티스토리

SecurityCareer

검색하기

블로그 홈

SecurityCareer

isc9511.tistory.com/m

정보보안 블로그

구독자: 13

방명록 방문하기

반응형

주요 글 목록

[Digital Forensic] Windows Memory Forensic - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182 - 추가적으로 Linux OS 계통 Memory Forensic의 정보가 필요하신 분들은 아래 글을 참조하길 바란다(Kernel로 인해 윈도우처럼 쉽게 메모리 덤프를 분석하기가 불가능한 구조)https://isc9511.tistory.com/178* Windows Memory Forensic- 메모리는 우선 휘발성 정보 저장소라고 보면된다. (입출력 장치의 빠른 데이터 교환을 위한 장치)- 즉, 활성 상태에서 메모리 덤프를 확보할 수 있어야 전원이 종료되더라도 분석할 메모리의 정보를 추출해서 확인할 수 있다- 대표적인 활성 정보로, 포렌식 영역에서 확.. 공감수 2 댓글수 1 2024. 10. 11.
[Digital Forensic] Windows Timeline (With DB Browser for SQLite) - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182 * Windows Timeline- Windows 10(1803)부터 새롭게 제공된 기능으로, CDP(Connected Devices Platform) 서비스의 일부- 사용자의 최근 활동 내역을 최대 30일까지 확인 가능한 기능 (Windows + Tab 버튼 / 작업표시줄의 작업 표시 버튼)(단, Windows 11에서는 제외되었다. Win11 너무 불편...)- 시간에 따른 사용자 행위 추적과, 구체적인 응용 프로그램의 사용 시간의 확인이 가능하다- 물론 이 경우는 본인의 로컬 PC나, 물리적으로 PC를 점유한 상태에서 분석하여 확인이 가능하다는 .. 공감수 1 댓글수 0 2024. 10. 8.
[Digital Forensic] NTFS Log Tracker - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182 * NTFS LogTracker- Windows의 주요 Hive 파일인 $LogFile, $MFT, $UsnJrnl:$J를 구문 분석, 이와 관련하여 파일의 생성, 수정, 삭제 등의 변경 시각을 추적할 수 있는 도구(즉, 파일 시스템의 메타데이터를 다룸)- 특히나 내부 시스템에 대한 조작이 있었다면 해당 파일은 필수적으로 확인 해야 한다 * 파일 시스템 메타데이터 저장 주요 Hive 파일$LogFile* 경로 : %SystemRoot%\$LogFile- NTFS 파일 시스템에서 파일의 변경 사항(생성, 수정, 삭제)을 기록하는 파일- 핵심은 시스.. 공감수 2 댓글수 1 2024. 9. 27.
[Digital Forensic] Prefetch - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182PrefetchSpuerfetch(Sysmain)- Windows에서 자주 사용되는 프로그램들을 미리 메모리에 로드, 빠른 실행을 지원하기 위해 SW 활동 관련 정보를 저장하기 위해 사용하는 메모리 관리 기법(요약하자면 "메모리 효율화를 위한 별도 파일 저장 후 필요 시, 메모리에 빠르게 로딩" 이라고 할 수 있겠다)- .pf 확장자로 파일을 저장하며 최대 1,024개 까지 생성이 가능하다(오랫동안 사용되지 않는 메모리 영역에 대해서는 페이징 아웃으로 메모리 공간 확보를 지원함)- 활성화/비활성화 선택 제공- 기존 Prefetch가 현재에 와서는 대부분.. 공감수 1 댓글수 0 2024. 9. 27.
[Digital Forensic] Jump List - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182 * Jump List- Windows에서 최근 사용한 파일 및 폴더에 빠르게 접근하기 위해 만든 구조- .lnk(링크 파일)로 관리되며 사용자의 행위 파악에 도움이되는 아티팩트이다.- 일반적으로 시작 표시줄의 아이콘에서는 기본 활성화 상태(단, 탐색기는 옵션이 별도로 활성화 되어 있어야 Jump list 가 로깅됨) * JumpList 분류- 각 파일의 이름은 응용 프로그램 별 고유한 값(AppID)로 저장되며 아래 점프리스트 AppID 목록을 참조할 수 있다https://github.com/EricZimmerman/JumpList/blob/mas.. 공감수 0 댓글수 0 2024. 9. 26.
[Digital Forensic] 네트워크 정보 확인 - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182 * 네트워크 정보 확인- 네트워크 통신을 한 이력과, 그에 사용된 장비의 세부 정보 등을 확인하는 과정이며 확인할 요소들이 생각보다 많고 경로도 제각각이다 보니 자주 확인해서 연습하고 암기하는 것이 빠르게 확인할 수 있는 방법이다. * 레지스트리 기반 확인- 레지스트리 각각에 네트워크 정보가 퍼져있어서 확인이 필요한데, 이를 위해서 Hive 파일을 추출한 후, REGA Tool을 이용해서 확인하면 훨씬 용이하다- REGA는 윈도우 레지스트리 수집 및 분석 도구로, 고려대 DFRC에서 배포한 인증된 툴이다(아래는 REGA 툴 사용 시, 필요로 하는 .. 공감수 1 댓글수 0 2024. 9. 26.
[Digital Forensic] Print 정보 확인 - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182 * Spool- Windows에서 프린터 인쇄 명령 시, 출력물에 대한 데이터가 프린터로 전송- 프린터에 내장된 Buffer는 크기가 작아, 출력물들의 적체 현상을 방지하기 위해 PC에 출력물에 대한 정보를 담은 임시 파일을 생성- 해당 과정이 Spool이며, 이 과정에서 생성된 임시 파일이 Spool 파일이며 아래와 같이 분류됨(스풀 방식과 관련 없이 1개의 인쇄 명령마다 아래 파일 각각 1개씩 생성되는 방식).SHD- 소유자- 문서명- 프린터명- 컴퓨터명- 파일 크기 등의 정보 저장.SPL- Raw 및 EMF 형식의 파일에 해당하는 확장자 (개별 .. 공감수 0 댓글수 1 2024. 9. 24.
[Digital Forensic] Email 정보 확인 - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182* Email- 대부분의 통상적인 메일 내용은 각 기업의 메일 서버에 저장 (네이버, 다음, 구글 etc)- 다만, 웹 메일의 송/수신 화면을 캡처한 이미지나 파일의 내용을 복사, 저장한 텍스트 파일이 일부 존재할 가능성이 있음(즉, 볼 수 있는 정보도 있다는 말)- 단, Outlook 또는 Gmail의 .Mbox(백업 파일)를 제외하고는 메일 발송, 파일 첨부 등의 행위는 알 수 있지만 그 내용을 볼 수 없는 경우가 많음 * Email Client 프로그램- 대표적으로 온라인 웹 메일에 접속하여 사용하는 방식이 아닌, PC 자체에 설치해서 사용하는.. 공감수 0 댓글수 0 2024. 9. 24.
[Digital Forensic] FTP 사용 흔적 - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182* FTP 사용 흔적- FTP를 사용한 흔적을 조사할때는 로그 파일의 확보가 중요하다(사실 확인할 정보는 로그파일 안에서도 국한되어 있다보니 FTP Passive/Active 모드 이런 정보는 무조건적으로 알아야 한다거나 그런것도 아니다)- FTP는 프로그램도 FileZilla, ALDrive 등 굉장히 다양하지만 로그 유형은 대부분 비슷하다(단, 로그파일 저장 경로는 사용자 커스텀도 되다보니 모두 다를 수 있다) * Filezilla 예시- 가장 만만한게 Filezilla이긴 하다, 아주 직관적이기도 하고 실제 포렌식 시험에 단골로 등장했다.(로그.. 공감수 2 댓글수 2 2024. 9. 24.
[Digital Forensic] EXIF 정보 확인 - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182 * EXIF(EXchange Image File format)- 디지털 카메라를 기반으로 촬영한 이미지 파일 포맷으로 JPEG, TIFF, RIFF, WAV 등의 확장자에서 이미지 파일의 메타데이터로 존재한다- 보통 일반적인 디지털 카메라 외에도, 스마트폰(안드로이드 / 아이폰 등)도 동일하게 EXIF 포맷으로 이미지가 저장된다(물론 EXIF 정보를 남기는 옵션을 끄면 해당 이미지는 추가적인 메타데이터 없이 저장된다)- 실제 사건에서는 내부 정보 유출 사건 등의 영역에서 중요 정보가 되는 경우가 많은 정보 * EXIF 획득 가능 정보촬영 기기의 제.. 공감수 0 댓글수 0 2024. 9. 23.
[Digital Forensic] USB 연결 흔적 확인 - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182 * USB 연결 흔적 확인 Artifact- USB 연결 시, Windows 시스템 내 로깅되는 Artifact는 상당히 다양하다.- 그 중, 일부 파일과 Registry에 대해 소개하며 해당 정보들은 타 도구를 사용하며 같이 확인하게 되는 경우도 있으니 경로와 내부 정보에 대해 암기하고 있으면 빠르게 확인할 수 있다. * SetupAPILogging 파일경로\Windows\INF\Setupapi.dev.log.txt확인 가능 정보- 연결 됐던 USB Volume 명- Serial Number- Volume GUID- Product ID- 최초 연.. 공감수 0 댓글수 0 2024. 9. 19.
[Digital Forensic] Steganography - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182* Steganography- 정의 같은건 가뿐히 생략하고... 실제로 스테가노그래피 데이터가 포렌식 중에 존재할 시, 포렌식 툴 자체로는 탐지가 꽤나 어렵다(추측은 되지만 확정은 안되는 그런 애매모호한 상태)- 즉, 각 파일의 Signature Hex 값을 확인하면서, 정확히 선별할 수 있는 능력이 필요하다(물론 현실적으로 모든 파일 유형의 Signature를 외우기란 불가능하다. 그렇기 때문에 아래 방법론을 소개한다) * Steganography 식별 (예시)- 우선 파일 Signaturesms SOI (Start Of Image)와 EOI (E.. 공감수 0 댓글수 0 2024. 9. 19.
[Digital Forensic] File Signature - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182* File Signature- 파일 유형 식별을 위한 특정 16진수 패턴을 의미- 보통 파일 첫 시작부터 몇 바이트 까지로 정해져있으며, 각 확장자마다 모두 다른 값을 가짐- 보통 MIME 형식과 비교하거나, 포렌식 툴 자체의 기능으로 확장자 변조 등의 의심 파일에서 Signature 변조 또는 훼손 현상을 다수 확인하며 점점 대상을 좁혀가는 식으로 선별해낸다. * 훼손 유형- 사실 처음 봤을때 실무에서 이런 수준으로 훼손하거나 변조시키는 경우가 있을까 라고 생각은 해봤지만, 아마 굉장히 드물지 싶다(사건은 급박하게 돌아갈테고 증거 은닉이 목적이라.. 공감수 1 댓글수 0 2024. 9. 6.
[Digital Forensic] LNK Parser - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182 * LNK 파일- Windows에서 .lnk는 흔히 바로 가기 파일의 확장자이며, 원본 파일에 대한 포인터(링크)로 연결 대상을 실행시키는 파일- 바로가기 파일이지만, 원본 파일의 경로, 생성 시간 등의 추가적인 정보를 다수 포함하고 있는 점에서 Forensic 과정에서 유의미한 정보를 확인할 수 있는 경우가 많다. * LNK Parser- 링크 파일은 일반적으로 속성을 눌러서 확인하면 가독성이 너무나 떨어진다. 그리고 여러 링크 파일을 동시에 확인하기 난감하기도 하여 별도 Link Parser라는 툴을 사용하는 것을 권장한다- LNK Parser는.. 공감수 1 댓글수 1 2024. 9. 4.
[Digital Forensic] File System 복구 - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182* File System 복구- 우선 File System을 복구하기 전, 어느 부분에서 손상이 발생했는지 확인이 필수적이다.- FTK Imager에서 이미지를 불러온 후, 파일 시스템 종류와 상관 없이 파티션 접근이 되지 않거나, 일부 회복된 파티션이 확인되면 손상이 갔다는 의미이다.- 복구 시, FTK Imager와 HxD 에서 로드해서 정보를 교차 확인하며 복구를 진행한다.- 파티션 손상 상태는 대표적으로 Unrecognized file system 및 Recovered가 존재한다.1) Unrecognized file system- 파일 시스템 손.. 공감수 0 댓글수 0 2024. 8. 30.
[Digital Forensic] Autopsy - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182* Autopsy (잡 설명은 마찬가지로 생략한다. 뭐 오픈소스 라던지 기타 등등)- 별도 쓰기 방지가 없는 포렌식 분석 툴이다. 대신 오픈 소스 치고는 상당히 디테일한 수준이고 나름 분석 수준도 나쁘지 않다. (EnCase의 어마어마한 라이센스 비용을 생각하면...)- 대신 일부 부족한 기능은 확실히 존재하다 보니, 다른 Tool이 있으면 시너지가 좋다. (한마디로 없으면 개힘들다는 소리)- 위에서 언급한 추가 분석 툴은 다른 게시물에서 작성 하겠다.(각각 사용법에 디테일한 설명이 필요)- 아무튼 무료이기 때문에 필자처럼 EnCase는 거들떠 보지도 .. 공감수 0 댓글수 0 2024. 8. 29.
[Digital Forensic] FTK Imager - 혹시나 디지털 포렌식 전문가 2급 시험을 준비하는 사람들은 아래 게시물도 추가로 참조하길 바란다https://isc9511.tistory.com/182* FTK Imager (잡 설명은 생략)- 사본 이미지 생성 전용 프로그램- 정보 제공 수준이 얕다보니 전문 분석은 한계가 있음(단, 시험과 같이 시간은 제한되어 있는 상태에서 분석 대상의 용량이 커 EnCase 또는 Autopsy 등의 분석 Tool에 업로드 하는 시간이 오래걸리는 경우 FTK Imager를 통해 약식 분석으로도 증거를 찾을 수 있다 - 실제 포렌식 시험에서 이렇게 증거를 탐색하였음)- 쓰기 방지 프로그램을 별도로 제공하지 않기 때문에 Registry 사전 수정 또는 Encase의 FastBloc SE 설정 후 원본을 연결하고 이미지.. 공감수 0 댓글수 5 2024. 8. 28.
Linux Filesystem * Linux File Systemd의 종류와 특징 종류 설명 ext 2 (extended file system) * 리눅스 극 초기 버전에 사용된 확장 파일 시스템 - 소형 장치, 임베디드 시스템에서 자주 사용될 수 있음 - Unix 시스템의 실린더 그룹과 유사한 형태로 블록 그룹이 존재 (블록 : 외부 단편화를 줄이고 연속된 대량의 데이터를 읽을 때 디스크 탐색을 최소화 시키는 단위) [데이터 구조] 1. Superblock : File System 전반의 정보를 저장하는 블록 - 운영 체제 부팅 정보 - 파일 시스템 크기 정보 - 사용 가능한 공간 정보 - 블록 그룹을 백업한 복사본 보유 - 마운트 정보 등을 포함 2. Inode : 블록 단위로 저장되어 각 file과 Directory의 Metad.. 공감수 0 댓글수 0 2023. 6. 28.
Windows File System * File System : 컴퓨터 시스템에서 File, Directory를 조직화 하고 저장하는 방식이나 구조이며, OS와 저장 장치간의 인터페이스 역할을 수행함 * Windows 구형 File System의 종류와 특징 종류 사용 시스템 설명 FAT 12 (File Allocate Table) MS-DOS (+ Windows 10 ,macOS) * Windows 초기 파일 시스템으로 12bit 파일 할당 테이블을 사용 - 디스켓 드라이브 등의 초 저용량 저장 장치에 사용 [제한 사항] - 최대 디스크 용량 16MB - 최대 파일 크기 32KB - 파일 이름 8자 이하로 제한 - 확장자 3글자 제한 [구성] 1. 클러스터 : 디스크 공간을 일정하게 할당한 블록 (클러스터 기준 크기에 따라 파일이 해당 .. 공감수 0 댓글수 0 2023. 6. 26.
[Digital Forensic] Memory Analysis with Volatility3 * Memory Forensic : 대표적인 휘발성 정보로, Live Forensic을 수행 할 시 수집해야 할 주요 증거물로 사용 - 최근 악성코드 동향 중, 파일 형태가 아닌 메모리에만 적재되어 코드가 수행되는 등의 In Memory 악성코드도 존재 해당 게시물은 volatility 3를 기준으로 Memory Dump를 분석하는 준비 과정에 대한 설명을 상세히 함 * Memory Forensic의 난해한 부분 침해 사고가 발생되어 조사를 수행하는 경우, 침해 시점부터 상당 시간이 경과되거나 재부팅 등의 사유로 Memory의 악성 정보가 남아 있지 않는 경우가 상당함 Memory Dump를 수행하는 과정은 침해 당한 호스트에 접속하여 수행하게 되는데 이 과정에서 상당히 시간이 소요 (Windows는 굉.. 공감수 0 댓글수 0 2023. 5. 20.
[Digital Forensic] Linux Forensic * Linux System 핵심 현재 Kali Linux를 포함하여, Debian 계열의 점유율이 가장 높음 Tree 구조의 계층 형태로 파일 시스템이 존재 Shell based System (명령어 기반) File Types 일반 파일 특수 파일 (커널 자체 생성 파일 : 사용자가 생성 할 수 없음) Directory Kernel based System (리눅스 포렌식의 핵심) Windows Forensic의 핵심은 Registry * Linux Forensic 분석 방법론 1) Live Forensic - 활성(휘발성) 정보의 분석이 가능 - 리눅스 명령어의 사용이 가능 직접 접속을 통한 내부 분석 ssh로 접속하여 분석 2) Offline Forensic - Disk Snapshot, Image의 .. 공감수 0 댓글수 2 2023. 5. 19.
[Digital Forensic] Windows Forensic * Windows Forensic : 하기 게시물은 핵심이 되는 Artifact들의 개념, 빠르게 분석할 수 있는 부분들을 위주로 작성 * Artifact : 사용자가 아닌, 시스템이나 프로그램에 의해 생성되는 Metadata - 증거로써의 활용성이 높음 프로그램명 MAC (Modify / Access / Create) Time File Size 실행 횟수 경로 등 - Windows의 경우 AD (Active Directory) 설정에 따라 PC 자체에 로그 저장 사항이 남지 않는 등의 환경적 요인들에 의해 특정 아티팩트들이 제한적으로 존재할 수 있음 ex) 계정의 로그인 횟수 등 * Windows Artifacts 종류 - 각각의 Artifact는 OS 버전에 따라 위치, 이름 등이 상이할 수 있음 -.. 공감수 0 댓글수 0 2023. 5. 16.
[Digital Forensic] Digital Forensic Concept summary * Digital Forensic : 법의학적 접근으로 디지털 증거물의 효력을 입증하는... (개념은 그냥 구글링 하자) - 핵심은 디지털 수사 과정에 존재하는 "절차" 증거 능력 요건 내용 진정성 * 직접 연관된 증거물로 입증 - 굉장히 애매한 요소로, 가장 법적 분쟁이 많은 요소 원본성 * 제출한 증거가 원본임을 입증 - 분석 과정에서는 사안에 따라 사본을 제출하더라도 원본과 동일하다는 증명 가능할 시, 무관 무결성 * 데이터가 변조되지 않았다는 입증 - 활성 시스템(Live) 분석은 무결성 유지 과정의 입증이 중요 * 최근 환경적 요인을 고려하여 아래 방식으로 수행되는 경우도 존재 - 보안 서약서 - 수사관의 Body Cam 촬영 등 신뢰성 * Digital Forensic 과정에서의 입증 가능한 .. 공감수 0 댓글수 0 2023. 5. 15.
디지털 포렌식 (Digital Forensic) * 디지털 포렌식 : 디지털 매체를 매개체로 한 범죄 행위에 대해 자료 수집, 분석, 보존하여 법적 효력을 유지, 법원에 제출할 수 있도록 하는 일련의 절차 및 방법 * 디지털 포렌식 5원칙 원칙 내용 정당성의 원칙 증거를 적법한 절차로 수집하며, 위반 시에 증거는 효력을 잃음 재현의 원칙 동릴 조건과 상황에서 항상 같은 결과 쟇녀을 보장하여야 함 연계 보관성의 원칙 증거는 획득, 이송, 분석, 보관, 법정 제출의 일련의 과정이 명확해야 하며, 이를 추적할 수 있어야 함 무결성의 원칙 수집된 정보는 각각의 과정에서 위/변조되지 않음을 입증해야 함 신속성의 원칙 수집 과정은 손실이 발생하지 않도록 신속히 진행해야 함 * 디지털 포렌식 절차 1. 수사 준비 2. 증거 수집 3. 보안/이송 4. 증거 분석 5.. 공감수 0 댓글수 0 2021. 2. 7.

반응형

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.