신속한 침해사고 대응을 위한 파워셸 이벤트 로그 자동분석 (Automated Windows PowerShell Event Log Analysis for Rapid Incident Response)

서지정보

· 발행기관 : 한국디지털포렌식학회
· 수록지 정보 : 디지털포렌식연구 / 17권 / 1호 / 1 ~ 12페이지
· 저자명 : 윤찬민, 김원겸, 박재유

초록

랜섬웨어로 대표되는 악성코드에 의해 발생한 침해사고는 전 세계적으로 피해 사례가 상승하고 있다. 이러한 악성코드는 사용자의 컴퓨터에 접근하여 파일 시스템 동작과 암호화 연산에 필요한 API를 다수 호출하는 방식으로 동작하는데, 이때 대상 컴퓨터에는 다양한 아티팩트 변동이 관찰된다. 특히 마이크로소프트의 윈도우 운영체제 환경에서는 '이벤트 로그(Event Log)'라는 아티팩트가 분석과정에서 유용하게 이용된다. 하지만 분석대상 이벤트 로그의 양이 기하급수적으로 증가하는 경우 분석관이 수작업으로 대조하기에는 많은 시간과 비용이 소모된다. 뿐만 아니라 이벤트 로그에 난독화된 내용이 포함되어 있는 경우에는 이를 별도로 해제하고 비교하는 과정에서 분석관의 전문성과 노력이 요구된다.
본 연구에서는 자동화된 파워셸 이벤트 로그 복호화 및 분석 방법을 통해 대량의 자료를 신속하고 효율적으로 처리함으로써 침해사고 현장에서 초동 대응을 할 수 있는 방법을 제시하고자 한다. 이 방법을 실제 사이버 범죄 수사에 적용하고 관련 업무의 효율성을 개선하는 것을 목적으로 한다.

영어초록

The frequency of ransomware-induced incidents has been on the rise globally. This malicious code first infiltrates a user's computer and then utilizes APIs for file system operations and encryption. During this process, various changes to artifacts are observed on the target computer. In particular, in the Microsoft Windows operating system environment, the 'event log' artifact is useful in the analysis process. The exponential increase in event logs to be analyzed can significantly prolong the process and require substantial resources for manual comparison, but if the event logs contain obfuscated content, further expertise and effort are necessary for deobfuscation and comparison.
In this paper, we propose an automated method for deobfuscating large amounts of event logs data in a fast and efficient manner using PowerShell, and analyzing the output as an initial response approach in incident investigation. The purpose of this method is to apply it to real-world cybercrime investigations and enhance the efficiency of related tasks.

참고자료

· 없음