Earticle

The process of tracking suspicious behavior manually on a system and gathering evidence are labor-intensive, variable, and experience-dependent. The system logs are the most important sources for evidences in this process. However, in the Microsoft Windows operating system, the action events are irregular and the log structure is difficult to audit. In this paper, we propose a model that overcomes these problems and efficiently analyzes Microsoft Windows logs. The proposed model extracts lists of both common and key events from the Microsoft Windows logs to determine detailed actions. In addition, we show an approach based on the proposed model applied to track illegal file access. The proposed approach employs three-step tracking templates using Elastic Stack as well as key-event, common-event lists and identify event lists, which enables visualization of the data for analysis. Using the three-step model, analysts can adjust the depth of their analysis.

쿠버네티스 환경에서 컨테이너 기반 워크로드는 KubeArmor, Tetragon과 같은 클라우드 네이티브 런타임 보안 도구를 통해 보호된다. 그러나 이들의 파일 접근 제어는 컨테이너별 비일관적인 프로그램 경로, 경로 무결성 미보장, 심볼릭 링크 단위 접근 제어 불가 등으로 인해 공격자에 의해 무력화될 수 있다. 본 논문에서는 이러한 한계를 해결하기 위해 KubeSmith를 제안한다. KubeSmith는 (1) 파드 분석과 대규모 언어 모델(LLM)을 활용한 정책 경로 검증 및 보정, (2) 정책 우회 패턴 식별과 완화를 위한 규칙 추가, (3) LSM-BPF 기반 개별 심볼릭 링크 접근 제어 지원을 통해 파일 접근 제어를 강화한다. 실험 결과, KubeSmith는 잘못된 경로와 정책 우회 문제를 효과적으로 개선하며, 개별 심볼릭 링크 단위 접근 제어 적용 시에도 기존 파일 접근 제어 대비 약 6.23%의 오버헤드만 발생하여, 실용적 성능 수준에서 안전한 파일 접근 제어를 제공함을 확인하였다.

In Kubernetes environments, containerized workloads are protected by cloud-native runtime security tools such as KubeArmor and Tetragon, which enforce file access control policies. However, these controls often fail to operate correctly or can be bypassed by attackers due to inconsistent program paths across containers, lack of path integrity guarantees, and the inability to enforce access control at the granularity of individual symbolic links. To address these limitations, we present KubeSmith, a framework that strengthens file access control. KubeSmith enhances security by (1) validating and correcting policy paths using pod analysis and large language models (LLMs), (2) identifying and mitigating policy bypass patterns through rule augmentation, and (3) enforcing access control at the level of individual symbolic links via LSM-BPF programs. Experimental evaluation shows that KubeSmith effectively mitigates incorrect paths and policy bypasses, while introducing only a 6.23% overhead compared to standard file-based access control, demonstrating its practicality for secure containerized deployments.

프로세스 내부 격리(Intra-process Isolation)에서 파일 디스크립터는 메모리 이외에 또 다른 공격 벡터로써 작용한다. 공격자는 파일 디스크립터를 변조함으로 주어진 권한 이상의 파일에 읽거나 쓰는 방식을 통해 격리된 환경을 벗어날 수 있다. 본 논문에서는 ARM 아키텍처의 하드웨어 보안 기술인 PA(Pointer Authentication) 기반의 경량화된 새로운 파일 디스크립터의 권한 관리 시스템을 제시한다. 우리의 무결성 보장 기법은 리눅스 커널 모듈의 형태로 제작되었으며 5% 정도의 오버헤드만으로 파일 디스크립터에 대한 권한 관리를 수행하였다.

In intra-process isolation, file descriptors work as another attack vector from the memory corruption attacks. The attacker can read or write by corrupting file descriptors so they can escape the isolation. In this paper, we propose new lightweight capability-based access control system on file descriptor using ARM's hardware extension, PA(Pointer Authentication). Our system was implemented on Linux kernel module, only shows 5% overhead to control the access on the file descriptor.

최근 각종 보안 침해 사고는 불특정 다수를 대상으로 발생하고 있으며, 이는 네트워크를 통한 정보의 공유가 가속화되면서 그 피해가 더욱 늘어나고 있다. 이러한 보안 침해 사고는 침입차단시스템, 침입탐지시스템, 가상사설망 등 정보보호시스템의 활용으로 최소화가 가능하지만, 이는 전문가적인 지식이 필요하며 일반 사용자가 운영하기가 쉽지 않다. 본 논문에서는 일반 사용자가 쉽게 사용할 수 있도록 파일 접근 제어 모듈을 설계 및 개발하였고, 이는 공격에 대한 탐지가 아닌 운영체제상에서 공격에 대한 차단할 수 있다. 본 논문에서 구현한 파일 접근 제어 모듈은 윈도우환경 뿐만 아니라 리눅스 환경에서도 적용할 수 있으며, 다중 사용자가 사용하는 운영체제에 따라 파일에 대한 접근 제어를 함으로써 파일에 대한 접근제어, 무결성, 부인 방지를 할 수 있다

Recently, various threat and security incident are occurred for unspecified individuals, and this problem increases as the rapid of information sharing through Internet. The using of Information Security System such as IDS, Firewall, VPN etc. makes this problem minimal. However, profesional knowledge or skil is needed in that case, normal user can’t operate the Information Security System. This paper designs and implements File Access Control to use easily for normal user against malicious threats and attacks. The FACM can exclude from malicious threats and attacks based on operation system rather than detection of threats and attacks. The FACM is working not only Windows System but also Linux System, and the FACM has effect on acces control, integrity and non-repudiation for a file with an access control over files on the each OS that are used by multi-user.

랜섬웨어는 시스템을 사용 불가능한 상태로 만들거나 데이터를 암호화하여 접근 불가능한 상태로 만든 후 금전을 요 구하는 악성 소프트웨어이다. 랜섬웨어로 인한 피해 규모는 시간이 지날수록 커지고 있으며, 그 종류 또한 해가 갈 수록 더욱 다양해지고 있다. 그에 따라 현재까지 다양한 방어기법이 연구되었으며 이후로도 더욱 다양한 방어기법의 연구가 요구되고 있다. 본 논문에서는 기존의 허니팟 기반 방법에 윈도우 이벤트 로그 분석을 결합하여 랜섬웨어의 활동을 신속히 식별하고 차단하는 방법을 제안한다. 또한, 랜섬웨어마다 암호화를 진행하기 위해 접근하는 파일의 순서에 대한 패턴들이 있다는 점을 활용해, 랜섬웨어의 탐지 및 종료 시간을 단축시키는 방법을 제안한다. 다양한 랜섬웨어 샘플에 대해 실험을 진행한 결과, 제안한 기법이 랜섬웨어를 신속하게 탐지하고 종료시킬 수 있음을 확인 하였다.

Ransomware is a malicious software that demands money after making a system unusable or blocking the user's access by encrypting data. The scale of damage caused by ransomware is increasing over time, and its types are also becoming more diverse as the years go by. Various defense techniques have been studied so far, and more extensive research on them is required. In this paper, we propose a new method for ransomware detection and defense by combining window event log analysis with the previous Honeypot-based technique. In addition, we propose a method to shorten the time for detection and termination of ransomware by using the patterns on the order of files accessed by ransomware to proceed with encryption. The experimental results with various ransomware samples demonstrate that the proposed method can detect and terminate ransomware.

대용량 하드디스크의 등장으로 많은 자료를 컴퓨터의 하드디스크에 저장할 수 있게 되었다. 하드디스크의 용량이 커지면서 저장되어 있는 파일 및 디렉토리가 증가하여 디지털 포렌식 분 야에서도 탐색해야 하는 정보가 증가하게 되었다. 대용량 하드디스크에서 증거로 활용될 수 있 는 파일 정보를 탐색하기 위해서는 윈도우 시스템에서 제공해주는 파일관리 함수군을 주로 이 용한다. 하지만, 이 방법은 파일과 디렉토리의 수가 많을 경우 처리속도가 느리며, 파일 정보를 읽을 경우 파일의 접근시간이 변경된다. 또한, 운영체제 또는 응용 프로그램에 의해 이미 사용 중인 파일의 경우 접근이 불가능하다는 단점이 있다. 본 논문에서는 대용량 하드디스크에 저장 되어 있는 파일 및 디렉토리를 빠르게 탐색하기 위한 방법으로 하드디스크의 물리적 섹터에 접 근하여 NTFS의 MFT 정보를 획득하고, 획득된 MFT 정보를 기반으로 증거파일을 탐색하는 방 법을 제시하고 구현하였다.

According to the capacity of hard disk drive is increasing day by day, the amount of data that forensic investigators should analyze is also increasing. This trend need tremendous time and effort in determining which files are important as evidence on computers. Using the file system APIs provided by Windows system is the easy way to identify those files. This method, however, requires a large amount of time as the number of files increase and changes the access time of files. Moreover, some files cannot be accessed due to the use of operating system. To resolve these problems, forensic analysis should be conducted by using the Master File Table (MFT). In this paper, We implement the file access program which interprets the MFT information in NTFS file system. We also extensibly compare the program with the previous method. Experimental results show that the presented program reduces the file access time then others. As a result, The file access method using MFT information is forensically sound and also alleviates the investigation time.

최근 인공지능 기술의 발전으로 모바일 환경에서 AI 응용을 수행하는 사례가 늘고 있다. 하지만, 모바일 환경은 데스크탑이나 서버에 비해 자원이 제한적이므로 인공지능 워크로드를 모바일에서 효율적으로 수행하기 위한 연구가 최 근 주목받고 있다. 대부분의 연구는 컴퓨팅 자원의 제약을 해소하기 위한 엣지 또는 클라우드로의 오프로딩에 초점이 맞추어져 있으며, 스토리지 접근과 관련한 파일 입출력 특성에 관한 연구는 아직까지 널리 이루어지지 않고 있다. 본 논문에서는 모바일 환경에서 딥러닝 애플리케이션의 실행 시 발생하는 파일 입출력 트레이스를 분석하고, 기존 모바일 워크로드와의 차이점에 대해 분석한다. 본 논문의 분석 결과가 딥러닝의 파일 접근 특성을 고려하여 미래의 스마트폰 시스템 소프트웨어를 효율적으로 설계하는 데에 활용되기를 기대한다.

Recent advancements in artificial intelligence (AI) technology have led to an increase in the implementation of AI applications in mobile environments. However, due to the limited resources in mobile devices compared to desktops and servers, there is growing interest in research aimed at efficiently executing AI workloads on mobile platforms. While most studies focus on offloading to edge or cloud solutions to mitigate computing resource constraints, research on the characteristics of file I/O related to storage access in mobile settings remains underexplored. This paper analyzes file I/O traces generated during the execution of deep learning applications in mobile environments and investigates how they differ from traditional mobile workloads. We anticipate that the findings of this study will be utilized to design future smartphone system software more efficiently, considering the file access characteristics of deep learning.

유비쿼터스 사회화에 따른 개인의 정보를 보호하기 위한 방안들이 많이 제시되고 있다. 이런 방안의 한 분야로 CPU와 메모리를 가진 스마트카드가 널리 사용되고 있으며, 스마트카드 중에서도 다양한 응용 프로그램을 사용 가능하게 하는 자바카드의 사용이 확대되고 있다. 자바카드 파일 시스템의 표준은 따로 정의되어 있지 않지만, 일반적으로 스마트카드 파일 시스템 표준을 따른다. 하지만 스마트카드 파일 시스템 표준을 따름에 있어서 자바카드 가상기계의 특성상 데이터 및 코드의 중복사용으로 메모리 공간의 비효율적인 사용과 처리 속도가 늦어지는 단점을 가지고 있다. 따라서 본 논문에서는 자바카드의 이러한 단점을 해결하기 위해 File Cache 기법과 Direct Access 기법을 제안하여 최소한으로 코드 수를 줄여 메모리 공간의 효율적인 사용과 처리 속도를 개선한다.

As toward a ubiquitous society, a lot of methods have been proposed to protect personal privacy. Smart Cards with CPU and Memory are widely being used to implement the methods. The use of Java Card is also gradually getting expanded into more various applications. Because there is no standards in Java Card File System, Generally, Java Card File System follows the standards of Smart Card File System. However, one of disadvantages of the Java Card File System using a standard of Smart Card File System is that inefficient memory use and increasing processing time are caused by redundancy of data and program codes. In this paper, a File Cache method and a Direct Access method are proposed to solve the problems. The proposed methods are providing efficient memory use and reduced processing time by reduce a program codes.

클러스터 시스템의 응용 분야가 다양화되고 복잡해짐에 따라, 대규모 클러스터 시스템을 보다 효율적으로 사용하기 위해서 실제 사용자의 이용 패턴을 예측할 수 있는 워크로드 분석의 필요성이 높아지고 있다. 워크로드 분석으로는 다양한 작업이 진행되는데 특히 파일 단위의 동적 접근 분석도 이에 포함된다. 본 논문에서는 실험용 병렬 파일 시스템으로 많이 보급된 PVFS2 에 파일 단위접근 기록을 가능케하는 방안을 모색하고 이 기능의 활용 가능성을 살펴 보았다.

클러스터 시스템의 응용 분야가 다양화되고 복잡해짐에 따라, 대규모 클러스터 시스템을 보다 효율적으로 사용하기 위해서 실제 사용자의 이용 패턴을 예측할 수 있는 워크로드 분석의 필요성이 높아지고 있다. 워크로드 분석으로는 다양한 작업이 진행되는데 특히 파일 단위의 동적 접근 분석도 이에 포함된다. 본 논문에서는 실험용 병렬 파일 시스템으로 많이 보급된 PVFS2 에 파일 단위접근 기록을 가능케하는 방안을 모색하고 이 기능의 활용 가능성을 살펴 보았다.

Objectives: This study was conducted to evaluate the effects of traditional and contracted endodontic cavity (TEC and CEC) preparation with the use of Reciproc Blue (RPC B) and One Curve (OC) single-file systems on the amount of apical debris extrusion in mandibular first molar root canals. Materials and Methods: Eighty extracted mandibular first molar teeth were randomly assigned to 4 groups (n = 20) according to the endodontic access cavity shape and the single file system used for root canal preparation (reciprocating motion with the RCP B and rotary motion with the OC): TEC-RPC B, TEC-OC, CEC-RPC B, and CEC-OC. The apically extruded debris during preparation was collected in Eppendorf tubes. The amount of extruded debris was quantified by subtracting the weight of the empty tubes from the weight of the Eppendorf tubes containing the debris. Data were analyzed using 1-way analysis of variance with the Tukey post hoc test. The level of significance was set at p < 0.05. Results: The CEC-RPC B group showed more apical debris extrusion than the TEC-OC and CEC-OC groups (p < 0.05). There were no statistically significant differences in the amount of apical debris extrusion among the TEC-OC, CEC-OC, and TEC-RPC B groups. Conclusions: RPC B caused more apical debris extrusion in the CEC groups than did the OC single-file system. Therefore, it is suggested that the RPC B file should be used carefully in teeth with a CEC.

본 논문은 이동 컴퓨팅 환경에서 다중 이동 클라이언트를 위한 원격 파일 접근 문제를 다루었다. 이러한 환경에서 사용자의 이동성은 파일 접근에 영향을 미치며 이동 호스트는 제한된 용량의 비휘발성 저장 장치를 가진다는 점에서 자원에 대한 심각한 제약이 따른다. 따라서, 통신 및 연산 부하가 파일접근 지연을 야기할 수 있다. 본 논문은 이러한 문제를 해결하기 위하여 파일 이주 기법을 이용하여 접근 지연을 줄일 수 있는 기법을 제안한다. 이 기법의 목표는 모든 이동 호스트들에게 가능하면 신속하게 요청한 파일을 전달하여 접근지연을 최소화하는데 있다. 우리는 이동 호스트의 파일 요청이 있을 때 서버가 파일 이주를 결정하는 주문형 기법을 개발하였다. 시뮬레이션을 통하여 파일 접근 빈도, 파일 크기, 이동성 등이 파일시스템 접근 지연에 미치는 영향을 실험하였다. 시뮬레이션 결과에서 제안된 이주 기법은 파일 접근 빈도가 높고 이동성이 작은 이동 호스트가 요청한 파일에 대한 접근 지연을 줄이는데 효율적이라는 것을 보였다.

We consider some problems of remote file accesses of multiple clients in mobile computing environments. In this environment, user mobility affects file access latency. Mobile hosts have severe resource constraints in terms of limited size of non-volatile storage. Thus, the burden of computation and communication load raise file access latency. In this paper, we propose a scheme for reducing the file access latency through the file migration. The objective is to minimize of file accesses for all mobile hosts which delivering the file to clients as quickly as possible. We develope an on-demand scheme which determines when the file server should migrate files to another server, or when it should transfer files to mobile hosts. Using simulation, we examine the effects which parameters such as file access frequency, file size, mobility rate have on file system access latency. Through simulation results, we show that our proposed migration scheme is effective in reducing the access latency on the requested file of a mobile host with high access rate and low mobility.

병렬 파일시스템은 클러스터 시스템에서 과도한 입출력 요청을 원활하게 지원하기 위해 사용되며, 특히 파일 선반입은 병렬 파일시스템의 성능을 개선하는데 유용하게 사용된다. 본 논문은 과학계산용 병렬 응용과 멀티미디어 서버 응용에서 효과적인 파일 접근 유형을 고려한 새로운 동적 파일 선반입기법인 Fips를 제안한다. 본 논문이 제안하는 동적 파일 선반입 기법인 Fips는 파일의 접근 유형을 고려하여 동적으로 선반입 할 데이타 블록을 예측하고, 다양한 접근 유형에서도 데이타 블록의 선반입을 효율을 높였다. 그리고 현재의 가용 대역폭을 고려하여 선반입 시기를 결정하므로 선반입이 시스템에 과부하로 작용하는 것을 방지하도록 하였다. 병렬 파일시스템에 Fips를 적용하여 실험한 결과 다양한 작업부하에서 제안한 선반입 기법은 우수한 성능을 보여주었다.

A Parallel file system is normally used to support excessive file requests from parallel applications in a cluster system, whereas prefetching is useful for improving the file system performance. This paper proposes a new prefetching method, Fips(dynamic File Prefetching Scheme based on file access patterms), that is particularly suitable for parallel scientific applications and multimedia web services in a parallel file system. The proposed prefetching method introduces a dynamic prefetching scheme to predict data blocks precisely in run-time although the file access patterns are irregular. In addition, it includes an algorithm to determine whether and when the prefetching is performed using the current available I/O bandwidth. Experimental results confirmed that the use of the proposed prefetching policy in a parallel file system produced a higher file system performance.

본 논문에서는 액세스 패턴의 반복성을 이용하여 비교적 적은 메모리 공간을 사용하는 SIC (SiZe-Interval-Count) 선반입 기법을 제안한다. 최근에 연구되어진 지식기반의 선반입 기법은 응용프로그램의 액세스를 예측하여 정확한 선반입을 수행하는 기법이다. 이들 기법은 응용프로그램의 액세스 패턴을 기록하고, 기록된 액세스 패턴정보를 이용하여 다음에 요청될 블록을 예측하게 된다. 하지만 이 기법은 많은 메모리 공간의 사용을 필요로 한다. 따라서 제안된 선반입 기법에서는 "SIC 액세스 패턴 정보"를 이용하여 반복적인 액세스 패턴을 효율적으로 저장하고, 이를 이용하여 응용프로그램의 다음에 요청될 블록을 정확하게 예측한다. 본 논문의 선반입 기법은 일반 파일시스템에 비해 최고 40%의 응답속도 향상을 가져오며, 기존의 지식기반 선반입 기법에 비해 뛰어난 메모리 효율성을 보여준다.

This paper presents the SIC(Size-Interval-Count) prefetching scheme that can record the file access patterns of applications within a relatively small space of memory based on the repetitiveness of the file access patterns. Several knowledge-based prefetching methods were recently introduced, which includes high correctness in predicting future accesses of applications. They records the access patterns of applications and uses recorded access pattern information to predict which blocks will be requested next. Yet, these methods require to much memory space. Accordingly, the proposed method then uses the recorded file access patterns, referred to as "SIC access pattern information", to correctly predict the future accesses of the applications. The proposed prefetching method improved the response time by about 40% compared to the general file system and showed remarkable memory efficiency compared to the previously knowledge-based prefetching methods.

Recently Flash Memory which is small and low-powered is widely used as a storage of embedded system, because an embedded system requests portability and a fast response. To resolve a difference of access time between a storage and RAM, Linux is using disk caching which copies a part of file on disk into RAM. It is not also an exception on embedded system. A READ access-time of flash memory is similar to RAMs. So, when a process on an embedded system reads data, it is similar to the time to access cached data in RAM and to access directly data on a flash memory. On the embedded system using limited memory, using a disk cache is that wastes much time and memory spaces to manage it and can not reflects the characteristic of a flash memory. This paper proposes the regular file access of limited using a page cache in the file system based on a flash memory and reflects the characteristic of a flash memory. The proposed algorithm minimizes power consumption because access numbers of the RAM are reduced and doesn't waste a memory space because it accesses directly to a flash memory Therefore, the performance improvement of the system applying the proposed algorithm is expected.

경계 기반 보안체계는 보안 솔루션의 운영 효율성이 높고 관리가 쉬운 장점이 있으며 외부의 보안 위협을 차단하기에는 적합하다. 그러나 신뢰된 사용자를 전제로 운영되기 때문에, 내부에서 발생하는 보안 위협은 차단하기에는 적합하지 않다. 경계 기반의 보안체계의 이러한 문제점을 해결하고자 제로 트러스트 접근통제 모델이 제안되었다. 제로 트러스트 접근통제 모델에서는 실시간 보안 이벤트 모니터링에 대한 보안 요구사항을 만족해야 한다. 본 연구에서는 실시간 모니터링 기능 중 가장 기본적인 파일 접근에 대한 모니터링 방법을 제안한다. 제안하는 모니터링 방법은 kernel level에서 동작하여 사용자의 파일 우회 접근에 의한 모니터링 회피를 원천적으로 방지할 수 있는 장점이 있다. 다만 본 연구는 모니터링 방법에 집중하고 있어, 이를 접근통제 기능까지 확대하기 위한 추가 연구는 계속되어야 한다.

The boundary-based security system has the advantage of high operational efficiency and easy management of security solutions, and is suitable for denying external security threats. However, since it is operated on the premise of a trusted user, it is not suitable to deny security threats that occur from within. A zero trust access control model was proposed to solve this problem of the boundary-based security system. In the zero trust access control model, the security requirements for real-time security event monitoring must be satisfied. In this study, we propose a monitoring method for the most basic file access among real-time monitoring functions. The proposed monitoring method operates at the kernel level and has the advantage of fundamentally preventing monitoring evasion due to the user's file bypass access. However, this study focuses on the monitoring method, so additional research to extend it to the access control function should be continued.

최근 개인자료의 유출 및 불법적인 사용이 사회적으로 큰 이슈가 되고 있어 개인의 정보보호 및 신분확인에 대한 요구가 증가하게 되었다. 이로 인하여 최근 안전한 데이터 전송과 거래를 위해 스마트카드의 이용이 증가되고 있는 추세이다. 특히 자바카드는 스마트카드 플랫폼에 자바의 기술을 접목시킨 것으로 양방향 통신, 정보의 보호기능 등을 수행할 수 있으며, 개인을 확인할 수 있고 이동성이 뛰어나며 복제가 어렵고 암호 알고리즘을 카드 내부에서 수행하여 보안상 매우 좋은 이점을 지니고 있어 스마트카드에서 필요로 하고 있는 다양한 서비스의 내용을 충분히 안정적으로 제공하고 있다. 본 논문에서는 이런 다양한 응용분야에 이용되는 자바카드의 보안성을 높이기 위하여 기존의 단순한 사용자 인증에 사용되는 PIN정보와 생체정보인 사인데이터를 함께 이용한다. 또한 개인에 따른 정보를 저장하는 방법과 이 정보를 접근하기 위하여 데이터를 사용하는 사용자간의 접근을 제한하기 위한 사용자의 접근권한을 설계하였다. 이와 같은 Applet을 설계함으로써 개인정보의 보다 안전하고 신뢰성을 보장하고 개인의 불법적인 유출 및 도용의 완벽한 제어가 될 것으로 기대된다.

웹서비스 등 다양한 응용분야에서 리눅스 서버의 사용이 일반화되면서 침입으로 인한 정보 유출 문제 및 다른 시스템으로의 침입 등의 문제를 발생시키고 있다. 한번 침입을 받은 시스템의 경우 시스템 설정이 변경되거나 백도어가 설치되어 쉽게 재침입의 표적이 될 수 있다는 점에서 침입으로 인한 부작용을 최소화하는 것이 필요하다. 본 논문에서는 시스템 침입이 있더라도 시스템 설정을 변경하거나 백도어 설치를 할 수 없도록 제어하기 위한 파일 접근 제어 모듈을 제안한다.