처음 만나는 디지털 포렌식

디지털 포렌식(Digital Forensic)

컴퓨터와 같은 디지털 저장매체의 정보 중 법정 증거로 가치 있는 '디지털 증거'를 수집하는 업무를 말한다. 포럼(Forum)이라는 라틴어처럼, 공개적인 자리에서 누구나 인정할 수 있는 객관성 갖는 것이 주목적이다.

---

1. 디지털 증거 수집

모니터상 프로그램 사진자료 확보, Off-storage확보, 연관 프로세스 확인 등

 

 1) 매체의 전원이 켜져 있는 경우

 - DOS, Window 9x, Window XP, 2000, pro, Mac =>  전원 플러그 강제 분리 (노트북 배터리 탈거)

 - Windows server (2000, 2003, 2008), Linux, Unix 등 =>  정상적 종료작업 수행 (Shutdown)

 2) 매체의 전원이 꺼져 있는 경우

- 켜지 말 것, 외형 확인 및 사진 확보, 하드디스크 분리

 3) 하드디스크 이미징 (HDD Imaging)

- 원본 보존 및 복제본 생성

  - 이미징: 비트열 단위로 복제 => 지워진 파일 복구 가능

  - 복사: 파일과 폴더 단위로 복제

 4) 포렌식 분석서 (Forensic Report) 작성

- 판단 또는 옹호와 같은 주관적 의견 배제, 객관적인 내용만 서술

 

---

2.  포렌식 예시

1) 시스템 정보 확인

cmd> systeminfo

KBnnnn~ : 윈도우 핫픽스 패치 번호 , 최근 보안 패치 여부를 통해 시스템 취약점 판별 가능

 2) 현재 시간 및 날짜

cmd> echo %date% %time%

3) MAC Time

: 파일의 최근 수정시간, 액세스 시간 그리고 변경 시간

• Modify Time (수정한 날짜): 마지막 수정 시간 
• Access Time (액세스 한 날짜): 버전에 따라 실시간 반영이 지연될 수 있다.
• Create Time (만든 날짜): 해당 컴퓨터 디렉터리에 위치된 날짜 (다운로드, 생성, 복사 등)

수정 뒤 디렉토리를 이동시킬 경우, 수정 날짜가 만든 날짜보다 앞섬을 확인할 수 있음

---

3. Sysinternals를 활용한 포렌식

윈도우 환경을 진단, 관리, 모니터링하는 기술자료로 사용되는 Sysinternals 사용법을 익힌다

 

1) 프로그램 설치

[공식 사이트] https://docs.microsoft.com/en-us/sysinternals/

Sysinternals - Windows Sysinternals

'Sysinternals suite' 설치 후 C드라이브에 위치 (cmd실행을 위함)

2) Sysinternals 실행

C: tcpview.exe

netstat -na와 유사한 기능을 가지며 실시간 연결 상태를 바로 확인 가능

 

C: DiskView.exe > Refresh

디스크의 용량을 파란색 (사용), 흰색 (공란)으로 표시

 

C: Autoruns.exe

윈도우 시작할 때 시행되는 프로그램

 

C: psinfo    // 컴퓨터의 프로세스와 관련된 내용 열람

C: psinfo -s -h  // h: 핫픽스, s: 소프트웨어

C: psinfo -d   // 디스크 사용정보를 표시

 

C: pslist    // 현재 구동 중인 프로세스 목록 상세 출력

 

C: pslist -t   // 자료를 트리 형태(tree) 표시

C: listdlls   // 각 프로세스별로 사용 중인 *dll확인 가능

=> 악성코드가 사용하는 dll 리스트 확인 가능

* dll(Dynamic Link Library)이란?

자주 쓰이는 기초적인 함수의 중복 개발을 피하기 위해 표준화된 함수 및 데이터 타입을 만들어 모아 둔 것을 말한다. 

 

ex) notepad(메모장)이 사용하고 있는 dll 리스트 확인 > listdll notepad.exe

C: net share   // 공유폴더 확인 혹시 모를 백도어 점검

C: net session   // 접속한 사용자 확인 (액세스 거부)

 

doskey /history    // 현재까지 작성된 명령어 나열

---

4. 시작 프로그램 확인

악성코드(백도어 등)는 공격자에 의해 사전에 등록되어 있으며 부팅시 실행된다.

설정 > 시작 앱

필요한 경우가 아닐 시 되도록 부팅시 시작여부를 '끔'으로 설정

---

 

참고자료

https://mild-nature.kr/100

포렌식 뜻을 알아봅시다!

https://goddaehee.tistory.com/185

DLL이란? (Dynamic Link Library)

https://itwiki.kr/w/MAC_Time

IT위키