레지스트리 접근권한 변조에 관한 포렌식 분석 연구
Study on Forensic Analysis with Access Control Modification for Registry
0
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
레지스트리 하이브 파일 구조에서 sk(security key) 셀은 레지스트리 키에 대한 접근제한 기능을 제공한다. 따라서 sk 셀에 대한 악의적인 변조가 이루어진 하이브 파일이 사용된다면 공격자는 레지스트리의 비밀 정보를 알아내거나이벤트 로그 감사정책, 휴지통, 프리패치 생성여부와 같은 보안과 관련된 설정을 조작할 수 있다. 본 논문은 하이브 파일을 셀 단위로 변조하여 레지스트리 키의 접근제한 속성을 조작할 수 있는 유효한 방법을 제시한다. 그리고 이러한 조작으로 인해 일어날 수 있는 보안 측면의 문제점과 의도적으로 변조된 하이브 파일에 남아 있을 수 있는 흔적에 대해논의한다.
Abstract
In the Hive file format, the sk(Security Key) cell provides access control to registry key. An attacker can figure out secret information on registry or change the security set-up if she could apply modified hive files on system. This paper presents various methods to change access control of registry key by modifying or replacing cell on hive file. We also discuss threats by access control modification and signs of attacks analysis by modified hive files.
참고문헌 (7)
- Derrick J. Farmer, "A Windows registry quick reference : for the everyday examiner", Forensic Focus, ~ (2007)
- Peter Morris, "The internal structure of the windows registry", Ph.D., pp.2009
- Timothy D. Morgan, "The Windows NT registry file format version 0. 4", ~ (2009)
- "Access Control Litsts"[URL]
- Timothy D. Morgan, "Recovering deleted data from the Windows registry", DFRWS, S33-S41, ~ (2008)
- Jolanta Thomassen, "Forensic analysis of unallocated space in windows registry hive files", Ph.D., pp.2008
- Zhenhua Tang, "Carving the Windows registry files based on the internal structure", ICISE, 2009 1st International Conference on. IEEE (2009)