INTERNET OF THINGS FORENSICS - CHALLENGES AND A CASE STUDY

현재

IoT 기기 모니터링 및 데이터 수집 지속적 증가

• 보안 및 개인정보보호 문제
• 디지털 포렌식 수사관 정보 수집 어려움

다루는 바

현재 IoT 포렌식이 직면한 문제점

결론

효율적인 IoT 포렌식 모델 및 프로세스 필요

향후 연구에서 중점으로 둘 것

IoT 포렌식

일반 디지털포렌식과 차이점

IoT 포렌식

• device forensics

  IoT 기기에서 수집할 수 있는 잠재적인 디지털 증거에 중점

  ex) CCTV, Amazon Echo

• network forensics

  IoT 기기가 데이터를 보내고 받는 데 사용하는 모든 네트워크를 다룸

  트래픽이 흐르는 모든 장치의 로그를 조사하여 증거를 찾아야 함

  ex) 홈 네트워크, 산업용 네트워크, 로컬 영역 네트워크 및 광역 네트워크

• cloud forensics

  증거가 여러 위치에 분산되어 증거 수집 작업이 복잡

  관련 장비 에 대한 액세스 및 수집이 제한

직면한 문제점

분산 데이터

데이터가 분산되어 있어 증거가 있는 위치를 식별하는 것이 주요 과제

이때 데이터의 분산은 여러 국가에 위치할 수 있고 여러 사용자의 데이터와 혼잡될 수 있으므로 다른 규적이 적용될 수 있음

디지털 미디어 수명

장치 스토리지 제한으로 인해 IoT 데이터 수명은 짧다 . - 자주 덮어씀

데이터를 쉽게 다른 장치로 전송 가능 - 로컬 허브나 클라우드로

클라우드 서비스 요구 사항

CSP는 사용자 가입시 정확한 정보를 제공할 것을 요구하지 않아 익명으로도 활동이 가능하게 되어 범죄 조직을 식별하는 것이 불가능

클라우드에서 특정 장치가 범죄에 연루되었음을 증명할 수는 있지만 장치의 실제 사용자나 소유자를 식별하는 것은 불가능 할 수 있음

보안 매커니즘의 부족

보안 매거니즘의 부족으로 증거가 변경되거나 삭제될 수 있음

→ 취약점으로 해커가 악용 가능

증거능력이 인정되지 않을 수 있음

장치 유형

예상치 못한 물건일 수 있음

ex) 스마트 냉장고, 온도 조절기 및 커피메이커

과제

범죄 현장에 있는 IoT 기기 식별

→ 증거 추출 방법 플랫폼 운영체제 하드웨어 공급업체 다 달라서 까다로움 ..

도구의 한계

지금 나온 도구들은 지금 다 다른 IoT와 관련하여 적용할 수 있도록 설계되지 않음

IoT에 의해 분산된 증거는 굉장히 복잡

그래서 IoT 포렌식 기술을 지원하고 증거능력이 인정될 수 잇는 도구 개발이 필요.

스마트 워치 포렌식 case study

스마트 워치

디지털 손목시계 , 웨어러블 컴퓨팅 장치

스마트폰처럼 사용 유사기능 → 통신, 다른 장치와 연결 및 독립적으로 작동

연구 사용 기기

숨겨진 진단 포트 존재

아티팩트 : GPS, 심박수, 타임스탬프, MAC 주소, 페어링 된 장치 정보, 문자메시지 및 이멜, 통화 기록 및 연락처

논리적 획득

Cellebrite UFED 사용하여 iPhone에서 관련 데이터 추출

지도 앱

건강 앱

Nike+ GPS앱 → 생성된 위도와 경도는 타임스탬프와 함께 저장

Cellebrite UFED 및 UFED 4PC 소프트웨어 사용하여 얻은 정보

• 페어링 된 Apple Watch(UUID 및 이름)
• 마지막 연결 정보
• 쌍으로 연결된 Apple Watch에 대한 정보
• 착용 후 수동으로 시작한 운동에 대한 정보
• 심박수, 걸음수, 수면

스마트워치 자체에서 GPS 기록은 찾지 못했지만 Nike+ GPS 앱에서 생성된 GPS 데이터는 페어링 된 iPhone에서 발견

수동 획득

Apple Watch를 스와이프하여 화면에서 정보를 보고 기록

→ Apple Watch 가 데이터를 생성하고 저장했으며 독립 기기로 사용할 수 있다는 점을 입증

얻은 정보

• 메시지

  꺼지기 전 동기화 된 문자 다 볼 수 있음

  비행기 모드에서도 가능

  imassage 보내지지 않았지만 시계에 저장되고 iPhone이 켜진 후 전송됨

• 사진

  그대로

• 앱

  운동앱 - 약간의 데이터 유지 (부분만 있음)

  트위터 인스타그램 - 연결되어있을 때만 사용 가능

• 이메일

  다 볼 수 있지만 보내거나 받을 순 없음 (메시지와 동일)

• 달력

  일정 구간 표시

  비행기 모드에서도 가능

• 연락처 및 전화

  동일

  전화 앱-동일

• 분석

  Apple Watch가 iPhone과 독립적인 장치로 사용될 수 있음을 보여줌