디지털 포렌식 수사를 위한 유사 파일 탐지

Abstract

대용량 저장 매체가 급증하면서 사건의 중요한 열쇠가 되는 증거를 확보하는데 어려움이 존재한다. 최근 NIST의 NSRL에서는 잘 알려진 파일(시스템 파일, 응용 프로그램 파일)의 해쉬값을 공개하여 디지털 증거 분석 시 대상 파일의 검색 시간을 줄이고 해킹 등으로 인한 파일의 위변조 여부를 판단할 수 있도록 지원하고 있다. 해쉬값은 하나의 비트만 달라져도 그 결과 값이 완전히 다르기 때문에 파일의 일치 여부를 판단할 수 있으나 파일이 어느 정도 유사성이 있는지 여부는 판단할 수 없는 단점이 있다. 즉 디지털 포렌식 수사에서 사건과 관련된 파일이 어느 정도 손상되거나 데이터가 삽입 되더라도 사건을 해결할 수 있는 충분한 증거가 될 수 있다. 이로 인해 파일의 유사성을 식별할 수 있는 기술이 대두되고 있다. 이에 본 논문에서는 기존 파일의 유사성을 탐지할 수 있는 기술에 대해 살펴보고 문제점을 분석한다. 또한, 기존의 탐지 방법을 보완할 수 있는 통계 분석을 적용하여 유사성을 탐지할 수 있는 모듈을 설계하고 도구를 구현한다.