포렌식 데이터의 분류체계와 활용방안 : 클라우드 스토리지 데이터를 중심으로

강승아 고려대학교 정보보호대학원 2023 국내석사

클라우드 스토리지 서비스는 장소나 기기에 제약 받지 않고 언제 어디서든 데이터를 활용할 수 있기 때문에 활발하게 사용되고 있다. 다양한 클라우드 스토리지 서비스가 단순한 데이터 저장소에서 벗어나 생성, 편집, 공동작업, 삭제, 공유, 댓글 등 다양한 기능을 제공하는 추세이다. 따라서 클라우드 서버에는 사용자가 생성한 데이터 뿐만 아니라 클라우드 서비스에서 사용자의 데이터를 관리하거나 유용한 데이터를 제공하기 위한 다양한 데이터를 저장한다. 이에 본 논문에서는 기본적인 파일 콘텐츠와 메타데이터 뿐만 아니라 클라우드 스토리지의 종합적인 통계 데이터 등 사용자의 활동을 추적할 수 있는 방대한 정보를 데이터 분류 체계에 따라 분류하고 체계적으로 수집 및 분석할 수 있는 프레임워크를 제안한다. Cloud storage services are actively used because data can be used anytime, anywhere without being restricted by places or devices. Various cloud storage services are moving away from simple data stores and providing various functions such as creations, editing, collaboration, deletion, sharing, and comments. Therefore, the cloud server stores not only the data generated by the user, but also additional data for managing the user’s data or providing useful data in the cloud service. Accordingly, this paper proposes a framework that can classify vast amounts of information, systematically collect and analyze the information that can track user’s activities such as basic file content and metadata, as well as comprehensive statistical data of cloud storage.

클라우드 스토리지의 수사 활용가능 데이터 획득 방안 연구 : 구글 드라이브와 구글 포토를 중심으로

김민동 성균관대학교 일반대학원 2021 국내석사

Advances in network technology have enabled high-speed data transmission, and a ‘Cloud Storage’ has emerged that allows uploaded files to be viewed or downloaded regardless of the device and can expand the limited storage capacity in the device. Users of PCs and mobile devices can use this to upload files stored in the device to cloud storage or periodically synchronize and back up files. Google’s personal cloud storage stores and manages various data related to uploaded files, such as file creation, modification and access timestamps, and file operations history. Cloud storage can complement this situation when ‘Anti-forensics’ measures such as file encryption, data wiping, disk formatting, and initialization have made it difficult to acquire digital evidence for PCs and mobile devices. In this study, first, I conducted an experiment to verify and acquire data created and changed in the process of ‘Upload – Save - File Target Operations - Download’ of Google’s personal cloud storage services: ‘Google Drive’ and ‘Google Photos’. As a result of the experiment, the following contents were verified in each Google’s cloud storage: ‘Possibility of intentional or unintentional file upload by automatic synchronization and backup functions’, ‘Maintaining modification timestamp of the file system when uploading files’, ‘Changing photo and video files due to image quality conversion upload’ and ‘Changing timestamps and adding file operations history according to operations on files stored in Google’s cloud storage’. To obtain all kinds of data that can be viewed or downloaded within each Google cloud storage, Google's data download service, "Google Takeout", and web browsers, have been confirmed to be available through download and screen capture methods. In addition, the available data types of each download method were compared with each other, and a procedure for obtaining all data types was proposed. Lastly, I reviewed the following legal issues that may arise using proposed acquisition methods: ‘Issues of Criminal jurisdiction due to extra-territorial search and seizure’, ‘Legality of downloading all files stored on cloud storage to PCs in search locations’, ‘Relevance of file operations history’, ‘Acceptability of file operations history as circumstantial evidence’, and ‘Admissibility of evidence for photo and video files with converted quality’. It is expected that the proposed acquisition method will reduce unnecessary work during the extra-territorial search and seizure of Google’s cloud storage, enabling rapid and accurate digital evidence acquisition without duplicate data. 네트워크 기술의 발전으로 초고속 데이터 전송이 가능해지면서, 인터넷 연결만으로 업로드한 파일을 기기 유형과 관계없이 확인하거나 다운로드할 수 있고 한정된 기기 내 저장 공간을 확장할 수 있는 ‘클라우드 스토리지’ 서비스가 등장하였다. PC와 모바일 기기의 사용자는 이를 이용하여 기기 내 저장된 파일을 클라우드 스토리지로 업로드하거나 주기적으로 동기화하여 백업할 수 있다. 구글의 클라우드 스토리지에는 파일의 생성·수정·접근시간 정보, 파일 대상 행위 정보 등 업로드된 파일과 관련하여 다양한 데이터를 저장·관리한다. 최근 PC 및 모바일 기기의 파일 암호화나 완전 삭제, 포맷, 초기화 등의 ‘안티 포렌식 행위’로 인해 디지털 증거의 확보가 어려워지고 있는 상황에서 클라우드 스토리지가 이를 보완하는 역할을 할 수 있게 되었다. 본 연구에서는 먼저 구글의 클라우드 스토리지 서비스인 ‘구글 드라이브’와 ‘구글 포토’상의 파일 ‘업로드-저장-파일 대상 행위-다운로드’ 과정에서 생성, 변경되는 데이터를 확인하고 이를 획득하기 위한 실험을 진행하였다. 실험 결과, 각 클라우드 스토리지에서 ‘자동 동기화 및 백업 기능에 의한 의도적 또는 비의도적 파일 업로드 가능성’, ‘파일 업로드 시 파일시스템 수정일시 유지’, ‘화질 변환 업로드로 인한 사진 및 동영상 파일 변경’, ‘클라우드 스토리지에 저장된 파일 대상 행위 시 시간 정보 변화 및 행위 기록’ 등을 확인할 수 있었다. 각 구글 클라우드 스토리지에서 확인할 수 있는 데이터 유형을 모두 확보하기 위해서는 구글에서 제공하는 데이터 다운로드 서비스인 ‘구글 테이크아웃’과 웹 브라우저를 통해 다운로드 및 화면 캡처 방식을 사용하여 획득 가능함을 확인하였으며, 각 다운로드 방식의 확보 가능 데이터 유형을 비교하여 중복된 데이터 없이 이를 모두 획득하는 절차를 제안하였다. 마지막으로, 역외 압수·수색으로 인한 관할권 침해 문제, 수색 장소 내 PC에 클라우드 스토리지에 저장된 모든 파일을 다운로드하는 방식의 적법성 문제, 행위 기록의 사건 관련성과 정황증거로써 허용 여부, 화질 변환된 사진 및 동영상 파일의 증거능력 여부 등 제안한 획득 방법을 적용 시 발생하는 다양한 법률적 문제에 관한 검토를 수행하였다. 제안한 획득 방법은 구글 클라우드 스토리지에 대한 역외 압수·수색 시 불필요한 작업을 줄여 중복된 데이터 없이 신속하고 정확한 디지털 증거 획득이 가능하도록 만들어 줄 것으로 기대한다.

클라우드 스토리지 압수수색 시 문제점과 분석방법에 관한 연구

김흥원 서울대학교 융합과학기술대학원 2015 국내석사

클라우드 컴퓨팅은 빠르게 발전하고 있는 IT의 새로운 패러다임으로 기업들은 클라우드 컴퓨팅 환경에서 소프트웨어, 스토리지, 플랫폼 등과 같은 IT 자원을 로컬이 아닌 원격지에 위치시키고 언제든지 필요할 때 다양한 기기를 통해 접속하여 사용할 수 있게 되었다. 이러한 클라우드 컴퓨팅 환경은 기업뿐만 아니라 디지털포렌식 분야에도 영향을 끼치게 되었고, 기존의 디지털 증거의 압수수색과 조사방법에도 변화가 필요하게 되었다. 클라우드 서비스 중 클라우드 스토리지는 그 특성상 서버가 압수수색 장소가 아닌 원격지에 위치하고, 인터넷 연결이 가능한 장비만 있으면 동시 접속이 가능하여 압수수색 중에도 데이터를 삭제하는 등의 액세스가 가능하다. 또한 클라우드 스토리지에는 불특정 사용자의 데이터가 함께 저장되어 있으며 저장된 데이터도 대용량일 가능성이 크다. 따라서 디지털 증거의 압수수색 시 새로운 문제점이 존재 하는데, 먼저 클라우드 스토리지 서버는 압수수색 장소에 위치하지 않기 때문에 필요한 디지털 증거가 저장되어 있어도 압수수색 대상이 되지 않을 가능성이 크다는 것이다. 그리고 클라우드 스토리지는 동시 접속이 가능하기 때문에 사전에 접속차단 등의 조치가 이루어지지 않으면 압수수색 중일지라도 저장된 디지털 증거의 삭제·위조·변조될 수 있다. 또한 클라우드 스토리지는 불특정 사용자의 데이터를 포함하여 사건과 직접 관련 없는 데이터가 다수 저장되어 있기 때문에 과잉 압수수색에 따른 개인정보침해의 문제가 발생할 여지가 크다. 그 밖에 클라우드 스토리지 서버를 운영하는 서비스 업체의 정책에 따라, 예를 들면 데이터를 암호화하여 저장하거나 데이터 삭제 시 백업 없이 완전 삭제를 하는 등의 정책, 클라우드 스토리지 서버의 압수수색이나 분석에 영향을 받을 수밖에 없고, 이에 대한 대비나 대응이 필요할 것이다. 이에 본 논문에서는 과잉 압수수색에 따른 개인정보침해의 문제와 관련하여, 압수수색 영장 청구 시 고려해야 할 사항과 실제 압수수색 시 주의해야 할 사항에 대해 알아보고 동시접속을 통한 디지털 증거의 삭제·위조·변조의 문제와 관련하여, 효과적인 접속차단을 통해 필요한 디지털 증거를 수집하는 방법을 구체적인 상황에 따른 사례를 통해 알아보겠다. 또한 클라우드 스토리지에 저장된 데이터가 삭제되었을 경우 데이터를 수집·분석하는 방법, 데이터가 암호화되어 저장되어 있을 경우 대처방법 등 현장에서 실제 발생할 수 있는 상황과 해결방법을 제시하여 예측하지 못한 상황에도 대비할 수 있게 하였다. 그리고 클라우드 스토리지 서버의 사용여부를 탐지할 수 있는 방법을 구체적으로 제시하고 자동으로 탐지가 가능한 프로그램을 개발하여 사용 예를 소스와 함께 제공하여 현장에서 바로 활용 가능하도록 하였다.

주요 클라우드 스토리지 서비스 아티팩트 식별 및 현장 압수 · 수색에의 적용 방안 연구

이승훈 서울대학교 대학원 2024 국내석사

Abstract A Study on the identification of Major Cloud Storage Service Artifacts and application methods for on-site Seizure and Search Lee Seunghoon Master of Science in Digital Forensics Department of Mathematical Information Science The Graduate School of Convergence Science and Technology Seoul National University In the 2000s, the usage rate of cloud services increased rapidly due to the large capacity of digital data and the spread of smartphones, and this situation also had a significant impact on digital forensics. Since cloud storage has different characteristics from local storage of electronic devices, there are many problems in applying existing digital forensic techniques and methodologies to the cloud environment. Among them, the most problematic thing in practice is that cloud storage cannot be accessed unless the confiscated person cooperates, such as providing account information of cloud storage services. In order to solve this problem, this study examined what data is recorded in the local environment when using cloud storage services through experiments. First, cloud storage services mainly used in Republic of Korea were selected, and the characteristics of the cloud storage service were investigated. Next, a scenario which predefined about user action was performed on the selected cloud storage service. And by analyzing artifacts and its internal data generated on local PCs, we analyzed what data is generated on local PCs according to the type of user behavior in cloud storage services. As a result of the analysis, various data related to cloud storage usage behavior are recorded in the local environment, and by analyzing and reconstructing these data, it is possible to prove the behavior of the confiscated person's cloud storage user behavior. However, there are limitations, such as no data, depending on cloud storage services and how cloud storage is operated. To overcome the limitations of analyzing cloud storage user behavior through local artifacts, the method of utilizing the credential data of cloud storage services and executing search and seizure warrants to cloud service providers. To use these two methods, artifacts that related to operating systems, file systems, and cloud service and exist in the local environment used by the confiscated must be obtained. Based on these analysis results, this study proposes that artifacts related to operating systems, file systems, and cloud service should be acquired as an on-site seizure and search method to cope with cloud storage services. Beyond the existing method of judging and selecting the relevance of the case based only on the contents of the file, the scope of judgment on the relevance of the case should be expanded to prove the user's behavior, and not only the probative value but also the admissibility evidence of the computer-generated file should be naturally recognized. The role of digital forensics in criminal investigations in a cloud environment that is expected to spread further will be even greater. It is hoped that the on-site seizure and search plan for cloud storage services proposed in this study will enable effective criminal investigations to pursue substantive truth even if the confiscated person does not cooperate in the seizure and search of cloud storage services. keywords : Digital Forensics, Cloud Storage Service, Artifacts, Prove conduct Student Number : 2022-2142 2000년대에 들어 급격히 확산된 클라우드 서비스의 사용은 디지 털포렌식에도 큰 영향을 주었다. 클라우드 스토리지는 전자 기기의 로컬 스토리지와는 다른 특성을 가지고 있기에, 기존의 디지털포렌 식 기법 및 방법론을 클라우드 환경에 적용하기에는 여러 가지 문 제점들이 존재한다. 그 중에서도 실무상에서 가장 문제가 되는 점은 피압수자가 클라우드 스토리지 서비스의 계정 정보를 제공하는 등 의 협조를 하지 않는다면 클라우드 스토리지에 접근이 불가능하다 는 점이다. 이러한 문제점을 해결하기 위하여 본 연구에서는 클라우드 스토 리지 서비스 사용 시 로컬 환경에 어떠한 데이터가 기록되는 지 실 험을 통해 살펴보았다. 먼저 국내에서 주로 사용되는 클라우드 스토 리지 서비스를 선정하고, 해당 클라우드 스토리지 서비스의 특징을 조사하였다. 그 다음으로 선정된 클라우드 스토리지 서비스에 대하 여 사전에 정의된 사용자 행위를 수행하였다. 그리고 로컬 환경에 생성된 아티팩트 및 내부의 데이터를 분석하여 클라우드 스토리지 서비스에서의 사용자 행위 종류에 따라 로컬 환경에 생성되는 데이 터가 무엇인지 분석하였다. 분석 결과 클라우드 스토리지 사용 행위에 대한 다양한 데이터가 로컬 환경에 생성되며, 이러한 데이터를 분석 및 재구성하여 피압수 자의 클라우드 스토리지 사용자 행위에 대한 행위 증명이 가능하다. 하지만 클라우드 스토리지 서비스 및 클라우드 스토리지 운영 방식 에 따라 일부 사용자 행위에 대해서는 로컬 환경에 데이터가 존재 하지 않는 등 한계점과 제약 사항 등이 존재한다. 로컬 환경에 존재하는 아티팩트를 통한 클라우드 스토리지 사용 자 행위 분석의 한계점을 극복하기 위해서는 클라우드 스토리지 서 비스의 크리덴셜 데이터를 활용하는 방법과 클라우드 서비스 제공 자를 대상으로 한 압수 · 수색영장 발부 및 집행이라는 방법을 사용 할 수 있는데, 이 두 가지 방법을 사용하기 위해서는 피압수자가 사 용한 로컬 환경에 존재하는 클라우드 스토리지 관련 운영체제 · 파일 시스템 · 어플리케이션 아티팩트를 획득하고 그 데이터를 활용하여야 한다. 이러한 분석 결과를 토대로 본 연구에서는 클라우드 스토리지 서 비스에 대처하는 현장 압수 · 수색 방안으로 클라우드 스토리지 관련 운영체제 · 파일시스템 · 어플리케이션 아티팩트를 필수적으로 획득해 야 함을 제안한다. 그리고 이를 위해서 파일의 내용만을 토대로 사 건과의 관련성을 판단하고 선별하는 기존의 방식을 넘어, 사용자의 행위를 증명할 수 있도록 사건 관련성의 판단 범위를 확대하고 진 정성이 입증된 컴퓨터가 생성한 파일에 대하여 증명력 뿐만 아니라 증거능력까지도 당연히 인정하여야 한다. 더욱 더 확산될 것으로 예상되는 클라우드 환경에서의 범죄 수사 에 있어서 디지털포렌식의 역할은 더욱 더 커져갈 것이다. 본 연구 에서 제안하는 클라우드 스토리지 서비스에 대한 현장 압수 · 수색 방안을 통해 피압수자가 클라우드 스토리지 서비스 압수 · 수색에 협 조를 하지 않는 경우에 대해서도 실체적 진실 추구를 위한 효과적 인 범죄 수사가 이루어질 수 있기를 기대한다. 주요어 : 디지털포렌식, 클라우드 스토리지 서비스, 아티팩트, 행위 증명 학 번 : 2022-21428

CATCH: Hybrid-API 방식을 통한 클라우드 데이터 수집 프레임워크

양지혁 고려대학교 대학원 2023 국내석사

인터넷 기술의 발달로 클라우드 기반 서비스는 데이터를 사용함에 있어 가용성과 사용성을 향상시켰다. 그 중 클라우드 스토리지 서비스는 네트워크를 통해 사용자가 데이터를 저장하거나, 접근 또는 공유할 수 있도록 한다. 따라서 디지털 포렌식 수사관은 용의자의 모든 행동을 파악하기 위해 원격지 서버에 저장된 데이터를 수집해야 한다. 실제로 다양한 상용도구들이 클라우드 스토리지에 저장된 데이터를 획득하는 기능을 제공하기는 하지만, 클라우드 스토리지 리소스에 대한 완전한 접근 및 모든 데이터를 수집할 수 있는지에 대한 여부를 다루는 연구는 없다. 이와 관련하여, 본 연구에서 얻은 결과는 기존에 클라우드 포렌식을 제공하는 상용도구들이 전용 클라이언트(웹 브라우저, 데스크톱 앱, 모바일 앱)를 통해 사용하고 확인 가능한 데이터를 완전하게 식별 및 수집하지 못한다는 것을 보여준다. 본 논문에서는 4단계(인증, 탐색, 선별, 수집)로 구성된 조사 프레임워크 CATCH(Hybrid-API 방식을 통한 클라우드 데이터 수집 프레임워크)를 제안한다. CATCH는 인증에 필요한 데이터를 수집하여 클라우드 리소스에 접근한 후 Open API 및 Internal API를 사용하여 원격 클라우드 서버의 콘텐츠뿐만 아니라 접근 가능한 모든 메타데이터를 탐색, 선별 및 수집한다. 이후 CATCH 프레임워크를 기반으로 제작한 도구를 활용해 Microsoft OneDrive와 중국의 클라우드 스토리지인 Nutstore(堅果云)를 대상으로 해당 클라우드 스토리지에 저장된 모든 데이터를 디지털 포렌식 관점에서 수집한다. 이후 본 논문에서 생성된 데이터 수집 결과를 상용 디지털 포렌식 도구의 수집 결과와 비교하여 평가한다.