Time for Security

 오늘은 한 주의 마지막이기도 하면서 2주간의 디지털 포렌식 수업의 마지막 날이기도 했습니다.

 이번 시간에는 GRR에 대해 교육 받았는데요.

 GRR은 Google Rapid Response의 약어입니다.

 조금 생소한 수도 있는 이 단어는 우선 이름에서 느껴지듯 Google에서 만들었음을 알 수 있는데요.

 리눅스와 윈도우 클라이언트를 위한 오픈 소스 원격 라이브 포렌식 사고 대응 프레임워크라고 볼 수 있습니다.

 뭔가 길어졌는데요. 

 쉽게 말해서 원격 라이브 포렌식 툴이라고 보시면 됩니다.

 GRR을 리눅스에 직접 설치해보고 실습해보는 시간을 가졌습니다.

 2주간 20여개 정도의 툴을 다뤄봤는데, 가장 의미 있었던 실습이였습니다.

 다음주부터는 리버싱 교육을 받게 될 것 같습니다. 

 오늘은 NTFS 파일 시스템에 대해 배웠습니다.

 어제는 FAT 파일 시스템에 대해 배웠는데요.

 이 둘은 서로 호환되지 않습니다.

 보안을 배우며 많은 약어들을 듣고 보게 되는데요.

 NTFS는 New Technology File System 의 약어입니다.

 지금까지 봐왔던 약어들 중에 가장 직설적이지 않나 싶습니다. 

 이름에 걸맞게 더욱 빠르고 안정적인 파일 접속 기능을 하도록 만들어졌지만 어떻게 보면 더 불편함을 가져왔을 수도 있겠네요.

 내일이면 디지털 포렌식의 마지막 시간입니다.

 마지막까지 최선을 다해봐야겠어요.

 오늘은 파일 시스템에 대해 교육받았습니다.

 많은 시스템이 있지만 그 중에서도 FAT을 주로 다뤘는데요.

 0부터 89까지 거의 처음부터 끝까지 어떤 구조로 이루어져 있는 지 보았습니다.

 처음엔 다 외우려고 했는데, 수업을 듣다 보니 그럴 필요까지는 없을 것 같더라구요.

 검색하고 찾아서 무엇을 하는 지 알 정도면 충분한 것 같아요. 

 이 외에도 FAT 영역 위치 확인과 디렉토리 앤트리 등 많은 것을 배웠습니다.

 하루동안 너무 많은 부분 부분을 봐서 헷갈리네요.

 정리를 하는 시간이 필요할 것 같습니다. 

 디지털 포렌식을 배운지 일주일이 넘어가네요 벌써.

 이 날엔 웹 로그 분석에 대해 배웠습니다. 

 저번 학기 때 공모전 주제로 '웹 로그 분석 시스템'을 잠깐 다뤘었는데요.

 그랬었기 때문에 이해하는 데 더 도움이 됐던 것 같습니다.

 총 5단계로 나눠지는데요.

 로그 분석 항목 선정 - 로그 항목 설정 - 선별과 정제 및 변환 - 로그 분석 - 결과 반영 순으로 이루어집니다.

 로그 분석시 microsoft의 log parser를 이용하면 편리한데요.

 웹 서버의 로그를 쿼리 형태 질의어로 원하는 형태의 파일로 정리해주는 툴 입니다.

 범위가 넗고 많을 줄은 알았지만 정말 여러 가지의 포렌식이 있다는 것을 느꼈습니다. 

 오늘은 웹 프로세스 구조에 대해 주로 살펴보았습니다.

 물론, 디지털 포렌식의 연장선입니다.

 오랜만에 오늘이라는 단어로 시작한 것 같네요.

 제 글을 항상 읽어주시는 분은 없겠지만 요즘은 하루, 이틀 밀려서 블로그를 했기 때문에 포스팅 날짜와 수업 날짜가 달라 '오늘'이라는 단어는 잘 쓰지 못했습니다.

 게을러지지 않도록 항상 노력하고 있지만 요즘 겹치는 일이 너무 많아 역시 초심처럼은 힘든가봅니다...

 아직 밝히지는 않았지만 교육이 끝나고도 다른 내용으로 포스팅은 계속 할 예정입니다.

 더 자세한 내용은 다음에 블로그 소개에서 이어 하도록 하겠습니다. 

 오늘 역시 여러가지를 배웠는데요.

 URL의 구조, 데이터 요청 방식, HTTP 상태코드 등 많은 내용에 대해 다뤘습니다.

 Paros와 burp suit이라는 툴도 다뤄보았습니다.

 이 툴들은 전에도 다뤄봤었는데요.

 특히 Paros라는 툴은 예전에 작동되지 않았었습니다.

 하지만 오늘에서야 그 원인을 찾은 것 같네요.

 Paros는 32비트 기반 환경인데, 요즘은 거의 64비트를 사용하고 있죠.

 따라서, 경로를 조금 수정해줘야 했더군요.

 모든 수업에서 하나씩 얻어가는 재미에 학원을 계속 다닐 수 있게 되는 것 같습니다. 

 지금까지 디지털 포렌식에 관한 개론을 배웠다면 이 날에는 포렌식 툴에 대해 살펴보았습니다.

 여태까지 모든 수업 다 합쳐서 이 날처럼 툴을 여러가지 사용해본 적은 처음인 것 같네요.

 과장 조금 보태서 20개는 다뤄본 것 같습니다. 

 그 중 특히 기억나는 것 몇개만 적어본다면 autopsy와 encase가 될 것 같은데요.

 autopsy같은 경우는 해부학이라는 뜻을 가지고 있는 영어 단이인데요.

 이미지 검색은 추천하지 않는 다는 강사님의 말에 당연히 이미지 검색을 해보았는데, 정말 괜히 해보았네요.

 이 글을 보신 분들은 이미지 검색은 절대 해보지 마셔요~ 

 이런 툴들의 복구 원리는 무엇일까요?

 컴퓨터 복구같은 경우에도 휴지통에 버렸던 파일까지 복구되는 것을 보실 수 잇는데요.

 이 이유는 데이터까지 삭제되는 것이 아니라 파일 이름만 컴퓨터 내부에서 삭제되기 때문입니다.

 이렇게 되면 내부에 저장된 데이터만 남아있게 돼요.

 따라서, 위의 툴을 이용해 저장된 데이터에 랜덤한 파일 이름을 매칭시켜 일치하는 경우에 복구되는 개념입니다.

 여기서 말하는 내부란 HDD 및 SDD를 의미해요.

 너무 여러가지 툴을 다뤄서 헷갈리는데요.

 철저한 복습이 필요한 순간 같아요! 

 17일에 이어 18일도 디지털 포렌식의 개론정도였습니다.

 특히 포렌식 수집 기술에 대해 배웠습니다.

 활성 시스템 조사, 디스크 이미징 기술, 임베디드 시스템 증거 확보 방법 등을 교육 받았습니다.

 이 중에서도 활성 시스템이라는 단어는 좀 낯설었는데요.

 운영중인 시스템을 의미한다고 합니다.

 더불어 활성 시스템 정보는 사건 현장에서 촬영한 즉석 사진과 같이 당시 시스템의 동작 상태를 그대로 나타내는 시스템 사용 정보라고 하네요. 

 미드나 영화에서 보면 컴퓨터 정보를 확보하는 장면들이 이런 포렌식이라고 할 수 있겠는데요.

 영화에서만 화려할 뿐, 실상은 너무 힘든 작업같습니다.

 사실, 지금까지 배운 다른 분야들도 마찬가지인 것 같긴 하지만요.

 어느 정도 예상은 했지만 생각만큼 재밌는 내용의 수업이 아니라 약간 지쳐요... 

 순수 교육일수가 60일이 되었네요.

 앞으로 36일이 남았네요. 

 1달 정도인가요?

 오늘부터 2주간은 디지털 포렌식에 대해 배웁니다.

 이번 교육의 교재는 역시 KITRI 내부 제작 교재이기 때문에 공개가 불가능하네요.

 다만, 내부 제작 교재들도 인터넷을 잘 찾아보면 비슷하게 조금 나오긴 하는 것 같습니다.

 교육 첫 시작 때 커리큘럼을 들으며, 굉장히 기대가 되었던 부분이었는데요.

 이 날은 개론 정도만 학습했기 때문에 큰 내용은 없었네요.

 정보보안 분야에서 신입을 잘 뽑지 않는 분야라고 하네요.

 어떤 내용인지 관심을 갖고 들어보도록 해야겠습니다.