 통해 포터블 웹 브라우저 사용흔적을 찾는 방법에 대해 알아본다.

다국어 초록 (Multilingual Abstract)

Protable web browsers are stand-alone web browser, which are designed to run on web pages and applications on an operating system independently. Portable web browsers store artifacts in the installed in the folder, while normal web browsers store artifacts in the user's system. By abusing this, using portable web browsers from a removable disk are not stored artifacts on the desktop. In addition, if it is installed in the path of a random hard disk, portable web browsers artifacts is hard to find because operating system is not stored portable web browsers installation path. because it is easy to miss the artifact of portable web browsers, we miss user's web history and useful information related to the incident. This paper propose to detect artifacts of portable web browsers through 'UsersAssist' key value of windows registry, prefetch file and shortcut file.

참고문헌 (Reference)

1 임종민, "컴퓨터 포렌식 관점에서 윈도우 Prefetch 파일 분석 및 도구 개발" 한국정보보호학회 467-470,

2 "process monitor"

3 Harry Parsonage, "Web Browser session restore forensic: Computer Forensics Miscellany"

4 "UserAssist"

5 "Portable application community"

6 Murilo Tito Pereira, "Forensic analysis of the Firefox3 Internet history and recovery of deleted SQLite records" 5 (5): 93-103, 2009

7 Keith J.jones, "Forensic Analysis of Internet Explorer Activity Files"

8 Jung-Hoon Oh, "Advanced evidence collection and analysis of web browser activity" 8 (8): S62-S70, 2011