For3nsic/Forensic

ํœ˜๋ฐœ์„ฑ ๋ฐ์ดํ„ฐ ์ˆ˜์ง‘, ๋ผ์ด๋ธŒ ๋ฆฌ์Šคํฐ์Šค

๐“›๐“พ๐“ฌ๐“ฎ๐“ฝ๐“ฎ_๐“ข๐“ฝ๐“ฎ๐“ต๐“ต๐“ช 2018. 12. 1.
728x90
๋ฐ˜์‘ํ˜•

์š”์ฆ˜ ๋ญ”๊ฐ€ ๋ธ”๋กœ๊ทธ๋ฅผ ์ ์–ด์•ผ ํ•  ๊ฒƒ๋งŒ ๊ฐ™์€ ๊ธฐ๋ถ„์ด ๋“ ๋‹ค...


์ €๋ฒˆ์—๋Š” ์‚ฌ๊ณ ๋Œ€์‘ ๋“ฑ์— ๋Œ€ํ•ด ํฌ์ŠคํŒ…์„ ํ–ˆ๋‹ค.


์˜ค๋Š˜์€ ํœ˜๋ฐœ์„ฑ ๋ฐ์ดํ„ฐ ์ˆ˜์ง‘์— ๊ด€๋ จํ•˜์—ฌ ๋‚ด์šฉ์„ ์ ์–ด๋ณผ ๊ฒƒ์ด๋‹ค.

ํœ˜๋ฐœ์„ฑ ๋ฐ์ดํ„ฐ๋Š” ๋ง๊ทธ๋Œ€๋กœ ๋‚ ์•„๊ฐ€๋Š” ๋ฐ์ดํ„ฐ์ด๋‹ค. ์ฆ‰, ์‰ฝ๊ฒŒ ๋งํ•ด ํ•˜๋“œ๋””์Šคํฌ์— ์ €์žฅ๋˜๋Š” ๋ฐ์ดํ„ฐ ๋ง๊ณ  ๋ฉ”๋ชจ๋ฆฌ์— ์˜ฌ๋ผ๊ฐ€ ์žˆ๊ฑฐ๋‚˜ ์ปดํ“จํ„ฐ๋ฅผ ์ข…๋ฃŒํ•˜๋ฉด ์—†์–ด์ง€๋Š” ๋ฐ์ดํ„ฐ๋“ค์„ ๋งํ•˜๋Š” ๊ฒƒ์ด๋‹ค.

ํœ˜๋ฐœ์„ฑ ๋ฐ์ดํ„ฐ ๊ฐ™์€ ๊ฒฝ์šฐ์—๋Š” ์•ž์—์„œ ๋งํ•œ ๊ฒƒ์ฒ˜๋Ÿผ ์ปดํ“จํ„ฐ๋ฅผ ์ข…๋ฃŒํ•˜๊ฒŒ ๋˜๋ฉด ์‚ฌ๋ผ์ง€๊ธฐ ๋•Œ๋ฌธ์— ์ปดํ“จํ„ฐ๋ฅผ ์ข…๋ฃŒํ•˜์ง€ ์•Š์€ ์ƒํƒœ(์‹คํ–‰๋˜๊ณ  ์žˆ๋Š” ์ƒํƒœ)์—์„œ ์ง„ํ–‰์„ ํ•œ๋‹ค.(๊ฒฝ์šฐ์— ๋”ฐ๋ผ ๋‹ค๋ฆ„) - ๋ผ์ด๋ธŒ ๋ฆฌ์Šคํฐ์Šค(live response)


๊ทธ๋Ÿผ ํœ˜๋ฐœ์„ฑ ๋ฐ์ดํ„ฐ์—๋Š” ์–ด๋–ค๊ฒƒ๋“ค์ด ํฌํ•จ์ด ๋˜์–ด์žˆ๋Š” ๊ฒƒ์ผ๊นŒ?

 - ์‹œ๊ฐ„, ๋‚ ์งœ ์ •๋ณด

 - ๋„คํŠธ์›Œํฌ ์ •๋ณด

 - ์‚ฌ์šฉ์ž ์ •๋ณด

 - ํ”„๋กœ์„ธ์Šค ์ •๋ณด 

 - ํ•ธ๋“ค ๋ชฉ๋ก

 - ์„œ๋น„์Šค์ •๋ณด 

 - ํด๋ฆฝ๋ณด๋“œ

 - dll ์ •๋ณด

 - ์—ด๋ ค์žˆ๋Š” ํŒŒ์ผ ์ •๋ณด

 - ๊ธฐํƒ€  ๋“ฑ


์—ฌ๊ธฐ์„œ ์ค‘์š”ํ•˜์ง€ ์•Š์€ ๋ฐ์ดํ„ฐ ์ •๋ณด๋Š” ๋‹จ ํ•˜๋‚˜๋„ ์—†๋‹ค, ๋ชจ๋‘ ์ค‘์š”ํ•˜๋‹จ๊ฒƒ์ด๋‹ค!!!!

์ด๋Ÿฌํ•œ ์ •๋ณด๋ฅผ ๊ฐ€์ง€๊ณ  ์‹œ์Šคํ…œ์˜ ์ƒํƒœ๋ฅผ ํŒŒ์•…ํ•  ์ˆ˜ ์žˆ๊ธฐ ๋•Œ๋ฌธ์ด๋‹ค. 


ํœ˜๋ฐœ์„ฑ ๋ฐ์ดํ„ฐ๋ฅผ ์ˆ˜์ง‘ํ•˜๊ธฐ ์œ„ํ•ด ์‹œ์Šคํ…œ์„ ์ข…๋ฃŒํ•˜์ง€ ์•Š๊ณ  ์ง„ํ–‰ํ•œ๋‹ค๊ณ  ๋งํ–ˆ๋‹ค. ๋งŒ์•ฝ ํ•ด์ปค์—๊ฒŒ ๊ณต๊ฒฉ๋‹นํ•˜๋Š” ์ค‘์— ํŒŒ์ผ์ด ์‚ญ์ œ๊ฐ€ ๋˜๊ฑฐ๋‚˜ ์™€์ดํ•‘ ์ž‘์—…์ค‘์ด๋ผ๋ฉด? ์ด๋Ÿฌํ•œ ๊ฒฝ์šฐ ์œ„์—์„œ ๊ฒฝ์šฐ์— ๋”ฐ๋ผ ๋‹ค๋ฆ„์— ํฌํ•จ๋œ๋‹ค๊ณ  ๋ณผ์ˆ˜ ์žˆ๋‹ค. 

์ด๋Ÿฌํ•œ ๊ฒฝ์šฐ์—๋Š” ์ „์›์„ ์ œ๊ฑฐํ•˜๋Š” ๊ฒƒ์ด ์ข‹๋‹ค. ๋ฌผ๋ก  ๋ฐ์ดํ„ฐ๊ฐ€ ์†์‹ค๋  ์ˆ˜ ์žˆ์ง€๋งŒ ์‚ญ์ œ๋‹นํ•˜๋ฉด์„œ.....์Œ 



์ž ๊น์˜ ์ƒ๊ฐ ํƒ€์ž„์„ ๊ฐ€์ ธ๋ณด์ž~!! ์Œ~~~~~~~~~~


๋‹ค์‹œ ๋ณธ๋ก ์œผ๋กœ ๋Œ์•„๊ฐ€ ํ•ด์ปค์—๊ฒŒ ๊ณต๊ฒฉ๋‹นํ•˜๋Š” ์ค‘ ๋ฟ์•„๋‹ˆ๋ผ ์ž‘์—…์„ ํ–ˆ์„ ์‹œ ์‹œ์Šคํ…œ์—๊ฒŒ ์–ด๋– ํ•œ ์˜ํ–ฅ์„ ์ค„์ˆ˜ ์žˆ๋Š” ๊ฒฝ์šฐ ์ „์›์„ ์ œ๊ฑฐํ•œ๋‹ค.

๋˜ํ•œ ์‚ญ์ œ๋˜๋Š” ๊ณต๊ฒฉ ๊ฐ™์€๊ฑฐ ๋ง๊ณ  ๋„คํŠธ์›Œํฌ ๊ณต๊ฒฉ ๋“ฑ์„ ๋‹นํ•˜๊ณ  ์žˆ๋‹ค๋ฉด ์šฐ์„ ์ ์œผ๋กœ ๋„คํŠธ์›Œํฌ ์ •๋ณด ๋“ฑ ํ•„์š”ํ•œ ๊ฒƒ์„ ๋จผ์ € ์ˆ˜์ง‘ํ•˜๊ณ  ์ข…๋ฃŒํ•ด์•ผํ•œ๋‹ค.


ํํ•˜ํ•˜ํ•ญ


์ˆ˜์ง‘์„ ํ•˜๋ฉด์„œ ์•Œ์•„๋‘ฌ์•ผ ํ•˜๋Š” ๊ฒƒ์ด ๋ช‡๊ฐ€์ง€๊ฐ€ ์žˆ๋‹ค. 

 - ์ผ๋‹จ ์‹œ์Šคํ…œ์— ์˜ํ–ฅ์ด ์ตœ๋Œ€ํ•œ ์•ˆ๊ฐ€๊ฒŒ ์ž‘์—…์„ ํ•ด์•ผํ•œ๋‹ค. => ์ธ๊ฐ€๋œ ๋„๊ตฌ๋ฅผ ์‚ฌ์šฉํ•˜๊ณ  ํŠนํ™”๋œ ๋„๊ตฌ๋งŒ์„ ์‚ฌ์šฉํ•˜๋„๋ก ํ•œ๋‹ค.

 - ๋กœ์นด๋ฅด์˜ ๊ตํ™˜๋ฒ•์น™ => '์ ‘์ด‰์ด ์žˆ๋Š” ๋‘ ๋ฌผ์ฒด ์‚ฌ์ด์—๋Š” ๋ฐ˜๋“ฏ์ด ๊ตํ™˜์ด ์ผ์–ด๋‚œ๋‹ค' => ๋ฌผ์ฒด์™€์˜ ์ ‘์ด‰์ด ์ƒ๊ธฐ๊ณ  ํ•œ๋‹ค๋ฉด ์ฆ๊ฑฐ๊ฐ€ ๋ ์ˆ˜ ์žˆ๋‹ค๋ผ๋Š” ์˜๋ฏธ๋กœ ๋ฒ”์ฃ„์ž์—๊ฒŒ๋งŒ ์ ์šฉ๋˜๋Š” ๊ฒƒ์ด์•„๋‹ˆ๋ผ ์ˆ˜์‚ฌ๊ด€์—๋„ ์ ์šฉ๋œ๋‹ค.


๋ผ์ด๋ธŒ ๋ฆฌ์Šคํฐ์Šค ๋‹จ๊ณ„์—์„œ ์˜ํ–ฅ์„ ๋ฐ›๋Š” ์‹œ์Šคํ…œ ๊ตฌ์„ฑ์š”์†Œ


1. ๋ฉ”๋ชจ๋ฆฌ  

  - ๋ผ์ด๋ธŒ ๋ฆฌ์Šคํฐ์Šค๋ฅผ ํ•˜๊ธฐ์œ„ํ•ด ๋„๊ตฌ๋ฅผ ์‹คํ–‰ํ•˜๋ฉด ํ”„๋กœ์„ธ์Šค๊ฐ€ ์ƒˆ๋กœ ์ƒ์„ฑ๋œ๋‹ค. ์ด๋•Œ ๋ฉ”๋ชจ๋ฆฌ๋ฅผ ์ ์œ ํ•˜๋ฉด์„œ ์ด์ „์— ์žˆ๋˜ ๋ฉ”๋ชจ๋ฆฌ ์˜์—ญ์„ ๋ฎ์–ด ์”Œ์–ด๋ฒ„๋ฆฐ๋‹ค.

  - ์ปค๋„ ์˜ค๋ธŒ์ ํŠธ๋ฅผ ๊ด€๋ฆฌํ•˜๋Š” ์‹œ์Šคํ…œ ํ…Œ์ด๋ธ”์ด ๊ฐฑ์‹ ๋˜๋ฉด์„œ ์ƒˆ๋กœ์šด ํ•ญ๋ชฉ ์ถ”๊ฐ€ ๋˜๋Š” ์˜ค๋ž˜๋œ ํ•ญ๋ชฉ์ด ์‚ญ์ œ๋œ๋‹ค.

2. ๋„คํŠธ์›Œํฌ

  - ๋ผ์ด๋ธŒ ๋ฆฌ์Šคํฐ์Šค ๋„๊ตฌ๊ฐ€ ๋„คํŠธ์›Œํฌ ๊ธฐ๋Šฅ์ด ์žˆ์–ด ๊ธฐ๋Šฅ์„ ์‚ฌ์šฉํ•œ๋‹ค๋ฉด ๊ด€๋ จ ๋กœ๊ทธ๊ฐ€ ์ƒ์„ฑ๋œ๋‹ค,

  - ์ปค๋„ ์˜ค๋ธŒ์ ํŠธ์— ์˜ํ•ด ๊ด€๋ฆฌ๋˜์–ด ์ปค๋„ ํ…Œ์ด๋ธ”์„ ๊ฐฑ์‹ ํ•œ๋‹ค.

  - ๋กœ๊ทธ ๊ฐฏ์ˆ˜๊ฐ€ ์ง€์ •๋˜์–ด ์žˆ๋‹ค๋ฉด ์˜ค๋ž˜๋œ ๋กœ๊ทธ๊ฐ€ ์‚ญ์ œ๋ ์ˆ˜ ์žˆ๋‹ค.

3. ํ”„๋ฆฌํŒจ์น˜

  - ํŒŒ์ผ์„ ์‹คํ–‰์‹œํ‚ค๋ฉด ํ”„๋ฆฌํŒจ์น˜ ํŒŒ์ผ์ด ์ƒ์„ฑ๋จ(xp ๋Š” 120๊ฐœ ๊นŒ์ง€ ์ƒ์„ฑ๊ฐ€๋Šฅ 120๊ฐœ๊ฐ€ ๋„˜์„ ์‹œ ์˜ค๋ž˜๋œ ์ˆœ์„œ๋Œ€๋กœ ์‚ญ์ œ)

  - ์ตœ์†Œ ํด๋Ÿฌ์Šคํ„ฐ ํ•˜๋‚˜ ์ด์ƒ์˜ ๋น„ํ• ๋‹น ์˜์—ญ์„ ์ƒˆ๋กœ ํ• ๋‹น ๋ฐ›์•„ ์‚ฌ์šฉ

4. ๋ ˆ์ง€์ŠคํŠธ๋ฆฌ

  - ๋ผ์ด๋ธŒ ๋ฆฌ์Šคํฐ์Šค ๋„๊ตฌ ๊ฐ™์€๊ฒฝ์šฐ ๋Œ€๋ถ€๋ถ„ ๋ ˆ์ง€์ŠคํŠธ๋ฆฌ์— ์ ‘๊ทผํ•œ๋‹ค. ์ด๋•Œ ๋ ˆ์ง€์ŠคํŠธ๋ฆฌ์— ๋งˆ์ง€๋ง‰ ์ ‘๊ทผ ์‹œ๊ฐ„, ์“ฐ๊ธฐ ๋“ฑ์˜ ์‹œ๊ฐ„์ด ๊ฐฑ์‹ ๋˜์–ด ๋ฒ„๋ฆฐ๋‹ค.

5. dll

  - ์‹คํ–‰์‹œํ‚ค๋Š” ๋„๊ตฌ ๋“ฑ์ด dll์„ ํ•„์š”๋กœ ํ•˜์—ฌ dll์„ ํ˜ธ์ถœํ•˜๋ฉด ์ ‘๊ทผ ์‹œ๊ฐ„ ๋“ฑ์ด ๊ฐฑ์‹ ๋˜์–ด ๋ฒ„๋ฆฐ๋‹ค.

6. ๋กœ๊ทธ ํŒŒ์ผ

  - ์—๋Ÿฌ๊ฐ€ ๋ฐœ์ƒํ•œ๋‹ค๋ฉด ์ด๋ฒคํŠธ๋กœ๊ทธ๊ฐ€ ๋ฐœ์ƒ๋˜๋ฉด์„œ ์ค‘์š”ํ•œ ๋กœ๊ทธ๋ฅผ ๋ฐ€์–ด๋ฒ„๋ฆด ์ˆ˜์žˆ๋‹ค.


ํœ˜๋ฐœ์„ฑ ๋ฐ์ดํ„ฐ์˜ ์ •๋ณด๋ฅผ ์ˆ˜์ง‘ํ•˜๊ธฐ ์œ„ํ•ด 2๊ฐ€์ง€์˜ ๊ฐ€์ด๋“œ๋ผ์ธ์ด ์ œ์‹œ๋˜๊ณ  ์žˆ๋‹ค.

1. Guidelines for Evidence Collection and Archiving(RFC 3227) : https://www.ietf.org/rfc/rfc3227.txt

2. Guide to integrating Forensic techniques into Incident Response(NIST Special Publication 800-86) : http://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf



RFC 3227 ํœ˜๋ฐœ์„ฑ ์ •๋ณด ์ˆ˜์ง‘ 

NIST Special Publication 800-86 ํœ˜๋ฐœ์„ฑ ์ •๋ณด ์ˆ˜์ง‘ 

 registers, cache

network connections 

 routing table, arp cache, process table, kernel staistics, memory

login sessions 

 temporary file system

contents of memory (memory)

 disk

 running processes

 remote logging and monitoring data that is relevant to the system in question

 open file

 physical configuration, network topology

 network configuration

 archival media

 operating system time


์ •๋ณด ์ˆ˜์ง‘ ์ˆœ์„œ๋ฅผ 100ํผ ์‹ ๋ขฐํ•˜์ง€๋ง๊ณ  ์ƒํ™ฉ์— ๋งž๊ฒŒ ์ˆ˜์ง‘ํ•˜์—ฌ์•ผ ํ•œ๋‹ค.


๊บ„๋ฅด๋ฅด๋ฅด๋ฅด๋ฅด๋ฅผ

์“ฐ๋Š”๋ฐ ๋ฐฐ๊ฐ€ ๊ณ ํŒŒ์กŒ์Šต๋‹ˆ๋‹ค :( ํžˆ์œต



728x90
๋ฐ˜์‘ํ˜•

๋Œ“๊ธ€0

๊ด‘๊ณ  ํ•œ๋ฒˆ ๋ณด๊ณ  ๊ฐ€์‹ค๊ฒŒ์š”!