본문 바로가기

전체 글608

[AMA] 기본 동적 분석

1.동적 분석악성코드를 통제된 환경에서 실행하고 실행 중 발생하는 행위를 관찰하는 분석 방법프로세스, 파일, 레지스트리, 네트워크 등의 변화를 실시간으로 확인정적 분석에서 세운 악성 행위 가설을 실제 실행 증거와 비교packing이나 obfuscation으로 정적 분석이 제한될 때 특히 유용Run → Observe → Collect Evidence → Explain Behaviour 2.동적 분석으로 볼 것들Process새로운 프로세스 생성 부모/자식 프로세스 DLL(Dynamic Link Library, 동적 링크 라이브러리) Loading*DLL : Window OS에서 여러 프로그램이 공통으로 필요한 기능(함수, 데이터 등)을 필요할 때마다 불러와 쓸 수 있도록 모아둔 부품 형태의 파일(.dll).. AI 보안 대학원/고급악성코드분석 2026. 9. 27.

[DFIR] 수사기관 압수•수색 대응과 기업 내부조사의 법적 한계 영장 별지는 집행의 한계이자, 회사가 제출 범위를 판단하는 근거다 - 받는 즉시 여섯 항목을 읽는다.의미 : 압수•수색영장 별지는 단순 참고용이 아니라 집행을 구속하는 법적 한계이며, 회사가 제출할 범위와 아닐 범위를 가르는 기준이다.실무 포인트 : 영수/수령 즉시 '압수할 물건, 기간, 집행 방법, 참여, 사후 조치, 원격지' 6개 항목을 줄 단위로 분석해야 한다.반출은 현장선별 -> 복제본 -> 원본의 순서이며, 앞 단계가 곤란한 사유를 문서로 남겨야 다음으로 갈 수 있다.의미 : 증거 반출은 임의로 매체 전체를 가져가는 것이 아니라 단계적 원칙을 따르며, 순서를 건너뛸 경우 위법 수집 논란이 생긴다.실무 포인트 : 현장선별이 안 되는 객관적 곤란 사유(예: 12시간 소요, 잠금 파일 등)를 문서로 .. AI 보안 대학원/디지털포렌식 2026. 9. 22.

[AMA] 기본 정적 분석 1. 악성코드 기본 정적 분석악성코드 샘플 확보 및 식별해시Reputation / Virustotal문자열PE 구조 및 섹션코드의존성엔트리 포인트섹션PE헤더와 섹션을 확인해서 코드 섹션의 엔트로피(암호화/난독화 여부)를 측정이 가능하며, 가짜 섹션을 덧붙였는지, Imporet Table(가져다 쓰는 API)을 일부러 숨겼는지 한눈에 파악할 수 있는 가장 기본적이면서 중요한 단계이다.DLL & Imports패킹 / 난독화악성코드 프로파일가능한 행위이고 실제로 관찰된 행위는 아니다. 즉, 정적 분석을 통해 이러한 행위를 할 가능성은 추론할 수 있지만, 실제로 해당 행위가 수행되었는지는 아직 확인하지 않았다.동적 분석을 통해 검증해야 한다. 2. 악성코드 샘플 다루는 규칙해야 할 것샘플의 Hash를 기록한다.. AI 보안 대학원/고급악성코드분석 2026. 9. 13.

[DFIR] 법적 증거능력의 4원칙과 이미징 기술 이해 1. 증거능력 4원칙과 적법성 : 법적으로 증거능력을 인정받으려면 동일성•무결성•프로그램 정확성•분석관 전문성을 갖춰야 하며, 기기 자체가 아닌 범죄 관련 '전자정보'만 적법하게 압수해야 한다. 2. 동일성 vs 무결성 및 연계보관성 : 동일성은 복사 직후 원본과 사본의 100% 이치(가로축)를, 무결성은 보관•이송 중 변조 없음(세로축)을 의미하며, 이를 입증하기 위해 연계보관성 기록이 필수적이다. 3. 휘발성 증거(RAM)의 중요성 : 메모리(RAM)는 복호화된 평문 상태로 데이터가 저장되므로, 디스크 암호화 환경에서도 암호화 키와 실행 중인 주요 흔적을 확보하는 메모리 포렌식의 핵심 대상이다. 4. 이미징(Imaging) 수집과 비할당 영역: 이미징은 원본 훼손 없이 물리적 1:1 사본을 만드는 작.. AI 보안 대학원/디지털포렌식 2026. 9. 12.

[DFIR] OT 및 분석환경 구축 오늘은 디지털 포렌식 수업에 앞서 분석환경을 구축했다. [5줄 요약] 1. VM(VMware Fusion) + Windows 게스트 OS 구축, winver로 빌드번호 기록, 네트워크는 host-only로 격리 - 증거 보전(메타데이터 변경 방지) + 안전(멀웨어 확산 차단) 두 관점. 업데이트 필요시 클린 환경에서 받아 해시 검증 후 오프라인 반입 2. FTK Imager는 포터블(Lite) 사용이 원칙 - 설치형은 레지스트리/파일 흔적 남기지만 포터블은 디스크 흔적 최소화 (단, CPU/RAM은 대상 시스템 것 사용). 도구 버전은 표시 문자열 그대로 기록 3. 배포자료는 압축 풀기 전 SHA-256으로 먼저 대조 (무결성 확인이 모든 절차의 첫 단계). 압축파일 해시는 맞는데 개별 파일 해시가 틀리.. AI 보안 대학원/디지털포렌식 2026. 9. 12.

이전 1 2 3 4 ··· 122 다음

티스토리툴바