포렌식 데이터의 분류체계와 활용방안 : 클라우드 스토리지 데이터를 중심으로

강승아 고려대학교 정보보호대학원 2023 국내석사

클라우드 스토리지 서비스는 장소나 기기에 제약 받지 않고 언제 어디서든 데이터를 활용할 수 있기 때문에 활발하게 사용되고 있다. 다양한 클라우드 스토리지 서비스가 단순한 데이터 저장소에서 벗어나 생성, 편집, 공동작업, 삭제, 공유, 댓글 등 다양한 기능을 제공하는 추세이다. 따라서 클라우드 서버에는 사용자가 생성한 데이터 뿐만 아니라 클라우드 서비스에서 사용자의 데이터를 관리하거나 유용한 데이터를 제공하기 위한 다양한 데이터를 저장한다. 이에 본 논문에서는 기본적인 파일 콘텐츠와 메타데이터 뿐만 아니라 클라우드 스토리지의 종합적인 통계 데이터 등 사용자의 활동을 추적할 수 있는 방대한 정보를 데이터 분류 체계에 따라 분류하고 체계적으로 수집 및 분석할 수 있는 프레임워크를 제안한다. Cloud storage services are actively used because data can be used anytime, anywhere without being restricted by places or devices. Various cloud storage services are moving away from simple data stores and providing various functions such as creations, editing, collaboration, deletion, sharing, and comments. Therefore, the cloud server stores not only the data generated by the user, but also additional data for managing the user’s data or providing useful data in the cloud service. Accordingly, this paper proposes a framework that can classify vast amounts of information, systematically collect and analyze the information that can track user’s activities such as basic file content and metadata, as well as comprehensive statistical data of cloud storage.

불법 촬영물에 대한 디지털 포렌식 프레임워크에 관한 연구

김종만 고려대학교 정보보호대학원 2019 국내석사

최근 불법촬영 사건 근절을 위한 논의가 사회 각 분야에서 이루어지고 있다. 수사기관과 정부 관계부처에서도 불법촬영과 같은 사이버 성폭력 근절을 위한 종합대책의 일환으로 핵심과제를 선정하여 추진 중에 있다. 또한 학계에서도 사이버 성폭력 처벌법을 정비해서라도 범죄자들에 대한 처벌을 강화해야 한다는 연구를 발표하고 있다. 범죄자의 대부분이 불법촬영 사건에서 스마트폰을 사용하고 있고, 이 스마트폰의 90%가 안드로이드 운영체제를 탑재하고 있다. 이로 인해 디지털 포렌식 관점에서도 안드로이드 스마트폰에 대한 연구의 중요성은 높아지고 있으나, 어플리케이션 마켓을 통해 유통되고 있는 무음 또는 은닉앱과 같은 안티포렌식 어플리케이션으로 인해 현장수사관과 전문분석관은 스마트폰을 대상으로 증거 수집, 분석에 많은 어려움을 겪고 있는 실정이다. 결국 정부는 관계부처 협의를 걸쳐 무음앱 사용에 대한 대책을 마련하기에 이르렀다. 본 논문에서는 불법촬영 사건에서 주로 사용되고 있는 안드로이드 스마트폰의 포렌식에 대한 것으로 무음앱과 같은 안티포렌식 어플리케이션을 고려한 현장수사관 중심의 증거수집 절차를 제안하며, 이 절차를 실현하기 위해 무음앱과 은닉앱을 탐지할 수 있는 시스템을 구현하였다. 실험을 통해 탐지 시스템의 실현 가능성을 확인하였으며, 특별히 마켓을 통해 배포되는 상용앱 이외에도 은밀히 유포되고 있는 출처 정보 미공개 은닉앱의 정보를 수집할 수 있는 기술과 방법을 함께 제시하였다. 또한, 같은 사건에서 범죄 구성요건을 증명하기 위해 분석관 중심의 증거분석 절차를 제안하였다. 이것은 용의자가 증거인멸 시, 간접단서 뿐만 아니라 불법 촬영물의 유포로 인한 2차 피해를 막기 위해 반드시 확인되어야 할 절차를 제안한 것이다. 탐지 시스템의 정보 수집 기법과 탐지성능을 모듈별로 평가한 결과, 각 모듈뿐만 아니라 시스템 전체의 실효성을 확인할 수 있었다. 더 나아가, 몸캠과 같은 다른 유형의 범죄에 적용하여 시스템의 확장 가능성까지 확인할 수 있었다. 본 논문이 현장수사관과 전문분석관 그리고 불법 촬영으로 고통 받는 시민에게 도움을 줄 것이라 기대한다.

피트니스 트래커에 대한 디지털 포렌식 연구

이선경 고려대학교 정보보호대학원 2022 국내석사

최근 운동할 때 Fitness tracker를 착용하고 다니는 사람들이 증가하고 있다. 이 기기는 걸은 횟수, 심박수 등을 측정해줌으로써 운동을 권장하고 운동 기록을 분석해준다. 어떤 기기나 서비스는 Fitness tracker로서 단순히 운동 기록을 추적하는 기능을 제공하는 경우도 있고 몇몇 기기나 서비스들은 운동 기록 측정 외의 다른 기능들을 제공하는 경우도 있다. 후자의 경우에는 fitness tracker를 넘어서 일상을 기록하는 life logger와 같은 역할을 한다. 디지털 포렌식 관점에서 이러한 종류의 기기는 사람의 일상 생활을 파악할 수 있게 해주는 중요한 증거를 생성할 수 있다. 실제로 몇몇 사건에서 fitness tracker 기기에서 생성된 데이터를 증거로 활용한 사례가 있으며, 심지어 거짓된 진술을 했던 진범을 찾아낼 수 있도록 도와주었다. 그래서 Fitness tracker에 대한 포렌식 연구는 점차 중요해지고 있다. 본 논문에서는 많이 사용되는 피트니스 트래커 밴드와 서비스를 대상으로 포렌식 분석한 내용을 설명한다. 첫 번째, 본 논문에서는 최근 많이 사용되는 4가지 fitness tracker 기기/서비스를 대상으로 데이터가 남을 수 있는 모든 소스 (로컬 기기, 원격지 클라우드)로부터 데이터를 수집하는 다양한 방법들을 실험하였다. 두 번째, 스마트폰과 클라우드 아티팩트를 수집하는 다양한 방법들을 정리하였다. 마지막으로, 수집한 fitness tracker를 대상으로 수사하는 디지털 포렌식 프레임워크를 제안한다. 이 프레임워크는 fitness tracker 관련 데이터를 수집하는 방법이 다양하고, 수집 가능한 아티팩트가 특징을 고려하여 작성하였다.

MAC OS 라이브 포렌식 프레임워크 설계 및 구현

박상호 동국대학교 2013 국내석사

The market share of Mac OS is increase under the influence of high share of iPhone. Hacking and malware infections that have occurred recently due to the increase in MAC OS users. But it is hard to collect evidences on the platform since there is only a little information available about digital forensics on MAC OS. Futhermore, Existing forensic technicques like disk cloning and analysis based on hardware disassembly is not suitable for all-in-one design of iMac, MacBook Air, Retina etc. In this paper, we present limitations of the existing MAC OS Live forensics framework for live forensics and propose a new model of MAC OS Live forensics framework to solve these difficulties.

탈중앙화 스토리지 서비스에 대한 포렌식 프레임워크 : IPFS와 Filecoin 사례를 중심으로

손지훈 고려대학교 정보보호대학원 2024 국내석사

기존 클라우드 스토리지 서비스에 비해 낮은 가격과 높은 복원력 및 프라이버시를 제공하는 탈중앙화 스토리지 서비스는 피싱, 악성코드 배포, 저작권 침해 등으로 악용되고 있다. 탈중앙화 스토리지 서비스를 수사하는 것은 검열회피성과 탈중앙화성 때문에 어려우며, 기존 포렌식 수사 프레임워크는 탈중앙화 스토리지 서비스에 적용하기에는 적합하지 않았다. 따라서 본 논문에서는 탈중앙화 스토리지 서비스에 대한 수사 관점에서의 포렌식 프레임워크를 제시한다. 제시한 프레임워크에서는 잠재적인 증거들을 식별, 수집 조사, 분석하고, 더 나아가 추가적인 콘텐츠 유포를 방지하는 과정을 포함한다. IPFS 및 Filecoin을 이용한 피싱 사례와 대규모 파일 공유 사례를 이용하여 제시한 프레임워크에 대한 유용성과 타당성을 입증하였다. Decentralized storage services are growing in popularity due to their lower costs and increased resilience and privacy compared to traditional cloud storage services. However, these characteristics also attract malicious actors who abuse these services for creating phishing URLs, distributing malware, infringing the copyrights, and conducting other crime-related activities. The investigation of these services is challenging due to their censorship resistance and decentralization, which make existing methodologies for cloud-based storages and peer-to-peer based file sharing services insufficient. To address these challenges, we introduce a novel forensic investigation framework that encompass the process of identifying, collecting, examining, analyzing potential evidence, and preventing further distribution of the content in each node, peer, gateway, and internet area of decentralized storage system, integrating investigation steps both on remote and local sides. The usefulness and applicability of our proposed framework is demonstrated through case studies involving phishing and large-scale file sharing using IPFS with Filecoin.

가상자산 지갑 포렌식을 위한 프레임워크 연구

박아현 동국대학교 일반대학원 2024 국내석사

Cryptocurrencies have enhanced global financial accessibility and simplified transaction processes operating independently from centralized financial systems and being traded via peer-to-peer networks. However, cryptocurrency is increasingly being utilized in criminal activities due to its features such as pseudonymous and decentralization. Despite the expanding cryptocurrency market, research in this area, particularly in forensic investigation, remains limited. Existing studies have focused on transaction analysis, wallet program forensics, and traditional forensic approaches like disk, volatile memory, and network traffic analysis. This study aims to bridge the gap in existing research by proposing a practical cryptocurrency wallet forensic investigation framework. The framework comprises three stages: forensic readiness, collection and analysis, and investigation and action. In forensic readiness, investigators update wallet program lists to anticipate potential suspects’ tools, facilitating efficient data investigation in future cases. The analysis phase involves memory and disk analysis, proposing methods to identify cryptocurrency addresses and recovery data. The investigation phase outlines subsequent steps based on the acquired information, from wallet recovery to asset seizure, focusing on strategies for both complete and incomplete recovery methods. This research contributes a forensic readiness guide essential for cryptocurrency investigations and systematically organizes analysis techniques necessary for end-system forensics, linking end-system analysis with blockchain investigations through case studies. Unlike prior studies focusing on known strings or bitcoin wallet traces on PCs, this framework emphasizes zero-base analysis for practical application and methodologies for seizing illegal funds.

경찰의 바디캠 사용문제점 고찰 및 개선방안

최진혁 고려대학교 정보보호대학원 2020 국내석사

대부분의 선진 국가들은 현장 경찰관들에게 웨어러블 카메라을 착용하고 근무하도록 하고 있다. 촬영된 영상을 통해 경찰과 일반 시민들, 범죄자들 사이에서 발생하는 마찰이나 충돌을 명확하고 투명하게 해결하고, 주취상태에서 폭언 행위나 인식있는 불법행위 중에 영상 촬영을 한다고 고지하면 누그러지는 태도의 변화와 직무 수행 중 공무집행방해와 같은 곤란한 상황에 처할 경우 웨어러블 폴리스캠에 의해 촬영된 영상이 중요한 증거자료로 활용될 수 있다. 우리나라도 경찰 바디캠을 자체 제작하여 시범 운영하고 있으나 개인정보 수집, 프라이버시 침해와 같은 법적인 요인과, 배터리 지속성, 야간촬영, 카메라 성능과 같은 기술적 요인으로 인해 웨어러블 폴리스캠 사용률이 극히 저조한 편이다. 본 논문에서는 경찰의 바디캠 사용 실태와 사용의 법적 근거에 대해 분석하고, 사용상의 문제점을 도출한 후, 이를 해결할 수 있는 방안을 제시하고자 한다. 또한 경찰 바디캠으로 촬영된 영상의 무결성을 보장할 수 있는 프레임워크와 함께 무결성 보장 도구를 개발 제안한다.