Transcript 사이버범죄 수사 기초
사이버범죄 수사
Cist9 이미선
발표일: 5월 2일
목차
기초조사
Whois 조회
원격컴퓨터에 대한 정보수집
모니터링
현장조사
윈도우 pc분석
서버시스템 분석
하드디스크 복제
사이버 범죄 수사기초
기초 조사
Whois 조회 / 도메인
도메인개념
숫자 형태의 ip를 문자형태로 표시한 것
기관이나 개인이 일정금액을 내고 일정기간
소유할 수 있는 무형재산
국제도메인/국내도메인
국제도메인은 2단계 구조(com, net, org,
gov, edu)
국가도메인은 3단계 구조(go.kr, or.kr, pe.kr,
ac.kr)
도메인
도메인과 호스트의 구별
url 주소는 일반적으로 호스트명과 도메인으
로 구성
www.chol.com www: 호스트 chol.com: 도
메인(국제)
www.police.go.kr www: 호스 police.go.kr :
도메인(국가)
도메인
도메인 조회
조회사이트
조회기관
국내
도메인
http://whois.nic.or.kr
한국인터넷정보센
터
국제
도메인
http://www.internic.net/whois.html
http://www.networksolutons.com/en_US/whois/index.html
http://www.allwhois.com
국제인터넷정보센
터
Network Solutions
All Domains.com
IP
IP개념
사람의 주민등록번호와 같이 컴퓨터에 부여된 4자리
주소체계
인터넷에 연결중인 컴퓨터는 유일한 ip가 부여
국내 IP/ 국외 IP
국내 IP : 국내 IP 관리기관인 KRNIC을 통해 할당.
국외 IP : APNIC(아시아), RIPE(유럽), ARIN(북미),
LACNIC(남미)
IP
•IP 조회
조회사이트
조회기관
국내
IP
http://whois.nic.or.kr
한국인터넷정보센터
국제
IP
http://www.apnic.net
http://www.arin.net/whois/index.html
http://www.ripe.net
http://www.lacnic.net
아시아 태평양 네트워크주소 관리기관
북미 네크워크주소 관리기관
유럽 네트워크 협의기관
라틴 아메리카 네크워크주소 관리기관
IP
IP 조회시 유의사항
KRNIC 조회결과 해외 IP로 나오면 해외 IP조회기관에 반드시 재조회
한다.
인터넷서비스제공업체(ISP)이면 IP를 재할당 한 경우이거나 가입자에
게 부여한 유동 IP.
다음의 경우에 해당하면 실제 국내에서 사용하는 IP임에도 해외에 할
당 된 것처럼 조회될 수 있다.
개요
사례
Case 1
Isp,대학, 대규모 기관 등에서 한국인터넷정보센터
(krnic)와 관계없이 해외기관에서 직접 IP를 할당 받
을 경우
㈜ KT
㈜DACOM
서울대학교 등
Case 2
해외에 본사가 있는 다국적기업의 국내 지사인 경우
㈜ORACLE 등
Case 3
사설 IP주소인 경우
10.*.*.*
172.(16~31).*.*
192.168.*.*
도메인의 IP주소로의 변환
DNS 서버
도메인은 DNS 서버에 IP주소와 함께 등록함
으로써 사용가능
상당수가 등록대행업체에서 DNS서버 운영
변환방법 : nslookup [사이트주소]
• Ex)
원격컴퓨터에 대한 정보수집/
Ip 추적 프로그램 visual route
Download site: http://www.visualware.com/visualroute/index.html
실행화면
기능
원격컴퓨터까지의 경로를 지도에 표시하고 인터넷 연결 유무를 점검
Whois 조회 및 도메인의 ip 변환
스캔 프로그램 languard network security scanner
Download site :
http://www.gfi.com/downloads/downloads.asp?pid=8&lid=1
실행화면
기능
원격컴퓨터 운영체제 및 이름 등 기본정보
서비스 포트와 서비스명
원격컴퓨터 MAC 주소 확인
MAC 주소
제조사에서 랜카드에 부여한 고유번호
Ip는 변경 가능하지만 MAC주소는 항상 고정
MAC 주소는 차대번호, IP주소는 차량번호와 같은 개념
6byte 주소체계(16진수로 표현)
• Ex)00-10-B5-C4-35-2D
로컬컴퓨터의 MAC주소는 “ipconfig /all” 명령으로 확인
사용방법 : nbtstat –A IP주소
주의 사항
MAC 주소는 원격시스템이 windows일 경우에만 성공적으로 실
행
방화벽 환견등에 의해 정상적으로 실행되지 않을 수 있음
원격컴퓨터 MAC 주소 확인
Ipconfig /all :로컬 컴퓨터 mac주소 확인
Nbtstat –A IP주소 : 원격 컴퓨터 mac주소 확인
원격컴퓨터 MAC 주소 확인
랜카드 제조사 확인
MAC주소를 확보하면 다음 사이트에서 제조사를 조회할 수 있다
http://standards.ieee.org/regauth/oui/oui.txt
모니터링
모니터링 개념
특정 대상시스템의 상태를 실시간 확인하는 절차
범죄와 관련된 기록(증거)을 남기거나 용의자를 추적하기 위함
모니터링 종류
자체 모니터링
• 대상시스템 자체에서 모니터링 행위가 진행되는 형태
• 일반적으로 권한이 있는 네트워크/시스템/응용프로그램 관리자에 의해 수행
• 수사기관에서 포털사이트 등의 협조하에 회원 id 접속유무를 체크하는 형태
원격 모니터링
• 수사관 컴퓨터로 대상 시스템을 모니터링 하는 형태
• 수사관이 브라우저를 실행하여 실시간 게시판 상황을 점검하는 경우
• 원격 관리 프로그래미이나 기타 접속프로그램을 이용하여 모니터링을 수행하는 형태
모니터링 방법
실시간 네트워크 상태보기
사용용도
Windows
Unix
Linux
사용방법
비고
네트워크
상태보기
netstat
netstat
C:\>netstat –an
C:\>netstat –anP tcp
C:\>netstat –anP udp
C:\>netstat –an 3
#>netstat –antu
#>netstat –anP tcp –f inet
전체보기
Tcp 만 보기
Udp만 보기
3초마다 반복
(linux)
(unix)
모니터링 방법
실시간 네트워크 상태보기
모니터링 방법
실시간 CPU/MEM 상태확인
사용용도
Windows
Unix/
Linux
사용방법
비고
Cpu
현환보기
taskmgr
top
C:\>taskmgr
#>top
GUI툴
메모리
보기
taskmgr
free
C:\>taskmgr
#>free
GUI툴
실시간 CPU/MEM 상태확인
모니터링 방법
실시간 파일크기 확인: windows는 batch파일,
linux/unix는 스크립트로 작성하여 실행
파일크기 확인방법
Windows -> bat 파
일작성
Linux/unix -> sh 파
일 작성
Windows(loop.
bat)
Unix/Linux(loop.sh)
ECHO OFF
:START
DIR
SLEEP 3
CLS
GOTO START
while true
do
ls –al
sleep 3
clear
done
모니터링 방법
실시간 파일 추가내용 확인
사용용도
Windows Unix
Linux
사용방법
비고
파일추가
내용확인
tail –f
C:\>tail –f 파
일명
#>tail –f 파일
명
Windows에서
tail은 기본명령
이 아니므로 인
터넷 다운로드
후 실행
tail –f
모니터링 방법
실시간 패킷 확인(winpcap + ethereal)
설치방법
Wincap: 패킷을 캡쳐하기 위한 드라이버 프로그램
http://wincap.polito.it/install/bin/WinPcap_3_0.ext
Ethereal: 패킷을 캡쳐하는 프로그램
http://www.snort.org/dl/binaries/win32/
모니터링 방법
게시판 모니터링
http://cist.korea.ac.kr/new/Bulletin/index.html
loop.html 작성
모니터링 실시
정상적으로 실행되면 10초에 한번씩 반복하여 게시판 내요을 읽어와 보여준다.
사이버 범죄 수사기초
현장 조사
윈도우 pc분석/
인터넷 접속 기록 수집 및 분석
인터넷 히스토리와 인터넷 임시파일
인터넷 히스토리: 인터넷 익스플로러를 사용해 접속
했던 웹사이트의 url 목록
인터넷 임시파일: 인터넷 익스플로러를 사용해 접속
했던 웹사이트의 내용으로 일정 시간이 경과하면 삭
제도도록 되어 있으며 “temporary internet files” 디
렉토리에 저장됨
인터넷 접속 기록 수집 및 분석
인터넷 히스토리 출력
컴퓨터 사용자가 최근에 접속한 인터넷 사이트의 목록 및 접속
시간 등 확인 가능
IEHistory 프로그램을 이용해 히스토리 출력하기
• Down load site:
http://www.softwarepatch.com/software/indexdat.html
인터넷 접속 기록 수집 및 분석
pasco 프로그램을 이용해 히스토리 파일
출력하기
인터넷 접속 기록 수집 및 분석
인터넷 임시파일 열람
유의사항
• 인터넷 임시파일은 컴퓨터 사용자가 인터넷 익스플로러를
사용해 접속했던 웹사이트의 내용을 임시로 컴퓨터에 저장
시켜 놓은 것으로 용의자가 사용한 PC를 수사하는 경우에는
중요한 수사단서가 되므로 취급에 신중해야 함.
• 인터넷 임시파일이 저장된 “temporary internet files” 디렉
토리는 시스템 디렉토리로서 탐색기에서 보여지는 내용과
실제 저장된 파일의 내용이 다르며, 탐색기에서 “temporary
internet files”의 파일내용을 클릭하여 열람하게 되면 인터
넷 익스플로러가 자동으로 해당 웹사이트에 연결을 시도하
며 연결에 실패한 경우에는 임시파일의 니용을 덮어 써버리
게 되어 원래 저장된 임시파일의 내용 확인이 불가능 함.
인터넷 접속 기록 수집 및 분석
=> 안전하게 인터넷 임시파일 열람하기
먼저 탐색기를 이용해 시스템의 “temporary internet files” 디
렉토리를 열람하여 임시파일이 저장되어 있는지 확인
임시파일이 저장되어 있다면 열람을 원하는 임시파일에 마우스
를 옮기고 마우스의 오른쪽 버튼을 눌러 팝업메뉴를 호출
팝업메뉴에서 [복사]를 선택->플로피디스크 등 다른 임시저장
위치로 이동 -> 붙여넣기로 복사
인터넷 익스플로러에 의해 임시파일이 변경되는 것을 방지하기
위해 먼저 메뉴에서 [도구]-> [인터넷옵션] -> [인터넷 임시
파일 설정]-> [확인하지 않음]을 선택하여 인터넷 익스플로러
의 동작 방식을 변경
인터넷 익스플로러에서 [파일]->[열기]->[찾아보기]를 선택,
임시저장 위치에 복사한 임시파일을 오픈
인터넷 접속 기록 수집 및 분석
쿠키정보 확인
쿠키파일의 의미
• 인터넷 익스플로러를 이용해 웹사이트를 방문하는 경우, 웹사이트
의 특성에 따라서 사용자의 ID와 같은 정보가 사용자의 컴퓨터에
저장됨.
• 쿠키파일의 분석을 통해 특정사이트에 접속한 사용자의 id 또는 패
스워드에 관한 정보를 얻을 수 있음.
쿠키파일 저장 위치
• 쿠키파일은 일반적으로 “사용자계정명@웹사이트명” 같은 파일이
름으로 저장됨
운영체제
저장위치
Windows 2000/xp
C:\document and settings\<username>\cookies
Windows 98/me
C:\windows/cookies
인터넷 접속 기록 수집 및 분석
쿠키파일 형식
쿠키파일내에는 일반적으로 하나의 쿠키값이
저장되나 경우에 따라서는 여러 개의 쿠키가
저장될 수 있으며 각 쿠키값은 구분자 “*”로
구분됨.
쿠키값은 평문형태로 저장되어 있어 문서편
집기를 이용해 열람이 가능하지만, 쿠키의 생
성값과 만료값은 일정한 변환과정을 거쳐야
함.
인터넷 접속 기록 수집 및 분석
파일명: a@empas[2]
변수명
변수값
쿠키 생성 사이트
옵션
만료일자
생성일자
구분자
인터넷 접속 기록 수집 및 분석
쿠키값 추출하기(쿠키값에서 만료일자와
생성일자를 추출)
레지스트리 정보수집
레지스트리 정보수집
레지스트리에는 윈도우의 시스템 및 응용프로그램 실행에 관련
된 내용이 저장됨.
레지스트리 저장 파일
운영체제
파일명
Windows 98
User.dat, system.dat,
policy.dat
Windows me
User.dat, system.dat, class.dat
Windows 2000
Software
SAM
System
Security
NTUSER.DAT
UsrClass.dat
비고
HKLM\SOFTWARE
HKLM\SECURITY\SAM
HKLM\SYSTEM
HKLM\SECURITY
HKU\SID
HKEY_CLASSES_ROOT
레지스트리 정보수집
레지스트리 수집
레지스트리 편집기 실행:[시작]->[실행]->[regedit]
순으로 실행
[레지스트리]->[레지스트리 파일 내보내기]->[파
일명 입력]순으로 선택
레지스트리 조회: 전체 레지스트리 내용을 수집
하지 않고 특정 레지스트리 키값만을 조회
[시작]->[실행]->[regedit]순으로 실행
“req query 레지스트리 키” 명령을 실행
레지스트리 정보수집
레지스트리 조회
레지스트리 정보수집
주요 레지스트리 점검항목: 레지스트리 편집기를 이용해 아래 레지
스트리 키를 찾아서 해당 값을 확인
시작 프로그램
SOFTWARE\Microsoft\CurrentVersion 이하의
Run: 윈도우가 시작될 때마다 실행
RunOnce: 윈도우가 시작될 때마다 단 한번 실행되고 성공하면
삭제
RunOnceEx: RunOnce와 동일
RunService: 윈도우가 시작되는 동안 네크워크 및 시스템 서비
스 실행
RunServiceOnce: RunService와 동일하나 단 한번만 실행됨
레지스트리 정보수집
실행창에서 최근에 실행시킨 프로그램
[windows 98]
• .Default\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
Windows 2000]
• HKEY_USER\<sid>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explor
er\RunMRU
최근 열람 문서
• [windows 98]
•
.Default\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
• [Windows 2000]
•
HKEY_USER\<sid>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Rec
entDocs
즐겨찾기 목록
• [Windows 2000]
•
HKEY_USER\<sid>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Men
uOrder\Favorite
최근 ftp 연결 목록
[windows 98]
• .Default\SOFTWARE\Microsoft\Ftp
최근 telnet 연결 목록
[windows 98]
• .Default\SOFTWARE\Microsoft\Telnet
휴지통(recycle bin) 복구하기
휴지통 파일은 바탕화면 휴지통 아이콘 선택 외에 휴지통 설정파일
자체를 복사해 그 내용을 확인 할 수 있음
휴지통 파일 보기
휴지통 디렉토리는 숨김형식으로 되어있음
• “dir /a”
지워진 파일- INFO2 파일 내에 저장
휴지통 파일의 위치
운영체제
파일시스템유
형
저장위치
Windows 95/98/me
FAT32
C:\Recycled\INFO2
Windows NT/2k/XP
NTFS
C:\Recycler\<user sid>\INFO2
휴지통(recycle bin) 복구하기
rifiuti 프로그램으로 info2파일에서 삭제된 파일정보 추출
Download site: http://sourceforge.net/project/showfiles.php?group_id=78332
휘발성데이터 수집
기본정보
시스템 시간정보의 확인
• 시스템의 시간정보 : 현재 시스템에서 사용되고 있는 시간
설정값
• [시작]->[실행]->[a:\cmd.exe]를 선택하여 명령 프롬프
트 실행
• Date, time 명령 실행
• 표준시간과의 오차 확인
휘발성데이터 수집
시스템 기초정보 확인
시스템 기초정보: 하드웨어, 운영체제, 설치일자 등 확인
pstools을 사용 하여 psinfo 명령 실행
• 다운로드 사이트:
http://www.sysinternals.com/ntw2k/freeware/pstools.sht
ml
휘발성데이터 수집
시스템 운영시간
부팅된 이후 현재까지 경과된 시간
현재 로그인 계정 확인
시스템에 로그인 되어 있는 사용자의 계정명 확인
휘발성데이터 수집
시스템 서비스 확인
현재 시스템에서 동작중인 서비스 확인
C:\Pstools>psservice
휘발성데이터 수집
프로세스 정보 확인
시스템에서 동작중인 프로세스에 대한 정보 확인
휘발성데이터 수집
공유 폴더 확인
외부에서 접속할 수 있는 공유폴더 정보 확인
최근 연결된 ARP 목록 확인
최근 시스템에 연결된 ip와 mac주소 확인
휘발성데이터 수집
열려진 포트번호 확인
fport 를 이용한 현재 시스템에 개방된 포트 번호 확인
다운로드 사이트:
http://packetstormsecurity.org/Win2k/fport.zip
서버시스템 분석(로그수집)- 윈도우 서버
이벤트 로그
윈도우에서 사용자가 로그인하거나, 로그아웃하는 상황, 새로
운 서비스가 실행되는 내용 등 시스템에서 발생하는 각종 정보
를 저장
시스템이벤트: C:\winnt\systme32\config\SysEvent.Evt
보안이벤트: C:\winnt\system32\config\SecEvent.Evt
응용프로그램 이벤트:
C:\winnt\system32\config\AppEvent.Evt
이벤트 로그 수집
psloglist 명령 수행
윈도우 서버
응요프로그램 로그
수집 대상
• IIS, SMTP, FTP 서버 프로그램의 로그를 수집
응용프로그램
로그 저장 위치
IIS
C:\winnt\system32\Logfiles\W3SVC1
SMTP
C:\winnt\system32\Logfiles\SMTPSVC1
FTP
C:\winnt\sywtem32\Logfiles\MSFTPSVC1
IIS, SMTP, FTP 서버의 로그파일은 일반적인 텍스트 형
태로 저장되므로 별도의 프로그램 없이 텍스트편집기로
열람 가능 탐색기 이용 복사가능
서버시스템 분석(로그수집)- 유닉스/리눅스 시스템
기본 정보 확인
시스템 시간정보 확인
커널 정보 및 설치날짜 확인
로그인 사용자 확인
유닉스/리눅스 시스템
파일시스템 정보확인
하드디스크 파티션 정보 확인
하드디스크 마운트 정보 확인
용량 확인하기
유닉스/리눅스 시스템
프로세스 정보 확인
사용자계정, 프로세스 ID, cpu 사용률, 메모리 크기, 터미널, 프
로세스 상태, 시작시간, 명령행 정보가 출력 됨.
유닉스/리눅스 시스템
프로세스의 계층구조를 살펴보기 위해 pstree 명령 실행
유닉스/리눅스 시스템
네크워크
정보 확인
=> IP주소와 MAC 주소 확인
유닉스/리눅스 시스템
=> 현재 네트워크 연결상태 확인
유닉스/리눅스 시스템
=> 현재 사용중인 파일/소켓 정보 확인
유닉스/리눅스 시스템
로그수집
로그파일
저장 디렉토리
/var/log
Linux, BSD
/var/adm
Solaris, AIX
/var/adm
HP-UX
유닉스/리눅스 시스템
기본 로그 파일
Lastlog
각 사용자의 가장 최근 로그인 시간 기록
Loginlog
실패한 로그인 시도를 기록
Messages
커널 메시지 및 syslog에 의한 응용프로그램
로그를 기록
Secure
사용자 인증 등 시스템보안과 관련된 로그를
기록
Sulog
Su 명령 사용 내역 기록
Utmp
현재 로그인한 각 사용자 기록
Wtmp
사용자 로그인, 로그아웃 시간 및 시스템 시
작 및 종료시간을 기록
xferlog
FTP 서비스 이용내역 기록
유닉스/리눅스 시스템
Last log 열람
시스템 계정으로 로그인한 상태에서 lastlog 명령 실행
계정명, 사용된 터미널, 접속위치(IP주소), 마지막으로 접속한
시간 등의 정보가 출력됨
유닉스/리눅스 시스템
messages 로그 열람
텍스트편집기(vi), cat, more 명령실행
좌측부터 시간, 시스템 이름, 커널 또는 응용프로그램 이름,
메시지 등이 출력됨
유닉스/리눅스 시스템
utmp/wtmp 로그 열람
시스템 계정으로 로그인한 상태에서 last 명령 실행
사용자계정, 사용된 터미널, 접속주소, 접속시간등이 출력됨
유닉스/리눅스 시스템
xferlog 로그 열람
xferlog의 각 필드의 의미
필드명
의미
현재시간
전송이 시작된 시간
전송시간
전송에 걸린 시간(초)
원격호스트
전송을 요청한 원격지 컴퓨터
파일크기
전송된 파일의 크기(바이트)
파일명
전송된 파일 이름
전송모드
전송모드(a:아스키모드, b:바이너리 모드)
플래그
전송파일의 특성을 나타내주는 플래그
(C:압축된 파일, U:압축되지않는파일, T:tar파일, _:기타)
접근모드
A:anonymous접속, g:guest그룹접속, r:일반사용자접속
유닉스/리눅스 시스템
xferlog의 각 필드의 의미
필드명
의미
사용자명
접속자 이름
서비스이름
서비스 이름으로 FTP로 고정되어 있음
인증방법
사용자 인증에 사용된 방법(0:없음, 1:RFC931)
인증 ID
인증에 성공한 사용자 계정(사용불가 사용자의 경우 *표시)
전송결과
C: 전송이 완료됨, i:불완전한 전송
하드 디스크 복제
복사용 하드 디스크 및 복제 장비 준비
복사용 하드디스크는 반드시원본 하드디스크 보다 저장요양이 커야 함.
수사대상 컴퓨터의 전원을 차단하고 원본 하드디스크를 컴퓨터에서 분리
복제장비의 전원이 커진 상태에서 원본 하드디스크와 복사용 하드디스크를 각
각 복제장비에 연결하고 전원단자를 연결(이때, 복제되는 방향에 주의하여 연
결)
복제 방식 선택
복제방식에는 전체 이미지 복제방식과 컨덴츠 복제방식으로 구분
전체이미지 복제방식은 원본하드디스크의 디렉토리, 파일등 할당된 영역 뿐만
아니라 할당되지 않은 영역까지도 모두 복제, 따라서 원본하드디스크의
내용을 100% 동일하게 복제 할 수 있으나 복제시간이 많이 소요됨
컨텐츠 복제방식은 원본 하드디스크의 디렉토리, 파일등 할당된 영역만을 복제,
따라서 원본 하드디스크의 내용중 할당되지 않은 영역은 복제에서 제외되므로
100%동일하게 복제 할 수 없으나 복제시간이 단축됨
하드 디스크 복제
Hash값의 사용
해쉬 함수
• 서로다른 입력값으로부터 동일한 출력값이 나올 가능성이 불가능
에 가까워 입력값에 대한 무결성 보장 기능 => 입력값이 바뀌면 출
력값이 바뀌게 되므로 출력값이 동일하다면 입력값, 즉 원본값이
바뀌지 않았다는 것을 입증하는 수단으로 사용됨