[논문 리뷰] Tools And Techniques For Network Forensics

Natarajan Meghanathan, Sumanth Reddy Allam외 1명|arXiv (Cornell University)|2010. 04. 05.

Network Security and Intrusion Detection참고 문헌 10인용 수 42

한 줄 요약

이 논문은 네트워크 포렌식을 위한 도구와 기법에 대한 종합적인 조사를 제시하며, 패킷 캡처, IP 트레이스백, 그리고 해저드 기반 침입 분석에 중점을 둔다. 이는 eMailTrackerPro, Web Historian, Ethereal 등의 도구를 활용해 증거를 수집하고, 패킷 마킹과 해저드 배치를 통해 공격 원천을 추적하고 악성 행위자의 행동을 이해하는 데 초점을 맞춘다.

ABSTRACT

Network forensics deals with the capture, recording and analysis of network events in order to discover evidential information about the source of security attacks in a court of law. This paper discusses the different tools and techniques available to conduct network forensics. Some of the tools discussed include: eMailTrackerPro to identify the physical location of an email sender; Web Historian to find the duration of each visit and the files uploaded and downloaded from the visited website; packet sniffers like Etherea to capture and analyze the data exchanged among the different computers in the network. The second half of the paper presents a survey of different IP traceback techniques like packet marking that help a forensic investigator to identify the true sources of the attacking IP packets. We also discuss the use of Honeypots and Honeynets that gather intelligence about the enemy and the tools and tactics of network intruders.

연구 동기 및 목표

• 사이버범죄 수사에서 디지털 증거 수집을 지원하기 위해 네트워크 이벤트를 캡처하고 분석하는 데 효과적인 도구와 기법을 식별하고 평가하는 것.
• 분산형 서비스 거부 공격 및 기타 네트워크 기반 공격에서 악성 트래픽의 진짜 원천을 추적하는 데 도전 과제를 해결하는 것.
• 해저드와 해저드넷이 공격자 전략, 도구, 행동에 대한 정보를 수집하는 데 수행하는 역할을 조사하는 것.
• 네트워크 포렌식에서 원천 할당을 향상시키기 위해 패킷 마킹과 같은 IP 트레이스백 방법을 조사하는 것.
• 사건 후 분석 및 증거 검증을 위한 도구 배치에 대한 포렌식 조사관을 위한 실용적 가이드를 제공하는 것.

제안 방법

• 증거 확보를 위해 Ethereal과 같은 패킷 스니퍼를 활용하여 네트워크 트래픽을 캡처하고 분석하는 것.
• 메타데이터와 라우팅 정보를 기반으로 이메일 발신자의 물리적 위치를 특정하기 위해 eMailTrackerPro를 적용하는 것.
• 웹 기반 포렌식 분석을 위해 웹사이트 방문 지속 시간, 파일 전송, 사용자 활동을 로깅하기 위해 Web Historian를 활용하는 것.
• 악성 패킷의 기원을 추적하기 위해 IP 트레이스백 기법, 특히 패킷 마킹을 구현하는 것.
• 취약한 시스템을 시뮬레이션하고 공격자 행동 및 도구에 대한 데이터를 수집하기 위해 해저드와 해저드넷을 배치하는 것.
• 사이버 사고에서 검출 및 원천 할당 능력을 향상시키기 위해 다중 포렌식 도구를 계층적 접근 방식으로 통합하는 것.

실험 결과

연구 질문

• RQ1 디지털 증거를 추출하기 위해 네트워크 트래픽을 캡처하고 분석하는 데 효과적인 도구는 무엇인가?
• RQ2 패킷 마킹과 같은 IP 트레이스백 기법은 공격 원천을 특정하는 정확도를 어떻게 향상시킬 수 있는가?
• RQ3 해저드와 해저드넷은 공격자 행동 및 도구에 대한 실질적인 지능을 어느 정도 제공할 수 있는가?
• RQ4 eMailTrackerPro와 Web Historian와 같은 도구는 이메일 및 웹 활동을 포함한 포렌식 조사에 어떻게 기여하는가?
• RQ5 실제 사이버 공격 상황에서 기존 네트워크 포렌식 도구의 강점과 한계는 무엇인가?

주요 결과

• Ethereal과 같은 패킷 스니퍼는 네트워크 트래픽의 세밀한 점검을 가능하게 하여 포렌식 조사관이 공격 시퀀스를 재구성하고 악성 패킷을 식별할 수 있도록 한다.
• eMailTrackerPro는 라우팅 및 헤더 정보를 사용하여 이메일 발신자를 지리적 위치로 매핑하는 데 성공적으로 활용되어 이메일 기반 공격의 원천 할당에 기여한다.
• Web Historian는 사용자 세션 지속 시간과 데이터 전송량에 대한 정확한 로그를 제공하여 웹 기반 침입에 대한 포렌식 분석을 지원한다.
• 패킷 마킹과 같은 IP 트레이스백 기법은 기존 로깅이 부족한 네트워크에서 원천 식별 정확도를 크게 향상시킨다.
• 해저드와 해저드넷은 공격자 도구 및 전략에 대한 실시간 데이터를 효과적으로 캡처하여 변화하는 사이버 위협에 대한 통찰을 제공한다.
• 다양한 포렌식 도구를 통합한 조율된 프레임워크는 디지털 증거 수집의 신뢰성과 완전성을 향상시킨다.