macOS 메모리 포렌식을 위한 데이터 수집 및 분석 방법에 대한 연구
A Study on Data Acquisition and Analysis Methods for Mac Memory Forensics
1
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
macOS는 Apple 사의 제품군에서만 사용할 수 있고 독자적인 시스템 구조, 비공개 커널, 시스템 무결성 보호를 위한 SIP(System Integrity Protection) 등의 보안 기능 등으로 인해 기존에 알려진 메모리 데이터 수집 도구들이 실제로는 제대로 작동하지 않거나 시스템 재부팅을 필수적으로 동반해야 한다는 문제가 있다. 따라서 본 논문은 macOS와 관련된 메모리 포렌식 관련 연구들과 알려진 도구들의 현황 및 한계점을 분석하고 다양한 macOS 버전을 대상으로 메모리 수집과 분석을 위한 방법을 연구했다. 그 결과 OSXPmem과 dd 도구를 사용하여 시스템 재부팅 없이 메모리 데이터를 수집하고 Volatility 2, 3를 활용하여 메모리 데이터를 분석하는 디지털 포렌식 조사에서 실무적으로 활용할 수 있는 메모리 수집 및 분석 프로세스를 개발했다.
Abstract
macOS presents challenges for memory data acquisition due to its proprietary system architecture, closed-source kernel, and security features such as System Integrity Protection (SIP), which are exclusive to Apple's product line. Consequently, conventional memory acquisition tools are often ineffective or require system rebooting. This paper analyzes the status and limitations of existing memory forensics research and tools related to macOS. We investigate methods for memory acquisition and analysis across various macOS versions. Our findings include the development of a practical memory acquisition and analysis process for digital forensic investigations utilizing OSXPmem and dd tools for memory acquisition without system rebooting, and Volatility 2, 3 for memory data analysis.
참고문헌 (21)
- "Desktop Operating System Market Share Worldwide" (2023)[URL]
- Burdach, Mariusz, "Physical memory forensics", USA:Black Hat (2006)
- Lee, Kyeong-Sik, "Research on Mac OS X Physical Memory Analysis", Journal of the Korea Institute of Information Security & Cryptology, 21(4), pp.89~100 (2011)
- Case, Andrew, "Advancing Mac OS X rootkit detection", Digital Investigation, 14, pp.25~33 (2015)
- Andrew Case, "New Memory Forensics Techniques to Defeat Device Monitoring Malware", USA:Black Hat (2022)
- Lee, Kyeong-Sik, "Keychain Analysis with Mac OS X Memory Forensics", DCWTC 16 (2013), Korea University, CIST
- Leopard, Charles B, "Memory forensics and the Macintosh OS X operating system", Digital Forensics and Cyber Crime: 9th International Conference, ICDF2C 2017, pp.175~180 (2018), Springer International Publishing
- Almubairik, Norah, "WormHex: A Volatile Memory Analysis Tool for Retrieval of Social Media Evidence", International Journal of Information and Communication Engineering, 16(6), pp.233~238 (2022)
- Choi, Joon-Ho, "The Acquisition Methodology Study of User Trace Data in Mac OS X", The KIPS Transactions: PartC, 17(4), pp.335~346 (2010)
- Kim, SeHo, "macOS Forensic Analysis Technique", Journal of Digital Forensics, 11(2), pp.14~28 (2017)
- "Mac Memory Redaer" (2023)[URL]
- "RECON ITR" (2023)[URL]
- "MacQuisition" (2023)[URL]
- "Digital Collector" (2023)[URL]
- "Surge Collect Pro" (2023)[URL]
- "OSXPmem" (2023)[URL]
- "Volatility 2" (2023)[URL]
- "Volatility 3" (2023)[URL]
- "Volafox" (2023)[URL]
- "go language" (2023)[URL]
- "Volatility 2 dwarf2json" (2023)[URL]