[논문 리뷰] Digital Forensic Investigation of Cloud Storage Services

Hyunji Chung, Jungheum Park외 2명|arXiv (Cornell University)|2017. 08. 22.

Digital and Cyber Forensics참고 문헌 1인용 수 4

한 줄 요약

이 논문은 클라우드 스토리지 서비스를 위한 종합적인 디지털 증거 수집 프레임워크를 제안하며, 윈도우, 맥, 아이폰, 안드로이드 기기 등 다양한 디바이스의 증거 자료를 포함한다. 클라이언트 측 자료와 클라우드 서비스 로그에서 증거를 수집하고 분석하며 상관관계를 분석하는 다중 플랫폼 절차를 제시함으로써 클라우드 환경에서의 사고 대응 및 디지털 조사 능력을 향상시킨다.

ABSTRACT

The demand for cloud computing is increasing because of the popularity of digital devices and the wide use of the Internet. Among cloud computing services, most consumers use cloud storage services that provide mass storage. This is because these services give them various additional functions as well as storage. It is easy to access cloud storage services using smartphones. With increasing utilization, it is possible for malicious users to abuse cloud storage services. Therefore, a study on digital forensic investigation of cloud storage services is necessary. This paper proposes new procedure for investigating and analyzing the artifacts of all accessible devices, such as Windows, Mac, iPhone, and Android smartphone.

연구 동기 및 목표

• 클라우드 스토리지 환경에서의 디지털 포렌식 과제가 증가하는 데 기인한 오용 및 데이터 유출 증가 문제를 해결하기 위해.
• 클라우드 스토리지 서비스에 액세스하는 데 사용되는 다양한 기기(윈도우, 맥, 아이폰, 안드로이드)에서 발생하는 클라이언트 측 자료를 식별하고 분석하기 위해.
• 클라우드 스토리지 플랫폼을 대상으로 한 표준화되고 반복 가능한 디지털 포렌식 조사 절차를 개발하기 위해.
• 로컬 기기와 클라우드 서비스 로그에서의 증거를 통합함으로써 사고 대응 및 포렌식 분석의 효과를 향상시키기 위해.
• 법률 집행 기관 및 디지털 조사 기관이 클라우드 스토리지 생태계 내 악성 활동을 추적하는 데 지원하기 위해.

제안 방법

• 클라우드 스토리지 서비스에 특화된 다단계 포렌식 조사 절차를 제안하기 위해.
• 윈도우, 맥, 아이폰, 안드로이드 기기에서 캐시 파일, 설정 파일, 동기화 로그와 같은 클라이언트 측 자료를 수집하고 분석하기 위해.
• 로컬 기기 자료와 클라우드 서비스 로그를 상관관계 분석하여 사용자 활동을 재구성하고 이상 징후를 탐지하기 위해.
• 클라우드 스토리지 애플리케이션에서 포렌식 관련 데이터를 추출하기 위해 역공학 및 정적/동적 분석 기법을 활용하기 위해.
• 포렌식적으로 타당하고 플랫폼 간 호환성이 있는 절차를 보장하기 위해 증거 수집 워크플로우를 표준화하기 위해.
• 기기 수준의 자료에서 도출된 결과를 클라우드 제공업체 메타데이터와 통합하여 완전한 디지털 타임라인을 수립하기 위해.

실험 결과

연구 질문

• RQ1 다양한 클라이언트 기기(윈도우, 맥, 아이 OS, 안드로이드)에서의 포렌식 자료를 클라우드 스토리지 조사에서 체계적으로 수집하고 분석하는 방법은 무엇인가?
• RQ2 클라이언트 기기에서 클라우드 스토리지 서비스의 사용자 활동을 드러내는 데 핵심적인 디지털 자료는 무엇인가?
• RQ3 클라이언트 측 자료에서의 증거를 클라우드 서비스 로그와 어떻게 상관관계 분석하여 사건의 완전한 타임라인을 재구성할 수 있는가?
• RQ4 클라우드 스토리지 서비스를 조사할 때 체인 오브 쿠시와 포렌식 타당성을 유지를 하는 데 존재하는 과제는 무엇인가?
• RQ5 표준화된 포렌식 절차가 다양한 클라우드 스토리지 플랫폼과 기기 유형에 얼마나 광범위하게 적용될 수 있는가?

주요 결과

• 제안된 프레임워크는 클라우드 스토리지 서비스에 액세스하는 데 사용되는 주요 운영체제 및 기기에서 포렌식 자료를 성공적으로 식별하고 수집하였다.
• 캐시 파일, 설정 파일, 동기화 로그와 같은 클라이언트 측 자료는 사용자 활동을 재구성하는 데 핵심적인 증거를 포함하고 있다.
• 로컬 기기 자료와 클라우드 서비스 로그 간의 상관관계 분석을 통해 사용자 상호작용의 세부적인 디지털 타임라인을 재구성할 수 있었다.
• 다양한 출처에서의 증거 통합을 통해 클라우드 환경에서의 디지털 포렌식 조사의 신뢰성과 완전성을 향상시켰다.
• 이 절차는 다양한 클라우드 스토리지 플랫폼에 적응 가능하며 이질적인 기기 생태계에서 포렌식 타당성을 지원한다.