맨땅에 헤딩하기

10일 회사 산행 대회에 이어 바로 외부 세미나 참석하기가..멋했지만..강행했슴다..
아..교육훈련 근태 내놨는뎅..

회사에 잠시 들어갔다가 가게되서리...9시 40분쯤 도착한거 같네요...
이미 많은 사람들이 와있더군요..^^;

등록하고 휘릭~ 봤떠니..역시 아는사람은 안 뵈네여..ㅋㅋㅋ
일단..오후 세션을 B세션(기업정보보호)을  들으려고..B세션(입구에)라고 적혀 있는곳으로 들어갔는데..
탁자 있는 곳은 이미 사람들이 자리를 대부분 차지했네여..

혼자라 가벼운 마음으로 빈자리에 앉았슴다...
첫번째 세션 발표자인 김지훈 팀장(안랩 - cissp협회 간사님인데..)이 준비하는 모습이 간간히 보이더군요...

제가 10회였나요? 창립 10주년 기념으로 무료일때 참석한걸로 알고 있는데..
ㅎㅎ 벌써..4회나 더 지났나 싶더군여...그간은 유료라..ㅋㅋ

10시가 되자 김지훈님의 해킹방어시연 " conficker vs security, know your enemy 라는 주제로 발표가 시작되었습니다. ppt에 많은 노력을 들으셨더군요..
conficker 에 대해서는 많이 듣기는했는데..그닥 피해가 없어서인지...별 관심이 없었는데..
세션을 통해 좀 알게된 계기가 되었습니다.

두번째로 구사무엘님의 "안전한 인터넷 세상을 위한 해커의 역할과 책임"이라는 발표가 이어졌습니다.
해커에 대한 정의서 부터해서 최근 해커들의 추세(무료 취약성 공개 대신 유료 취약성 공개형태)를 말씀하시면서
기업들의 태도에 대해서 좀 꼬집는듯한..아직 어린 나이임에도 불구하고 많은 청중들 앞에서 말 잘 하더군요...자신감의 표현이겠죠..^^;

강의 종료후 앞자리에 있떤 누군가(나이좀 들어뵈시던데..귀빈이였는지는 잘모르겠네요..^^; )와 명함을 주고 받던데..
원래는 휴식이 이어졌어야 하는데..바로 다음세션으로 이러지더군요..

국정원에서 나오신이 정부제1발표를 하셨는데..간략하니 귀에 쏙쏙들어오게 잘 하시더군요..
그런데..왜 기억은 안날까요..ㅋㅋ
국정원 분이라 사진 찍는거에 대해서 언급하시더군요...사진 찍으시면 안된다고..^^;;

"미래 사이버 안보 위협 대응전략 제안"이라는 주제였는데..
2003년인가 국가 사이버 안보전략이(?)이 있었다는데..
이제5년이 지난 시점에서 환경도 많이 변경되고 했으니 다시 한번 전략을 수정해야하지 않겠냐면서 말씀하시더군요.
주변국들의 전략(특히 미국의 사이버사령관을 언급)들도 간략히 보여주셨고..대부분 방어적인 전략을 내세우지만 이면으론 공세적 입장도 있지 않겠냐면서....^^;

두번째로 방통위 정재훈 사무관께서 "인터넷 정보보호 정책방향"이라는 주제로 발표하셨네요..
방통위 출범후 인터넷 침해사고 대응체계 강화 / 개인정보보호 수준 고도화/ 건전한 인터넷 이용환경 조성등이 성과와 향후 중점 추진 과제로 선진화된 정보보호 대응체계 / 이용자 중심의 정보보호 정책 추진 / 국민체감형 정보보호 서비스 제공/ 미래융합 it 서비스 안전체계를 마련하기위해 노력한다고 합니다..
아무래도 전문 강사가 아니시라 강의 중 목소리가 좀 작으신듯...

정사무관님의 세션을 마지막으로 오전 세션 종료 되면서..
걔회식이 이뤄졌슴당...

귀빈 입장 & 국민의례에 이어...황중연 정보보호 진흥원장님의 개회사...
사이버 안전센터 처장님의 축사..
방통위 네트웍 정책 국장님의 격려사가 주욱~~ 이어졌습니다..

앞자리에 귀빈분들이 10여분 앉으신듯한데..누군지는..잘..
얼굴 아는분은 정태명 교수님이 계셨는거 같네여..(교수님은 절 모르겟쬬..ㅋㅎㅎ)...
쩝...아는사람이 넘 없어서..ㅋㅋ

짧은 개회식을 마치고 점심 먹으로 나갈때..
아..이전회사서 같이 근무하시던 과장님(아..보니까..이제 부장님이시더군여..하긴..저도..ㅋㅋ)뵙습니다..

B트랙 들으신다고해서..나중에 뵙기로하고..지하 1층 제라드룸(?)인가로 갔슴당..
사람이 원체 많아서 원래 준비한곳보다 좀더 넓힌듯...

식사 매뉴는 갈비탕였는뎅..
아..모르는 분들 8명하고 죽은듯이...식사햇슴당..ㅋㅋㅋ

옆에 왠 여자분이 앉으셨는뎅..
자꾸 손이 닿길래..왜그런가 봤떠니..왼손으로 식사를..^^;;;
식사하기가 많이 불편하셨는지...밥도 남기시고...갈비탕 고기도 남기시고..쩝 나갈때 괜시리 죄송하더군여..냠..


식사 마치고 파란바람님과 니뽕맨님을 만났쬬...
니뽕맨님은 첨 뵙는데..호남이시더군여..^^;
잠시 얘기 나누다...니뽕맨님은 A트랙..저랑 파란바람은 B트랙으로..

B트랙에 갔떠니..아까 만나뵙던 과장님이 계씨더군요..^^;
서로 명함 교환하고...ㅋㅋ 세션 들었슴당..

세션은..기업정보보호 세션으로..
mobile security 현황과 통신 사업자 대응방안라는 주제로 SKT 이기혁 팀장님이..스타트하셨슴당..


첨예상했던거와 틀렸슴다..주된 내용이 스마트폰 관련내용이네요..^^;;
스마트폰 특성에 따른 위험, 개인정보 침해 및 대응 방안, 스마트폰의 오픈마켓의 위험성에대해서...
말씀 주셨슴당..자세한건 스캔해서 올리니 참고하시고요..

두번째로..A3 전상미 연구소장님의 개인정보 영향 평가 방법론과 구축사례에 대해서 발표하셨슴당..
주로 기업환경에 따른 PIA(Pirvacy Impact Assessment)에 적용사례위주로 말씀 하셨는데요..
사례라 일일이 말씀드리기는..좀 멋하네여..^^;

마지막에 보면..
개인정보 영향 평가 수행시 애로사항이 나오는데요..참고적으로 몇개 적어드리죠..

영향평가 수검자 입장에서..
난 보안을 불구하고IT도 잘 모르는 현업 PM이다..
신규 시스템 구축하는것만으로도 바쁜데, PIA 업무는 너무 힘들고 시간낭비도 오래 걸린다..
.....
당장!!사업하는것이 중요하지 PIA를 수행하지 않았다고 사업 OPEN에 지장간다는게 말이되냐..


영향평가 수행자 입장에서...
난 보안 담당자로 PIA를 수행한다..

PIA를 반디시 받아야한다고 현업 PM을 설득하기 너무 어렵고 조직 전체적으로 강압적으로 밀어 붙이기도 어렵다.
..
PIA의 보안대책을 왜? 어떻게 ? 해야하는지 현업 PM들에게 이해 시키기가 어렵다...

그리고..기업 차원의 지원상에 대해서 언급하면서 마무리하셨네요..^^

infomation security govemance and seurity 2.0 에 대해서  KISA의 장상수 팀장님이..
전반적으로 설명이 너무 장황하셔서..마지막에 시간이 좀 부족하셨네요...

정보보호관리체계, 정보보호 거버넌스, security 컴플라이언스의 연계를 통해서 정보보호가 변화하는 비즈니스 환경에 능동적으로 대처하도록 진화하기 위한 전략을 security 2.0이라 정의하시더군요..
이어 정보보호관리체계 , 정보보호 거버넌스, security 컴플라이언스에 대해서 설명하시고..
security 2.0 구현방안에 대해 정리하셨습니다.

정보보호 경영이라는 사고의 전환과 정보보호와 비즈니스의 연계, scurity 컴플라이언스 준수 및 내부통제 강화, security 2.0 구현 지침 및 표준모델개발을 통해서 security 2.0 시대에 대응하자고 마무리 하셨슴다..

중간 쉬는시간에 C트랙도 좋을거 같아서....C트랙으로 자리를 옮겼슴다..
파란바람이 배고프다고 해서..잠시 백화점쪽에 가서..롯데리아 찾아서..
햄버거 한개 뚝딱..ㅋㅋ

먹고 올라오니 막 세션 시작했더군요...
C트랙의 두번째는 정보보호 기술 세션으로..
첫번째로 정보보호 솔루션의 reconstruction이라는 주제로 어울림정보기술의 박재경님이...
정보보호 솔루션 초창기 도입시 체계적인 컨설팅 없이 도입함으로
중복 투자 및 이기종간의 일관성없는 보안정책등으로인해 정보보호 솔루션의 reconstruction의 필요성에 대해 역설하셨슴당...말씀 잘 하시더군여..^^

두번째로... ETRI의 장범환 연구원님의 직관적 보안상황 인지 기술과 전망이라는 주제로..
본인이 2년이상 우려 먹고 있따고 서두에 언급하시던데..ㅎㅎ
듣다보니 대부분 작년 올해 상용화 된듯하더군요...

보안 관련 많은 정보를 신속하고 쉽고 정확하게 시각적으로표시하는게 연구 목적이신듯..
많은 좋은 솔루션을 이미 개발 하셨더군요..^^;
발표 내용 관련해서 amtrac.etri.re.kr  참고하시면 될듯합니다..

마지막으로 어플리케이션 가상화와 보안이라는 주제로 구사무엘님이 발표하셨슴다..


가상화라는 개념이 추가되므로 추가되는 새로운 취약점 역시 존재한다며...
milw0rm에서 이미 vmware 관련 내용이 공개 많이 되었따며...
보안에 대해 미리 신경써서 찾고 해결할 필요가 있다며 마무리하셨슴당..

마지막 세션 마치고..
바람이는 와인사러 방이동 간다고해서..먼저 집으로..^^;

제생각에 이번 정보보호 심포지움에서 특이할만한 사항으로는..

청소년교육을 위한 트랙, 포렌식 트랙, 스마트폰에대한 세션등이 다뤄진게 특이하다 생각되더군요..

CFE란?

CFE(Certified Fraud Examiner) 는 각종 fraud와 화이트칼라 관련 범죄를 예방, 적발, 조사하는 공인된 전문가로서, 현재 전세계적으로 70여개 국에서 약 25,000명이 활동하고 있다.  CFE는 주로 회계사, 감사인, 법조인, 공무원, 교수, 범죄관련 전문기관 전문가들로서, 정부기관, 대기업, 법률기관, 범죄관련 전문기관 (미국의 경우 SEC, CIA, FBI, INS, IRS, FinCEN…) 회계법인 등에서 활동하고 있다.  

 

CFE의 50% 이상이 CPA 자격증 소지하고 있으며, CFE 자격 취득에 상당히 까다로운 각종 조건이 요구되며, 자격 유지를 위하여 매년 일정 교육을 이수함은 물론 엄격한 윤리강령을 준수하여야 한다. CFE는 fraud 관련 범죄수사 분야에 있어 최고의 전문가로 인식되고 있으며, 미국의 경우 fraud 및 화이트칼라 범죄 수사관의 경우 CFE 자격 취득을 당연시하고 있다.  미국 ABC 방송을 비롯한 주요 언론기관들이 ACFE를 fraud 예방 및 적발 분야 최고의 기관으로 인정한 바 있다.  

 

CFE는 회계, 금융, 법률, 정보기술의 각종 지식을 총망라한 21세기에 적합한 전문 자격증이라고 할 수 있다.

 

  CFE 도입의 기대효과

 

국제적으로 최고의 fraud 관련 전문기관으로부터의 전문가 자격 인정
해당 분야 전문가로서의 직업에 대한 자부심 고취
전문가간의 네트워크 구축
외국기관의 업무협조에 용이
분산된 전문지식의 교류 및 공유를 통하여 체계화된 fraud 관련 지식의 획득 및 자기개발
전세계 fraud 관련 전문기관, 소프트웨어, 솔류션, 컨설팅 업체 소개
조사결과의 대외 신뢰성 제고
지속적인 직무연수를 통한 자기발전
자격증 제도를 통하여 일반 국민의 fraud에 대한 인식 제고  

 

현재 CFE 자격은  

 

일정 요건 (점수제에 의하여 50점) 이상을 갖춘 전문가가 CFE 자격시험을 합격할 경우 인증합니다.  

 

CFE 협회와 협의한 결과 한국에서 CFE 자격시험 응시자가 많고 정부 등 각종 기관의 협조요청이 있을 경우, 한국형 CFE 자격시험제도 실시의 가능성에 대해 긍정적 반응을 얻었습니다.  

  

CFE 자격 조건

도덕성을 갖춘 사람   
일정한 수준 이상의 교육과 경험을 갖춘 사람 (특정학위는 필요하지 않음)
최소한 2년 이상의 직접, 간접적인 Fraud의 적발과 방지에 관련된 경력
준회원에 가입한 자
CFE 자격시험을 통과한 자 혹은 자격시험면제를 인정받은 자
매년 직무연수를 수료 (CPE)
연회비를 납부
CFE협회의 내규와 직업윤리규정을 준수  

 

  경력 해당 분야

회계 및 감사: 공인회계사, 공인정보시스템감사사, 공인내부감사사 등
범죄학 및 사회학: 사기와 화이트칼라 범죄/사회학에 관한 연구자나 교육 전문가
Fraud 조사: 경찰, 형사, 변호사 등 사기범죄 사건 조사 경험자 등
손실 방지: 보안 전문가, 보안 컨설턴트 등
법: 검찰, 변호사 등

만약 위의 어느 곳에도 해당되지 않으나, 하시는 일이 Fraud의 조사, 적발, 방지에 관련 된 것이라면, 해당 경력을 상세하게 기술한 내용을 함께 보내주시기 바랍니다.  

 

  CFE 자격시험 (Uniform Examination)

 

CFE 자격시험 신청비는 미화 250달러입니다.  신청자는 CD-ROM으로 된 CFE 매뉴얼 제3판과 시험준비자료목록을 받게되면, 자동적으로 1년간 자격증서을 받게됩니다. CFE자격시험를 신청하기 위해서는 점수제에 의한 평가점수 최소 50점이 요구됩니다  시험준비가 끝나서 시험신청을 하면 협회는 시험문제를 CD-ROM을 보내드립니다.

 

CFE 자격시험신청서

　

CFE 자격시험은 4가지 분야인데 (Fraudulent Financial Transactions, Legal Elements of Fraud, Fraud Investigation, Criminology and Ethics), 각 분야별로 125문제, 총 500문제가 출제되며, 각 분야별로 75점 이상을 획득하여야 시험을 합격합니다. 시험은 2년 내에 3번의 기회가 주어지며, 실패한 분야만 재시험을 치르면 됩니다.

 

시험시간을 각 분야별 2.5시간, 총 10시간이며, CD-ROM을 최초로 읽은 날로부터 30일 내에 시험을 완료하여야 합니다.  미국 전문가를 기준으로 최소한 100시간의 시험준비 기간이 필요하다는 것이 협회의 견해입니다.

 

직무연수 (CPE 학점)

 

모든 CFE는 협회나 Korea Chapter의 각종 교육 프로그램을 통하여 매년CPE 20학점을 얻어야 자격이 유지됩니다.

 Korea Chapter에서 주관하는 프로그램으로 매년 20 CPE 학점을 취득할 수 있습니다

　

본인의 CFE 자격점수

　

10점은 다음에게 주어집니다.  

1년간의 공식적인 대학교육 (예를 들어, 학사학위는 40점, 최대 40점)
공인된 자격 (CPA, CIA, CPP)*
박사학위 혹은 동등한 학력 (Ph.D, JD) 

5점은 다음에게 주어집니다.  

1년간의 Fraud에 관련된 분야에서 일한 경력 혹은 동등한 경력
석사학위 혹은 동등학력  

* 자격은 공인회계사, 변호사, 공인세무사,변리사 등 사회에서 일반적으로 전문성이 인정되어야 함**  경력은 회계, 감사, 범죄-수사관련업무, 부정-사기 관련업무, 부정-사기 관련법 업무만 해당

     석사학위소지자, 회계파트3년, 감사실 3년근무한 감사실장의 경우, 40점+5점+5*6년=75점

출처 : http://www.kcfe.or.kr   

 오늘은 encase를 이용해서 주어진 이미지에서 recover folder 및 삭제 파일 확인 및 헤더값 변경 & 확장자 변경 된 파일을 찾는 법까지 확인 해본다.

1.데모버전으로는 case 생성이 안되므로 데모와 같이 제공된 이미지를 이용하여 분석하기로한다.
제공된 이미지를 불러 들인 현황 (hunter xp)

참고> 주어진 이미지 추가하는 방법
아래 그림에서는 비활성화 되어 있지만..
ADD Device -> Evidence File -> New -> 파일 선택 후 다음 클릭후 마침 선택하면
자동적으로 Verify가 진행되며 Verify 된 값을 확인하여 원본 이미지와 Verify 된 이지미 HASH 값 확인하여 분석 보고서에 기입해야합니다.(사본에 대한 무결성 확인)

2. Recover folders 를 실행함.

3. is Deleted tap  및 Description 위치를 조정한다..(아무래도 한 화면에 보기 용이하게 하려면...)
전체 이미지에서 삭제된 파일을 파악하기 위해 is Deleted tap을 클릭하여 Sorting 한다..
삭제된 파일을 한눈에 파악 가능한다.(보고서에 몇개의 파일 및 폴더가 삭제 되었는지 기록 한다.)
overwritten 되지 않았으면 복구 가능하다.

추가적으로 헤더값 변경이나, 확장자 변경을 찾기 위해서 Search 클릭 -> Verify file Signature 체크하여 Start 시킴

화면 우측 상단에 진행상황에 대한 내용이 표기 되며 완료 되면 아래와 같음

Signatur 을 보면 !band Sinaguture , *compond documnet 등의 형태가 보일것이다. 내용은 다음과 같다.

!bad Signature : 파일 헤더값 변경
*compond documnet : 파일 확장자 변경


다음 포스팅은 이번 포스팅에서 찾은 삭제 파일복원 및 헤더값 변경 및 확장자 변경된것을 복원 시키는 과정을 살펴 본다..

포렌식툴중 널리 알려진 encase에 대해서 포스팅 합니다.

교육중 실습이 시간이 아주 충분하진 않았다고 생각됩니다.간략하게 활용정도..^^
아시다시피 encase는 동글키(USB 보안장치)가 있어야 하지만 교육사정은 그렇지 못합니다.
동글키가 없다면, 증거이미지만 생성할 수 있고, 실제로 수사를 할 수는 없다.
그렇지만 교육은 어떻게 받았습니다..^^;

명심하라!!!!!!!!!
불법소프트웨어로 추출한 증거자료는 법적에서 증거자료로 인정 받지 못한다.

Encase 란..

1998년 Guidance Software Inc. 가 사법기관 요구사항에 바탕을 두고 개발한 컴퓨터 증거 분석용 소프트웨어이다.컴퓨터 관련 수사에서 디지털 증거의 획득과 분석 기능을 제공하며

미국에서 90년대 후반부터 600여개 사법기관에서 컴퓨터 관련 범죄 수사에서 encase가 활용되고 있으며 미국 법원이 증거 능력을 인정하는 독립적인 솔루션이다 (2001년 Enron사 회계부정 사건) Windows 환경에서도 증거원본 미디어에 어떠한 영향도 미치지 않으면서 “미리보기”, “증거사본작성”, “분석”, “결과보고”에 이르는 전자증거 조사의 모든 과정을 수행 할 수 있다.

 

Encase 제품군은 다음과 같다.

- Encase Forensic : 로컬 컴퓨터 하드디스크의 기본 분석 도구

- Field Intelliegence Model(FIM)

: 네트워크 컴퓨터 및 서버의 휘발성 자료를 포함한 증거 파일 획득 및 조사가 가능,

..수사 기관용으로 Enterprise 축소판

- Encase Enterprise

: 기업의 Live 시스템 및 파일에의 접근과 분석이 가능하여 사고대응 시간을 줄일 수

있음, 관제로 활용

 

Encase 지원 파일 시스템은 다음과 같다.

- FAT12, FAT16, FAT32

- NTFS

- EXT2,EXT3

- CDFS

- HFS, HFS+(MAC파일시스템)

- PALM(Palm-PAD파일시스템)

-UFS(unix 파일시스템)

cf> XFS파일시스템은 지원하지 않음, 임베디드 리눅스일부에서 사용하는 파일시스템

 

이제 encase를 실행시켜보자..(교육중 받은 demo 위주로 화면 캡쳐합니다.)

 

 

Run EnCASE DEMO 를 클릭 하면 다음과 같다.

ncase를 실행했으니 기본적인 옵션 세팅을 시작합니다.

Tool -> Options

 

Data : yy/MM/dd

Time : 24:00:00

Show True : Yes 로 변경

Encase 기본 메뉴화면은 다음과 같다.

데모라 New 클릭이 안됨..ㅋㅋ

 

New :  새로운 분석창을 띄우는 메뉴

Open : 기존에 저장한 분석 파일을 여는 메뉴 확장자는 .cas .case로 됨

Save all  : 지금까지의 작업 상태를 보존하며 cas, case로 저장됨

 

File -> New 클릭하면 다음 메뉴가 나온다.

분석관련 파일을 별도의 드라이브(OS와 분리된)를 사용하고 분석후에 wiping 하는것이 바람직하다.

보다시피 메뉴가 변경있다..(이미지 내용은 데모에서 제공된 이미지 파일 내용임)

 

Table Pane의 기본 메뉴에 대해서 알아본다.

Table 메뉴

- 파일에 대한 속성등 파일에 대한 전반적인 사항이 나열됨(총 38개?)

Name : 파일 이름

Description : 파일의 속성, 파일인지 폴더인지 삭제 여부와 Overwrite 여부등을 나타냄

-         Deleted File(folder) : 파일이 삭제되었고 겹쳐쓰기 되지 않음 ,완전 복구 가능

-         Deleted, Overwritten file : 삭제되고 다른 파일에 의해 덮어써짐, 완전복구 불가능

-         Deleted, Overwritten folder : 삭제되고 다른 파일에 의해 덮어써진 폴더

 

IS Deleted : 삭제 파일에 체크되는 부분

Last Access : 마지막 파일 접근시간

File Created : 파일 생성 시간

Last Written : 파일 수정 시간

파일과 폴더의 Type

-         invalid Cluster : Directory entry가 파일명을 가지고 있지만 시작 클러스터 값을 가지고있지 않은 경우로 보통 시작 클러스터가 0으로 변경됨, 파일 내용이 어디에 있는지 알지 못함

-         Folder, Invalid Cluster : File Type bit Folder로 지정되고 시작 클러스터가 0으로 지정된 Directory Entry

-         Moved File/Folder : 파일 이동시 directory Entry 삭제되고 새위치에 만들어짐

-         Unallocated Space, MBR, Unused Disk Area, FAT Tables, Volume Slack : 시스템이 관리하는 디스크의 특정영역으로 어떤 파일도 이 영역을 할당받아  사용하고 있지 않음을 뜻함

-         Internal File : NTFS, HFS, EXT2와 가은 OS에 의해 생성되는 파일

-         Recycled Bin : 대상 컴퓨터의 휴지통

-         Lost File : NTFS 파일 시스템에만 나타남, Parent 가 삭죄되어서 자신의 위치를 찾을수 없는 파일

 

 

 

Gallery 메뉴

그림 파일을 한눈에 알아 볼수 있도록 구성

성인 컨텐츠에 대한 증거 수집시 편하게 수사하기 위한 기능

 

 

 

Time Line 메뉴

파일을 시간대별로 확인

생성/수정/접근/삭제시간 별로 표시가 가능

용의자 알리바이, 사건 정황등을 파악하는데 목적이 있음

            

 

View pane의 매뉴를 살펴 본다.

Text : 해당 파일의 내용을 text 형식으로 보여줌

Hex : 해당 파일의 내용을 16진수 형식으로 보여줌

Picutre : 이미지인 경우만 보여줌

Doc  : 외부 프로그램과 연결된 경우 바로 파일의 내용을 보여줌

Transctript : 일부 깨지는 내용은 호환되는 부분만 변경해서 보여줌

Report :해당 파일에 대한 보고서, 파일의 속성, 권한등을 보여줌

이것으로 encase 관련 간략한 소개 및 화면 구성에 대해 마무리 합니다.

다음 포스팅에서는 증거 이미지 생성해서 분석하는 방법에 대해서 포스팅 해봅니다.

 

[ 한국CISSP협회 제 3 회(부산) 정보보호리더십 세미나 - 영남지역 ]

주제 : CISSP의 가치와 Vision
주최 : 한국CISSP협회
후원 : 동명대학교 정보보호학과, 한국CISSP협회 영남지부

- 일시 : 5월23일(토)  오전 10시 ~ 12시
- 장소 : 동명대학교 동명관 105호 약도
           부산광역시 남구 신선로 179번지
- 혜택 : 4 CPE 부여
- 비용 : 무료
- 사전등록 : general@cisspkorea.or.kr

* 특별한 양식없이 상기의 계정으로 신청해주시기 바랍니다.
* CISSP 및 시험합격자는 소속/CISSP NO/영문 풀네임/성명(한글)/연락처를 기재하여 보내주세요.
* 일반참석희망자는 소속/이름 을 기재하여 보내주세요.



AGENDA

시간	세션
09:30 – 10:00	접수 등록 및 세미나 자료 배부
10:00 – 10:15	CISSP 및 한국CISSP협회 소개 신수정 회장 한국CISSP협회, 인포섹 전무
10:15 – 10:45	Global 보안관련 직업 현황 및 CISSP의 위상 강용남 이사 한국CISSP협회, 델 인터내셔널 이사
10:45 – 11:15	국내 보안관련 직업의 트렌드와 CISSP의 가치 조희준 이사 한국CISSP협회, KISAC 책임컨설턴트
11:15 – 11:45	정보보호 Hot Issue 허종오 이사 한국CISSP협회, 안철수연구소 선임연구원
11:45 – 12:00	Q&A
12:00	폐회

작성자 : 투라 (extraman@boanin.com )

편집자 : 엔시스

 

오늘은 네트웍 포렌식입니다..

타이틀은 네트웍이지만, 실질적으로 네트웍&시스템 포렌식 수업을 해서..

중복 내용이 많습니다.

 

리뷰하는 마음으로 주욱 써 내려갑니다.

 

일단 증거수집과정의 운영 지침으로..

-         가능한 모든 자료를 수집하라,

-         날짜나 시간도 포함하여 자세히 기록 한다.( 시간차 기록)

-         언제 증명(법정 출두) 해야 할 지 모르므로, 자세한 기록이 중요하다.

-         수집과정에서의 데이터 변형을 최소화

-         수집(collection) 할 것인가 분석(analysis) 할 것인가를 선택해야 한다면

수집을 먼저하라

-         휘발성이 있는 것을 먼저 진행하고 그렇지 않은 것을 나중에 진행한다.

-         프라이버시관련 법률이나 회사의 지침에 위배되지 않도록 유의한다.

 

이렇게 수집한 증거물들은 chain of custody 가 명확하게 문서화 되어야 한다.

-         언제, 어디서, 누가 증거물을 발견하였고, 수집 하였은가?

-         언제, 어디서 누가 증거물을 다루었고 검사 하였는가?

-         누가 어느 기간에 증거물을 관리했고, 저장되었는가?

-         언제 관리에 대한 변경이 일어 났고, 언제, 어떻게 이송이 되었는가?

 

증거수집을 위한 Tool 들..

-         프로세스를 검사하기 위한 프로그램 (ex> ps..)

-         시스템상태를 검사하기 위한 프로그램(ex> ifconfig. Netstat, arp..)

-         bit to bit 복사 가능한 프로그램 ( ex> dd, safeBack..)

-         체크섬이나 서명(signature)를 생성할수 있는 프로그램 ( ex> md5sum, sha1sum ..)

-         core image를 생성할수 있는 프로그램 ( ex > gcore, gdb)

-         증거 수집을 자동화 할수 있는 스크립트( ex> Ther Coroner’s tool Kit, fire…)

 

네트웍 포렌식에서 중요한 TCP/UDP Network 연결을 통해 데이터를 쓰고 읽을 수 있는

유틸리티인 Netcat에 대해 알아 본다.

 

http://netcat.sourceforge.net/

http://joncraton.org/files/nc111nt.zip

에서 리눅스와 윈도우 버전 down 가능하다.

 

조사 대상 시스템에서 dd 명령을 이용해서 파티션을 복사하고 이를 nc를 이용해서 분석할 시스템으로 전송하려면..

 

# nc –l –p 10000 > target.hdd2.dd (원격지 xxx.xxx.xxx.xxx 서버 )

# dd if=/dev/hda2 bs=1024 | nc xxx.xxx.xxx.xxx 10000 –w 3

-ㅣ ( Listen mode )

- p 10000 ( 10000 port use )

- w ( time out,  마지막 읽고 난뒤 종료할 시간 설정 )

 

Netcat 사용법은 중요하니 숙지 하시기 바랍니다.

슈퍼유저서버팀에서 작성한 netcat 사용가이드 참고 바랍니다.

 

Network 증거수집에서 다음과 같은 사항들을 고려하여 수집한다.

 

l       하드웨어와 운영체제 선택

-         OS는 리눅스계열로 불필요한 네트워크 서비스 중지하고 ,하드디스크는 증거 저장용 디스크와 os 디스크 물리적 분리, cable의 tx 부분을 자른다(제거)..

 

l       스텔스 모드(Stealth mode) 설정

-         antisniff 프로그램등의 추척 회피

 

l       네트워크 모니터링 소프트웨어 선택

-         Libpcap 기반의 프로그로토콜, snoop, iptrace등..

 

l       이벤트 모니터링

-         이벤트에 대한 룰 or 임계치 설정후 이벤트 발생시 경고 메시지 생성

 

l       네트워크 연결상태

l       동작중 프로세스 상태

l       로긴중 사용자정보

l       오픈된 파일 정보

l       스왑된 파티션 정보

l       로그파일

l       각종 운영체제 배포 CD

l       운영체제의 시스템 파일에 대한 MD5 해쉬값 및 바이너리 정보

l       백업에 필요한 충분한 디스크

 

마지막으로 말씀 드리는데요...Netcat 사용법에 대해서는 꼭 숙지 하시는게 좋습니다.

음.이것으로 네트웍 포렌식도 마칩니다..

너무 대충인가여..^^;

 

다음에는 encase에 대해서 포스팅 해야하는데..

음..이거 어떻게 포스팅해야할지..데모버전으로 최대한 해보도록 하죠..

 

 

 

5/4 연차 휴가 사용으로 5월초 황금연휴(?)가 되었네요..덕분에 포스팅이 또..^^;

애들 대리고 여기저기 가까운데만 다녔는데도 힘드네요..이놈의 저질체력...

 

오늘은 DB포렌식입니다.

 

DB증거자료의 추출 절차는

 

1.     운영체제 및 DB종류 및 설정 정보 확인

2.     DB 접속 후 Memory, User, Resources등의 휘발성 정보 추출

3.     DB 서버 압수 할 경우 DB shutdown 후 O/S 종료

4.     목적자료만 추출 할 경우 DB or 운영체제상 명령어 이용 자료의 추출 및 복사

5.     DB운영자,개발자 있을 경우 DB설계 개념, 사용 목적 및 방법, 추가 백업데이터

여부조사

6.     추출된 데이터 베이스 복사본 or 저장 증거 파일의 해쉬값 계산,기록,확인 후 보관

 

DB증거 자료 추출시 고려 상황

l  대형범죄 아닌경우 시레 규모 큰 site에서 DB 전체 복제하는 일이 적음

è 저장 용량, 시간, 개인정보나 회사 기밀 정보의 유출등 문제점 있음

l  정보 추출 시 우선 ERD나 스키마 받아서 DB구조 분석

l  DB구조 파악 후 query 날려 필요한 부분만 덤프 뜨는 형식을 취함

l  덤프 받은 자료를 담당자 확인 후 압수(목록 작성 날인)

è 보통 압수과정에서 수사관 참여 하에 담당자가 직접 DB 덤프 or 담당자 입회 하에

.수사관직접 추출

l  기업체가 크고 중요한 DB가 많은 경우 수사관 실수로 치명적 결과 가져올 가능성

à Dump도중 DB나 테이블 삭제 or DB다운

è DB 관리자가 직접 필요 내용 추출하는 방법 많이 사용

 

DB 증거 자료 분석 절차

- 추출된 데이터베이스 복사본 및 증거파일의 해쉬 값을 생성하고 추출 시 작성된 문서의

기재된 값과 비교

- 휘발성 정보 획득 했을 경우, memory, process, file등의 자원 사용을 분석하여 사용

됐던 기능 및 상황 파악

- DB 증거에 맞는 O/S 및 DB프로그ㅐㄻ을 구축하고 증거 파일을 복사 및 복제

- DB접속 프로그램 및 로그 분석 프로그램을 사용하여 자료구조, 자료 관계, 접속자,

사용내역, 자료 복구등을 목적에 맞게 실행하고 증거 획득

- DB 분석의 분석자, 분석 과정, 분석 결과 등의 세부 사항을 기록

 

그렇다면 언제 DB Snapshot을 작성해야 하는가….

l  DB에 대한공격 or 훼손이 발견 되었을 즉시

l  일정 횟수 이상의 DB 트랜젝션이 시행 되었을 때

l  일정시간 (매일,매주,매월 등..)

l  일정 횟수 이상의 DB 사용자 로그인/로그아웃

l  기타 시스템과 운영자 필요시

 

그럼 DB 포렌식의 주요 증거 자료 항목은 어떤것들이 있는가..

l  휘발성 DB Connection & Session 정보

l  DB 전체 or 특정 DB

l  DB Table 전체 또는 특정 Table 또는 특정 레코드

l  Meta 정보 DB 또는 Meta 정보 Table

l  DB 자체 Log

l  System Log

l  Application Log

 

위의 증거 자료들중 수집 우선 순위는??

 

1.     DB Server connections & Session

2.     TranSaction Log

3.     DB Server Log

4.     DB Server Files

5.     System Event Log

 

기타 DB 보안 설정 및 SQL Injection, 기타 로그 위치등은 많은 자료가 잇으므로 생략 합니다. 포렌식 자격시험에서는 DB쪽에서 SQL Injection의 흔적을 알 수 잇는 증거내용 이런게 있었는거 같습니다..

 

이정도로 DB에 대한 내용은 마무리합니다.

다음에는 network 관련 내용으로 포스팅 이어 갑니다.

토욜까지 포스팅 못할듯하고..늦어도 월욜까지는 포스팅 하도록 하겠습니다.

 

리눅스 포렌식 두번째입니다…

파일 복구 관련 내용을 포스팅 하기로 했죠..

 

파일이 오픈되어 메모리상에 올라와 있을경우 해당 파일이 삭제되도러도 복구가 가능한 상태가 있는데요..이런경우 어떻게 하는지 알아보겟습니다.

현재 프로세스 정보는 /proc/<PID>에서 확인 가능합니다.

 

메모리상에 올라온 파일 점유시 /proc 디렉토리 상태

#cd /proc/<PID>/fd  <PID>는 해당 프로세스 번호입니다.

#ls -al

lrwx------ 1 root root 64 Apr 29 13:03 3 -> /dev/tty

lrwx------ 1 root root 64 Apr 29 13:03 4 -> /root/hidden.txt

 

메모리상 올라온 파일 삭제시 /proc 디렉토리 상태

# ls -al

lrwx------ 1 root root 64 Apr 29 13:03 3 -> /dev/tty

lrwx------ 1 root root 64 Apr 29 13:03 4 -> /root/hidden.txt (deleted)

 

삭제된 파일의 복구는 파일 디스크립터 번호만 복사해 주는 것으로 가능

# ls -al

lrwx------ 1 root root 64 Apr 29 13:03 3 -> /dev/tty

lrwx------ 1 root root 64 Apr 29 13:03 4 -> /root/hidden.txt (deleted)

#cp 4 /tmp/4.recovered

 

이제 파일시스템 상의 삭제 파일복구에 대해 알아보기로 합니다.

리눅스 자체적으로 지원하는 파일시스템의 삭제파일 복구는 debugfs를 이용 합니다.

대부분의 리눅스 배포본에서 기본적으로 설치 되어 있습니다.

 

ext2파일 시스템에서는 특정 파일이 삭제시 실제 파일은 데이터 블록에 그대로 위치 하며,

i-node 테이블의 정보맘ㄴ 삭제되어 복구 가능합니다.

 

ext3 시스템에서는 i-node테이블 정보뿐만 아니라 디렉토리 엔트리, 해당 블록의 주소 정보까지 지워짐으로 파일의 위치정보가 대부분 삭제 됩니다. Logdump 이용 방법이 있으나 완벽하지 않습니다.

 

 

ext2에서 debugfs를 이용한 파일 복구를 알아봅니다.

안전한 파일 복구를 위해 마운트된 파티션을 해지하고 작업하도록 합니다.

# debugfs /dev/hda3

debugfs 1.39 (29-May-2006)

debugfs:  è debugfs 명령 프롬프트

debugfs:  lsdel è 삭제된 파일 리스트

 Inode  Owner  Mode    Size    Blocks   Time deleted

   22       0  100644  58313   13 / 13 Sat Apr 4  13:00:02 2009

43       0  100644   3013    4 /  4 Sat Apr 4  13:03:02 2009

16       0  100644   5413   13 / 13 Sat Apr 4  13:10:02 2009

3 deleted inodes found.

 

debugfs : stat <16> è 삭제된 파일의 상세 정보확인

: i-node, mode, MAC Time,  Size 등 정보 출력, < > 사용 필수

 

복구는 dump 명령어 이용하며 비 할당 영역에 위치한 파일을 지정된 파일명으로 복구한다.

 

debugfs : dum <16> /recover/16.dumped (16은 stat 명령으로 확인한 i-node 번호)

debugfs : quit

 

# ls –al /recover/16.dumped

-rw-r--r--  1 root    root     5413 Apr 29 22:24 /recover/16.dumped

위와 같이 복구 되었음을 확인할수 있다.

 

그러면 리눅스 기반의 포렌식 도구들은 어떤게 있을까..

 

일단 command 기반 포렌식 도구들을 살펴보면..

 

l  The Coroner’s Tool kit

: 초기 유닉스 기반의 포레식 toolkit으로 리눅스에서 사용가능하며, 뒤에 나오는 포렌식 tool에 영향

l  The Sleuth Kit

: TCT 기반으로 리눅스뿐만 아니라 윈도우 용으로 개발되어 배포 되고 있음.

l  Foremost, Scalpel

: 파일 복구전용 Toolkit으로 삭제,손상 파일의 header나 footer 정보 이용하여

. 빠르고 쉽게 복구 지원함

 

Bootable CD로는…

l  FIRE

l  KNOPPIX

l  FCCU GNU / Linux Forensic Bootable CD

l  Penguin Sleuth Kit Bootable CD

l  Helix

l  STD

l  BackTrack

 

우선 Sleuthkit에 대해 알아봅니다.

다운로드는 http://www.sleuthkit.org/sleuthkit/download.php 에서 하시면 됩니다.

현재 V 3.0.1이 최신이네요..(저도 설치는 아직 안해봤슴다..)

설치는 간단히 ./configure ;make; make install 하시면 됩니다.

 

중요 Sleuthkit 명령어(?)에 대해서 알아 봅니다.

mmls : 분석할 디스크 레이아웃과 전체 파티션 스키마 취득, 물리적 디스크만 분석 가능

(스냅샷으로 획득한 이미지 파일에서는 사용 못함)

img_stat : 스냅샷을 작성한 파일과 원본 디스크 또는 파티션 정보 확인

 

fsstat : 파일시스템 정보 확인, 블록수와 파일시스템 종류등의 기본정보 확인

fls : 지정된 파티션의 파일과 디렉토리들의 삭제 정보 확인, 삭제된 파일들 리스트 출력시 사용

ils : 파일의 i-node값과 복구 가능여부 확인

icat : 실제 삭제 파일 복구

 

나머지 tool은 개별적으로 확인 해보시기 바랍니다. 수업시간에는 Helix 하고, autopsy 정도

화면 본듯합니다.

 

음…다음 포스팅은 디비 포렌식으로 접근해봅니다..

 

 

오늘은 말씀드린대로 리눅스포렌식 관련으로 정리해봅니다.

 

현재 대부분의 리눅스 기반포렌식 툴은 오픈소스(무료)툴로 제공되는경우가 많으며, 윈도우 기반 포렌식툴보다 유연한 운영 환경을 제공해주고 있습니다.

그렇지만 사용자 요구시 포렌식 tool에 대한 즉각적인 기술지원이 어렵고, 표준화된 절차 및 방법론, 사용법 관련 문서,샘플등이 부족하며, 윈도우에 비해 다양한 기능을 제공 못하고 있습니다.

 

윈도우 때 처럼 리눅스 파일시스템의 종류를 먼저 살펴보겠습니다.

 

저널링 기능이 없는 파일 시스템 : ext2

저널링 기능이 있는 파일 시스템 : ext3 , xfs, reiserFS, ffs, ZFS, JFS , ext4

현재 대부분의 리눅스가 채택하고 있는 저널링 파일시스템 형식은 ext3이며, 유닉스/리눅스는 파일시스템도 파일로 인식합니다.

 

파티션 설정 상태 확인은 “fdisk -l” 명령을 통해 확인 가능합니다.

 

리눅스 파일 시스템의 블록구조는 다음과 같다.
- boot block  : 부팅에 필요한 bootstrap code

- super block : 각 파일 시스템의 meta data 정보

- i-node block :  inode lists

- data block : 실제 데이터 및 디렉토리

 

그럼 i-node에는 어떤 정보들이 있는지 알아본다.

i-node : 파일 시스템 내의 모든 객체는 i-node로 표현되어짐

ð  File type, permissions, owener, group, file size, file MAC time, number of links

 

MAC time : 파일 디렉토리의 고유한 시간 속성 정보

- mtime : 파일의 최근 수정 내용

- atime : 파일의 최근 접근 시간

- ctime : 파일의 최근 속성 정보 수정 시간

 

rpm파일을 통해 알아 보는 간단한 포렌식에 대해 알아보자..

rpm 파일은 RedHat 기반의 바이너리 설치 파일 패키지이다.

 

rpm 패키지 자체의 checksum 기능 이용하여 설치된 파일들의 위변저 여부확인 가능

ex) rpm –Va

. . 5 . . . . T      /bin/ls

S . 5 . . . . T  c  /etc/crontab

 

출력 형식

S : file size differs

M : mode differs(permissions and file types)

5 : MD5 sum differs

T : mTime differs

U : User ownership differs

G : Group Uer ownership differs

 

이제는 디스크 스냅샷 작성을 해보자.

 

디스크 스냅샷에는 다음 명령어를 사용한다.

dd : 유닉스 또는 리눅스에 기본적으로 포함된 명령어로 디스크전체 또는 각 파티션에 대한

스냅샷 작성도구

사용법

# dd if=<source> of=<target> bs=<byte size> count=<blocks>

-       bs, count 옵션을 이용하여 특정부분이나 사이즈만 복제 가능

 

메모리 스냅샷은 디스크와 동일하지만, 유의가 필요하다.

# dd if=/dev/mem of=memdump.dd conv=noerror,sync

è  Noerror, sync 옵션을 사용 안하면 계속 진행 불가

 

스냅샷을 작성 했으며 체크섬 값을 이용한 무결성 인증한다.방법은 다음과 같다.

è  md5,sha1을 이용하여 파일의 무결성을 체크하고 검증하는 일반적 방법

ex) # md5sum image.dd > mysum.md5

   .# md5sum -c mysum.md5

 

다음 시간에는 파일 복구에 대해서 알아보기로 하겠습니다.