문서보안이 설정된 이메일 첨부파일의 효율적 분석을 위한 도구 설계 - 범죄수사와 e-Discovery 활용을 목적으로 - (Implementation of the Tool for Efficient Review of Email Attachments which Document Security is applied - For the purpose of Criminal investigation and e-Discovery -)

서지정보

· 발행기관 : 한국디지털포렌식학회
· 수록지 정보 : 디지털포렌식연구 / 16권 / 1호 / 131 ~ 141페이지
· 저자명 : 장동근, 김기범

초록

디지털 포렌식 분석관은 이메일을 선별·수집하기 위해 사건과 관련된 키워드나 기간을 설정한다. 이메일 첨부파일에 문서보안이 적용되어 있다면 추출한 후 복호화하여 수집한다. 분석관은 이메일과 추출된 첨부파일의 끊어진 연결성을 확인하며 분석해야 한다. e-Discovery 전문 솔루션을 통해 연결성을 확인할 수 있지만, 비용 문제로 파일명을 직접 비교하여 확인하면 착오가 발생할 수 있어 분석이 지연된다. 본 논문에서는 범죄수사와 e-Discovery에서 복호화된 첨부파일을 이메일에 다시 첨부하여 연결성을 확보할 수 있는 도구를 구현한다. EML·MSG 형태의 이메일 파일에서 문서보안이 적용된 첨부파일들을 추출하여 연결성을 기록하고, 관리자에 의해 복호화된 첨부파일을 재첨부하여 저장하도록 설계하였다. 사용자는 해시값이 변경된 증거의 동일성을 증명하기 위해, 실행 과정에서 생성되는 해시값의 변경 기록을 확인할 수 있다. 실험 결과, 해당 재첨부 도구를 통해 상용 솔루션 없이 이메일과 첨부파일의 연결성을 유지하였다. 분석에 필요한 과정을 단축할 수 있고, 선별·수집 시 누락을 방지할 수 있음을 확인하였다.

영어초록

When collecting e-mails from custudians in digital forensics, e-mails are selected through keywords or periods related to the event. If the attached file in the e-mail is applied with document security, the attachments would be extracted. Then document security manager remove the protection of attachments, and investigator collect them separately. For this reason, investigators should check the parental relationship between the extracted attachment and the original e-mail, which has lost connectivity. To address this inconvenience, investigators can use the E-Discovery solution that can be reviewed while maintaining connectivity between the contents of the email and the attachment, but if it is difficult to use due to cost issues, it may take a long time to review and cause errors due to the same file name. In this paper, the implemented tool presents the method to reattach the decrypted attachment to the original email in order to solve the problem of the existing method in which the connection between the contents of the email and the decrypted attachment is disconnected. The tool extracts attachments that need to be decrypted targeting EML or MSG-type email files and records connectivity with the original email. it attaches the attachments decrypted by the security manager to the email again and stores it. In order to prove the identity of the evidence in which the hash value has been changed, the user may check a record of the change of the hash value generated during the execution process. As a result of the experiment, the connection between the email and the attachment was maintained without a commercial solution through the relevant reattachment tool. It was confirmed that the process necessary for analysis can be shortened, and omission can be prevented during search and seizure.

참고자료

· 없음