디지털 포렌식 수사를 위한 유사 파일 탐지 (Detecting Similar Files for Digital Forensic Investigation)

서지정보

· 발행기관 : 한국정보기술학회
· 수록지 정보 : 한국정보기술학회논문지 / 7권 / 2호 / 182 ~ 190페이지
· 저자명 : 서기민, 임경수, 이상진

초록

대용량 저장 매체가 급증하면서 사건의 중요한 열쇠가 되는 증거를 확보하는데 어려움이 존재한다. 최근 NIST의 NSRL에서는 잘 알려진 파일(시스템 파일, 응용 프로그램 파일)의 해쉬값을 공개하여 디지털 증거 분석 시 대상 파일의 검색 시간을 줄이고 해킹 등으로 인한 파일의 위변조 여부를 판단할 수 있도록 지원하고 있다. 해쉬값은 하나의 비트만 달라져도 그 결과 값이 완전히 다르기 때문에 파일의 일치 여부를 판단할 수 있으나 파일이 어느 정도 유사성이 있는지 여부는 판단할 수 없는 단점이 있다. 즉 디지털 포렌식 수사에서 사건과 관련된 파일이 어느 정도 손상되거나 데이터가 삽입 되더라도 사건을 해결할 수 있는 충분한 증거가 될 수 있다. 이로 인해 파일의 유사성을 식별할 수 있는 기술이 대두되고 있다.
이에 본 논문에서는 기존 파일의 유사성을 탐지할 수 있는 기술에 대해 살펴보고 문제점을 분석한다. 또한, 기존의 탐지 방법을 보완할 수 있는 통계 분석을 적용하여 유사성을 탐지할 수 있는 모듈을 설계하고 도구를 구현한다.

영어초록

Rapid increase of the mass storage devices is difficult for forensic examiners to find important evidence. The examiner needs much time to search files that related to the crime in a variety of storage device. Recently, NIST has developed a new database NSRL which contains hashes of trusted operating systems and programs[1]. With disclosing NSRL, they provide support for the examiners analyzing object files less file searching time in the digital evidence and detecting forgery. Thus an accidental or intentional change to the files will almost certainly change the hash value in cryptographic hash function. The similarity is not because of the characteristics of hash value detected. By considering the known fuzzy hashing and statistical analysis, we present a method which detected similar files. In this paper, we develop a similar files detection tool that detected damaged and intentional changed files.

참고자료

· 없음