NTFS에서 저장장치 성능을 활용한 타임스탬프 변조 탐지 기법 설계
A Design of Timestamp Manipulation Detection Method using Storage Performance in NTFS
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
Windows 운영체제는 다양한 데이터를 타임스탬프와 함께 로깅한다. 타임스탬프 변조는 안티포렌식의 한 행위로 용의자가 범행과 관련된 데이터의 타임스탬프 조작을 통해 흔적을 숨겨 분석관이 사건의 상황 재현을 어렵게 하여수사를 지연시키거나 중요한 디지털 증거 획득을 실패하게 만든다. 따라서 이를 대처하기 위해 타임스탬프 변조를 탐지하는 여러 기법이 개발되었다. 그러나 만일 용의자가 타임스탬프 패턴을 인지하고 정교하게 시간을 조작하거나 변조탐지에 활용되는 시스템 아티팩트를 변경한다면 탐지가 어렵다는 한계점을 가지고 있다. 본 논문에서는 용의자가 파일의 타임스탬프를 조작하더라도 저장장치의 속도에 비례하여 1초 미만의 단위값까지를 고려한 정교한 변경이 어려움에착안하여, 타임스탬프 변조를 탐지할 수 있는 기법을 설계하고자 한다. 설계한 탐지 기법에서는 우선 변조가 의심스러운파일의 타임스탬프를 확인하여 해당 파일의 쓰기시간을 확인한다. 그다음 확인된 시간을 저장장치의 성능을 고려하여시간 내에 기록된 파일 크기와 대조한다. 마지막으로 특정 시간에 파일이 쓰인 총용량을 구하고 저장장치의 최대 입출력 성능과 비교하여 파일의 변조 여부를 탐지한다.
Abstract
Windows operating system generates various logs with timestamps. Timestamp tampering is an act of anti-forensics in which a suspect manipulates the timestamps of data related to a crime to conceal traces, making it difficult for analysts to reconstruct the situation of the incident. This can delay investigations or lead to the failure of obtaining crucial digital evidence. Therefore, various techniques have been developed to detect timestamp tampering. However, there is a limitation in detection if a suspect is aware of timestamp patterns and manipulates timestamps skillfully or alters system artifacts used in timestamp tampering detection. In this paper, a method is designed to detect changes in timestamps, even if a suspect alters the timestamp of a file on a storage device, it is challenging to do so with precision beyond millisecond order. In the proposed detection method, the first step involves verifying the timestamp of a file suspected of tampering to determine its write time. Subsequently, the confirmed time is compared with the file size recorded within that time, taking into consideration the performance of the storage device. Finally, the total capacity of files written at a specific time is calculated, and this is compared with the maximum input and output performance of the storage device to detect any potential file tampering.
참고문헌 (17)
- 이근기, "타임라인 분석 기법을 이용한 디지털 증거 분석 방법론", 한국항행학회논문지, 18(1), pp.50~55 (2014), 한국항행학회[DOI]
- J. W. Bang, "Analysis of changes in file time attributes with file manipulation", Digital Investigation, 7(3), pp.135~144 (2011)
- G. S. Cho, "A computer forensic method for detecting timestamp forgery in NTFS", Computers & Security, 34, pp.36~46 (2013)
- 조규상, "타임스탬프 변화패턴을 근거로 한 평가함수에 의한 디지털 포렌식 방법", (사)디지털산업정보학회 논문지, 10(2), pp.91~105 (2014), (사)디지털산업정보학회
- D. I. Jang, "Understanding Anti-forensic Techniques with Timestamp Manipulation", 2016 IEEE 17th International Conference on Information Reuse and Integration (IRI), pp.609~614 (2016)
- H. J. Yoon, "A study on user behavior tracking using $UsnJrnl", Master, pp.2018
- J. H. Jeong, "A study on document reading and writing traces through NTFS file system journal file analysis", Master, pp.2022
- J. Bouma, "Reconstructing Timelines : From NTFS Timestamps to File Histories", ARES '23: Proceedings of the 18th International Conference on Availability, Reliability and Security, (154), pp.1~9 (2023)
- D. Palmbach, "Artifacts for Detecting Timestamp Manipulation in NTFS on Windows and Their Reliability", Forensic Science International:Digital Investigation, 32, pp.S1~S9 (2020)
- A. Mohamed, "Detection of Suspicious Timestamps in NTFS using Volume Shadow Copies", International Journal of Computer Network and Information Security, 13(4), pp.62~69 (2021)
- M. Galhuber, "Time for Truth : Forensic Analysis of NTFS Timestamps", ARES '21: Proceedings of the 16th International Conference on Availability, Reliability and Security, (44), pp.1~10 (2021)
- 조규상, "NTFS 파일시스템의 타임스탬프 변경 도구들에 대한 디지털 포렌식적 분석", 한국컴퓨터정보학회논문지, 24(9), pp.51~58 (2019), 한국컴퓨터정보학회[DOI]
- 이상현, "iOS(iPhone, iPad)에서의 타임스탬프 위·변조 흔적 조사에 관한 연구", 정보처리학회논문지. 컴퓨터 및 통신시스템, 5(7), pp.173~180 (2016), 한국정보처리학회[DOI]
- 한재혁, "A Study on the Processing of Timestamps in the Creation of Multimedia Files on Mobile Devices", JIPS(Journal of Information Processing Systems), 18(3), pp.402~410 (2022), 한국정보처리학회[DOI]
- A. Mohamed, "Detection of Timestamps Tampering in NTFS using Machine Learning", Procedia Computer Science, 160, pp.778~784 (2019)
- S. Neuner, "Time is on my side : Steganography in filesystem metadata", Digital Investigation, 18(7), pp.76~86 (2016)
- 조규상, "Data Hiding in NTFS Timestamps for Anti-Forensics", The International Journal of Internet, Broadcasting and Communication, 8(3), pp.31~40 (2016), 한국인터넷방송통신학회[DOI]