실전 리눅스 악성코드 포렌식

1장 악성코드에 의한 사고 대응
소개
__현지 대 원격지 수집
휘발성 데이터 수집 방법론
__수집 단계의 문서화
__휘발성 데이터 수집 절차
__휘발성 데이터의 보존
__동작 중인 리눅스 시스템의 물리적 메모리 획득
__현지에서의 물리적 메모리 획득
__/proc/meminfo 파일의 내용 문서화
__원격 물리 메모리 수집
__물리적 메모리 수집의 다른 방법
__대상 시스템에 대한 자세한 내용 수집
__시스템에 로그인한 사용자 식별
__네트워크 접속과 활동 조사
__프로세스 정보 수집
__동작 중인 리눅스 시스템에서의 프로세스 메모리 보존
__시스템 상태와 결과물에 관련된 맥락에서 동작 중인 프로세스 검토
__/proc 디렉터리의 휘발성 데이터
__동작 중인 프로세스와 프로그램에 열려 있는 포트의 상호관계
__열린 파일과 의존 관계
__실행 중인 서비스 식별
__탑재된 모듈의 검사
__명령 히스토리 수집
__마운트된 공유 드라이브 식별
__예약된 작업의 판별
__클립보드 내용 수집
동작 중인 시스템으로부터 비휘발성 데이터 수집
__동작 중인 시스템에서의 스토리지 미디어 포렌식 복제
__동작 중인 시스템의 스토리지 미디어 원격 수집
__동작 중인 리눅스 시스템에서 선택된 데이터의 포렌식 보존
__보안 설정 평가
__신뢰할 수 있는 호스트 간의 관계 평가
__로그인 로그와 시스템 로그 수집
결론
주의할 점
사고 대응 도구 모음
악성코드 포렌식 도구 상자
원격 수집 도구
휘발성 데이터 수집과 분석 도구
대상 시스템 상세 정보 수집
시스템에 로그인한 사용자 식별
네트워크 접속과 행동
프로세스 분석
로드된 모듈
열린 파일
명령 히스토리
참고 문헌
__도서
__논문
__온라인 자료
__법/RFC/기술 명세서

2장 리눅스 메모리 포렌식
소개
메모리 포렌식 개요
'전통적인 방식'의 메모리 분석
리눅스 메모리 포렌식 도구는 어떻게 동작하는가
리눅스 메모리 포렌식 도구
__프로세스와 스레드
__모듈과 라이브러리
__열린 파일과 소켓
리눅스 메모리 내 다양한 자료구조의 해석
__명령 기록
__암호화된 키와 패스워드
리눅스 프로세스 메모리 덤프하기
__실행 파일의 복원
__프로세스 메모리의 복원
__동작 중인 시스템에서 프로세스 메모리 추출
리눅스 프로세스 메모리 해부
결론
주의할 점
__발견한 것에 대한 검증 실패
__조사 바탕이 되는 자료구조에 대한 잘못된 이해
현장 노트: 메모리 포렌식
악성코드 포렌식 도구 상자
참고 문헌
__도서
__논문
__온라인 자료

3장 사후 포렌식
소개
리눅스 포렌식 분석 개요
리눅스 시스템에서 악성코드를 발견하고 추출
__알려진 악성 프로그램의 검색
__설치된 프로그램과 잠재적으로 의심스러운 실행 파일의 조사
__서비스, 모듈, 자동 시작 위치, 계획된 작업의 조사
__로그 검사
__사용자 계정과 로그인 행동 재검토
리눅스 파일시스템 검사
응용프로그램 흔적 조사
키워드 검색
공격받은 리눅스 시스템의 포렌식을 위한 재구성
리눅스 시스템으로부터 향상된 악성 프로그램의 발견과 추출
결론
주의할 점
현장 노트: 리눅스 시스템 검사
포렌식 도구 모음
악성코드 포렌식 도구 상자
시간 축 생성
참고 문헌
__도서
__논문

4장 법적 고려사항
다루고자 하는 이슈
일반적인 고려사항
__법적 환경
조사 권한 부여 기관
__관할권에 따른 권한
__사적 권한
__공공/법령에 의한 권한
권한에 대한 법령적 제한
__저장된 데이터
__실시간 데이터
__보호된 데이터
데이터 수집용 도구
__업무용
__수사용
__수사/해킹 겸용
국경 간 데이터 수집
__개인 또는 민간 조사에 있어서의 업무 현장 데이터
__정부 또는 범죄 조사에 있어서의 업무 현장 데이터
사법당국의 개입
__피해자가 사법당국의 개입을 꺼리는 이유
__피해자가 오해하는 부분
__사법당국의 관점
__사법당국과 피해자 사이에서 중립 지키기
증거능력 향상
__문서화
__보존
__연계 보관
각 주의 사립탐정 관련 법령과 정보유출 고지 법령
국제 기구 자료
__국경 간 수사 관련 자료
연방 법률: 디지털 조사자가 사용할 증거
__관련성
__입증
__최적 증거
__전문가 증언
__변호사 비밀 유지 의무 포기의 제한

5장 파일 식별 및 프로파일링
소개
파일 프로파일링 프로세스 개요
리눅스 실행 파일 다루기
__실행 파일이 컴파일되는 방법
__정적 링킹 vs 동적 링킹
__심볼릭, 디버그 정보
__스트립된 실행 파일
__의심 파일 프로파일링
__커맨드라인 인터페이스 MD5 도구
__GUI MD5 도구
파일 유사성 인덱싱
파일 시각화
__파일 시그니처 확인과 분류
__파일 타입
__파일 시그니처 확인 및 분류 툴
__웹 기반 악성 프로그램 검사 서비스
__임베디드 아티팩트 추출: 문자열, 심볼릭 정보, 파일 메타데이터
__문자열
__임베디드 문자열 분석 도구
심볼릭 정보와 디버그 정보
임베디드 파일 메타데이터
파일 난독화: 패킹과 암호화 확인
__패커
__크립터
__래퍼
__난독화된 파일 확인
임베디드 아티팩트 추출 재고
ELF 형식
__ELF Shell(elfsh) 사용
__ELF Header (Elf32_ehdr)
__ELF 섹션 헤더 테이블(Elf32_shdr)
__프로그램 헤더 테이블(Elf32_Phdr)
__심볼 테이블에서 심볼릭 정보 추출
__노트 섹션 항목
__동적 섹션 항목
__버전 컨트롤 정보
__Objdump를 이용한 바이너리 샘플 분석
의심 문서 파일 프로파일링
어도비 PDF 프로파일링
__PDF 파일 포맷
__PDF 프로파일링 프로세스: CLI 프로그램
__PDF 프로파일링 프로세스: GUI 프로그램
마이크로소프트 오피스 파일 프로파일링
__MS 오피스 문서: 워드, 파워포인트, 엑셀
__MS 오피스 문서 파일 포맷
__MS 오피스 문서: 취약점과 익스플로잇
__MS 오피스 문서 프로파일링 프로세스
__OfficeMalScanner를 이용한 상세 프로파일링
결론
주의할 점
악성코드 포렌식 도구 상자
__파일 외관 캡처
__커맨드라인 해시 프로그램
__GUI 해시 프로그램
__파일 유사성 인덱싱
__파일 시각화
__16진수 에디터
__안티바이러스
__문자열
__파일 의존성
__심볼릭 정보와 디버그 정보 추출
__파일 메타데이터
__ELF 파일 분석
__악성 문서 분석: PDF 파일
참고 문헌
__도서
__논문
__온라인 자료
__기술 명세서

6장 악성코드 샘플의 분석
소개
__목적
악성 파일의 샘플을 조사하기 위한 가이드라인
실행 환경 베이스라인 설정
__시스템 스냅샷
__호스트 무결성 모니터
__설치 모니터
실행 전 준비: 시스템 및 네트워크 모니터링
__패시브 시스템 및 네트워크 모니터링
__액티브 시스템 및 네트워크 모니터링
__NIDS를 이용해 이상 검출 및 이벤트 기반 모니터링
실행 아티팩트 캡처: 디지털 인상 및 추적 증거
__인상 증거
__추적 증거
__디지털 인상 증거
__디지털 추적 증거
__실제 메모리의 추적과 인상 증거
악성코드 샘플 실행
실행 경로 분석: 네트워크, 프로세스, 시스템 호출,
시스템 작업 파일 관찰
__네트워크 활동: 네트워크 궤적, 노출, 추적 증거
__환경 에뮬레이션 및 조정: 네트워크 궤적 복원
__네트워크 궤적 복원: 체인
__네트워크 인상 및 추적 증거
__프로세스 활동 검사
__/proc/ 디렉터리 탐색
__프로세스와 포트의 상관관계: 네트워크 연결 및 오픈된 포트 검사
__strace를 이용한 시스템 호출 캡처
__SystemTap과 Mortadelo를 이용해 시스템 호출 캡처
__ltrace를 이용한 동적 라이브러리 호출 캡처
__gdb를 실행해 실행 중인 프로세스 검사
__파일시스템의 활동 검사
자동화된 악성코드 분석 프레임워크
임베드된 아티팩트 추출 재분석
__디스어셈블러에서 의심스러운 프로그램 검사
악성코드 샘플 작동 및 조작: 샘플을 탐색하고 기능과 목적을 확인
__트리거 이벤트 프롬프트
__클라이언트 애플리케이션
이벤트 복원과 아티팩트 검토: 실행 후 데이터 분석
__패시브 아티팩트 모니터링
__액티브 아티팩트 모니터링
__네트워크 트래픽 캡처 분석
__시스템 호출 분석
__NIDS 경고 분석
__물리적 메모리 아티팩트
__기타 고려사항
디지털 바이러스학: 악성코드의 분류 및
계통을 통한 고급 프로파일
__문맥 트리거 구분 해싱
__텍스트와 형상 바이너리 지표 확인
__기능 흐름 그래프
__프로세스 메모리 궤적 분석
__시각화
__행동 프로파일링과 분류
결론
주의할 점
악성코드 포렌식 도구 상자
__호스트 무결성 모니터
__설치 모니터
__환경 에뮬레이션
__액티브 시스템 및 네트워크 모니터링
__프로세스 모니터링
__파일시스템 모니터링
__네트워크 모니터링 및 포렌식
__포트 모니터링
__시스템 호출 모니터링 및 시스템 프로파일
__자동화된 악성코드 분석 프레임워크
__자동화된 악성코드 분석 프레임워크/샌드박스
__온라인 악성코드 분석 샌드박스
__임베디드 아티팩트 추출 재방문
__디스어셈블러
__악성 프로그램 샘플을 조작하고 상호작용
__디지털 바이러스학
__트리거 이벤트 프롬프팅
__연관 구조가 있는 해시 값 및 특징점의 유사성
참고 문헌
__도서
__논문