사이버수사에서 귀속문제 의사결정을 위한 공개출처정보 처리 자동화 (Automating OSINT as Decision Support System to Address Attribution Problem in Cyber Investigation)

서지정보

· 발행기관 : 한국디지털포렌식학회
· 수록지 정보 : 디지털포렌식연구 / 15권 / 2호 / 86 ~ 98페이지
· 저자명 : 앤소니 온체, 럭슨 즈비리쿠제, 장윤식

초록

사이버수사와 보안에서 귀속(Attribution) 문제는 공격 컴퓨터 뒤에 숨겨진 공격의 출처와 행위자를 확인하는 것의 어려움을 뜻한다. 수사관들은 귀속의 확실성을 높이기 위해 작은 증거조각들로부터 정보를 늘려가려고 흔히 공개출처정보(OSINT)를 활용한다. 그 과정의 어려움을 줄일 수 있다면 확실성의 정도는 늘어날 것이고 그렇지 않다면 반대가 될 것이다. 그간 학자들은 복수의 OSINT 툴을 활용하고 수사관과 OSINT 소프트웨어간의 피드백 시스템을 적용하는 것을 제안해왔다. 복수의 툴을 사용하는 이유는 단일 툴이 모호하지 않고, 믿을만하고, 무결하다는 완전한 보장을 하기 어렵기 때문이다. 툴은 서로 다른 알고리즘과 데이터 출처를 활용하기에 수사관은 대안적 툴을 사용할 필요가 있다.
하지만 OSINT 툴은 범주화가 어려울 정도로 다양하다. 본 연구는 수사관의 피드백을 받아 최초 추출된 데이터를 확증하는 대안적 툴을 제안하여 의사결정을 지원하는 프레임워크를 제시한다. 이런 접근의 결과는 데이터를 재확인하는 루프를 반복하다가 수사관의 긍정반응을 통해 확실해질 때 순환을 종료토록 한다. 이렇듯 상관성과 확실성에 대한 어려움을 완화하는 방법으로 귀속에서 확신을 강화할 수 있을 것으로 기대된다.

영어초록

The attribution problem refers to the difficulty in identifying the source of a cyber-crime and the person(s) behind the attacking computer. The value of evidence left off by attackers depends on the degree of certainty on the data. To increase this degree of certainty, investigators rely widely on OSINT to expand information. However, veracity and relevance of OSINT data are challenges to OSINT. Scholarly proposed solutions include using multiple OSINT tools and implementing a feedback system between the investigator and the tool. The use of multiple tools is because search results from a single tool cannot entirely be said to be unambiguous, reliable, and have integrity. As such investigators will need to use alternative tools to verify OSINT data since different tools use different algorithms and data sources.
However, OSINT tools are too many to be recalled and require categorization. This study proposes a framework that automates OSINT as a decision support system by taking investigators’ feedback after every search and using it to suggest alternative tools that may produce more data to corroborate initially retrieved data. The result of this approach creates a data re-verification loop that forces investigators to use multiple tools while probing until a positive feedback terminates the loop. The implication of this method on OSINT data resolves to mitigating relevance and veracity challenges in automating OSINT which in turn increases the degree of certainty for attribution purposes.

참고자료

· 없음