사무용 SW 프로세스 메모리 데이터 분석 (Office software process memory data analysis)

서지정보

· 발행기관 : 한국디지털포렌식학회
· 수록지 정보 : 디지털포렌식연구 / 16권 / 1호 / 13 ~ 23페이지
· 저자명 : 오수빈, 손태식

초록

코로나의 영향으로 업무환경, 수업환경 등이 비대면으로 전환된지 꽤 오랜 기간이 지났다, 이로 인해 사무용 SW에 대한 수요가 커지고, 업무와 학업을 불문하고 사무용 소프트웨어가 다양하게 사용되면서 우리 삶에 없어서는 안될 소프트웨어 중 하나가 되었다. 사무용 소프트웨어로 문서 작업을 하다보면, 여러 이유로 인해 입력 데이터가 소실되어 중요한 정보를 잃을 수가 있다. 백업 파일이 존재하지 않아도, 메모리에서 얻은 아티팩트를 통해 일부라도 복구할 수 있다면 매우 유용할 수 있다. 따라서 본 논문에서는 백업 파일이 존재하지 않은 경우를 가정하고 사무용 소프트웨어에서 작업했던 데이터를 프로세스 메모리 관점에서 분석하고자 한다. 연구를 위해 국내 점유율이 높은 Microsoft Office와 한컴오피스 제품군을 선택하여 Windows 10, 11 운영체제에서 분석하였다. 소프트웨어에 영어, 한글, 파일 암호 등의 데이터를 입력하고 파일을 저장하지 않아도 데이터가 프로세스 메모리에서 검출되는지 확인하는 방식으로 진행했으며, 마지막에는 운영체제에 따른 분석 결과의 차이를 비교하였다. 운영체제에 따른 차이는 없었으며 소프트웨어별로 프로세스 메모리에서 검출되는 입력 데이터의 종류에는 차이가 존재했다.

영어초록

It has been a long time since the work environment and class environment were switched to non-face-to-face due to the influence of COVID-19, which has become one of the indispensable software in our lives as demand for office software has increased and office software has been used in various fields. When working on documents with office software, input data may be lost for various reasons and important information may be lost. Even if a backup file does not exist, it can be very useful if it can be recovered in part through artifacts obtained from memory. Therefore, in this paper, assuming that a backup file does not exist, the data worked in the office software is analyzed from the perspective of process memory. For the study, Microsoft Office and Hancom Office product lines with high domestic market share were selected and analyzed in Windows 10 and 11 operating systems. It was conducted by entering data such as English, Korean, and file passwords into the software and checking whether data was detected in the process memory without storing files, and finally, the difference in analysis results according to the operating system was compared. There was no difference according to the operating system, and there was a difference in the type of input data detected in process memory by software.

참고자료

· 없음