안드로이드 UsageStats의 포렌식 활용 방안

Abstract

시스템 로그는 운영체제에서 이벤트가 발생할 때 기록되는 로그이며, 그 양이 방대하다. 또한, 사용자가 시스템 로그를 직접 삭제하거나, 변조하는 경우는 적기 때문에 포렌식 조사에서 유용하게 활용할 수 있다. UsageStats도 시스템 로그 중 하나로 패키지별로 사용자가 수행한 행위, 발생한 이벤트, 시간 정보를 기록한다. 사용자의 행위를 확인하는 데 유용하게 사용할 수 있지만, 디지털 포렌식 조사보다는 사용자의 유형 또는 관심사를 파악하는 데 활용되고 있다. UsageStats를 파싱하는 연구와 도구는 존재하지만, 단순히 이벤트 발생 시각, 발생한 이벤트를 나열한 것이므로 발생한 이벤트의 의미를 알지 못하면 올바르게 포렌식 조사에 활용하기 어렵다. 본 논문에서는 UsageStats의 버전별 구조와 포렌식 관점에서의 차이점을 살펴보고 기록된 이벤트의 해석 방법을 제안하며, 시나리오 기반의 사례 연구를 통해서 UsageStats를 포렌식 조사에 활용하는 방법을 제안한다.