Windows Event Trace Log 포렌식 해석 및 활용

Abstract

로그 데이터는 PC, 모바일, IoT기기 등 다양한 디바이스에서 시스템의 디버깅, 성능평가, 오류원인 분석 등의 목적을 위해 활용되는 대표적인 데이터이다. 특히, Windows 운영체제를 대상으로 진행하는 디지털포렌식 수사 및 연구에서 Windows의 로그 파일 분석은 조사대상 시스템의 과거 운영 이력, 사용 행위에 대한 흔적을 추적하는데 매우 중요한 부분을 차지하고 있다. Microsoft는 Windows 2000부터 소프트웨어 개발과정의 효율성을 높이기 위해 커널 이벤트 추적 시스템인 ETW(Event Tracing for Windows)를 지원하기 시작하였다. ETW는 운영체제에서 발생하는 커널 수준의 이벤트를 추적 및 기록할 수 있는 로깅 메커니즘이다. 또한, Windows 운영체제는 자체적으로 ETW를 이용하여 특정 이벤트 추적 데이터를 기록하고 있다. 이렇게, 저장되는 ETW 이벤트 추적 로그 데이터를 ETL(Event Trace Log)이라고 하며, ‘*.etl’의 확장자로 저장된다. 본 논문은 Windows 운영체제가 기본적으로 기록하는 ETL에 대하여 포렌식 관점에서 조사하고, 시스템 상태변화에 따라 기록되는 ETL 이벤트 추적 데이터 활용방안에 대해 제시한다.