DataBase Forensics [bluearth] pdf

(1)

D

DD

Da

aa

at

tt

ta

aa

aB

BB

Ba

aa

as

ss

se

ee

e F

Fo

FF

oo

or

rr

re

ee

en

ns

nn

ss

si

ii

ic

cc

cs

ss

s

2 2 2

200000000777....070300333....22221111 b

bb

blllluuuueeeeaaaarrrrtttthh iiiinhh nn Nn NNN@@@@RRRR

1 11

1.... OOOOrrrraaaaccccllllee Fee FFFooorrrreo eeennnsnsiiiicss cccssss((((DDDBDBBBMMiiiinMM nnneeeerrrr 사사사용사용용용)))) 1

1 1

1....1111 개개개요개요요요

Oracle Database에는 발생한 작업에 대한 많은 유용한 정보가 Logfile에 기록되어 있으나 8i 이전 버전에서는 확인하기가 어려웠다.

현재 8i 이상에서는 DBMiner라는 Tool을 이용하여 Online혹은 Offline Redo Log File에 대한 읽기/분석/해석에 관한 작업을 SQL을 사용하여 수행 할 수 있다.

Log file의 분석 작업의 결과로 트랜잭션 별, 사용자 별, 테이블 별, 시간대 별로 Database에 가해진 변경 사항에 대해 추적을 할 수 있다. 즉, 어떤 사용자가 자료를 수정했는지 또 그 작업을 수행하기 이전의 데이터의 값은 무엇이었으며 작업 이후의 데이터의 값은 무엇이었는지를 알 수 있다.

1 1 1

1....2222 OOOrrrraO acaaccllllecee Re RReRedeeddodoo Lo LLoLogooggg FFFFiiiilllleeee

Oracle Redo Log File은 데이터베이스에 생긴 모든 변화를 기록하는 파일 이다. Redo Log File에 저장되는 이유는, 갑작스러운 시스템 다운이나 데이터베이스 다운 등의 예기치 못한 상황이 발생화면 처리중이던 작업들을 복구하기 위해서 필요한 정보를 보관한다.

Redo Log File은 두 개 이상의 그룹으로 나누어져 있으며, 한 그룹은 Redo Log File에 저장할 공간이 부족하면 데이터를 다른 그룹의

Redo Log File로 저장한다. 하나의 Redo Log Group은 2개 이상의 동일한 Redo Log File 복사본을 가지고 있다.

(2)

1 1 1

1....333 O3 OOrrrraO aaacclllleccee De DDiiiicDcccttttiiiioonoonnanaarrrrya yyy FFiiiilllleFF eee 만만만만들들들들기기기기 1

11

1....33....133111 DDDDaattttaaa aa Da DDDiiiiccttttiiiiocc oononnnaarrrryaa yy 란y 란란 ?란 ???

읽기전용 테이블 및 뷰의 집합으로 테이블 구조, 성능 등 데이터베이스 전반에 대한 정보를 제공한다. Data Dictionary에는 오라클 사용자 이름, 권한과 역할, 데이터베이스 스키마 객체(테이블,뷰,인덱스,클러스터 등) 이름과 정의, 무결성 제약 조건에 관한 정보, 데이터베이스의 구조 정보 등이 저장되어져 있다.

1 11

1....3333....2222 DDDDaattttaaa aa Da DDDiiiicccttttiiiioc onoonnnaaarrrrya yy Fy FiiiilllleFF eee 만만만만들들들기들기기기

- Init.ora 파일 수정(win경우: c:\oracle\admin\babo\pfile\init.ora) u

uu

uttttllll____ffffiiiilllleeee____ddddiiiirrrr ==== cc::::\cc\o\\oorrrrao aacacclllleceee\\llllo\\ oooggggssss ←←-←←--- 추-- 추추가추가가가 ※

※※

※ 반반드반반드드드시시시 설시 설설설정정 후정정 후후 O후 OOOrrrraaacacccllllee See SSSeeeerrrrvvviiiicvcccee 중ee 중중중지지지지////재재시재재시시시작작작작 - 명령어 실행

e ee

exxexxeeeccc dc dbddbbbmmmmssss__llllo__ooogggmgmmmnnrrrr_nn ___dddd....bbbbuuiiiillllduu dd((((''''dd ddiiiirrrr_d ___ffffiiiillllee'''',,,,''''cee ccc::::\\\\oorrrraoo aaacccllllecee\e\llllo\\ooogggsgsss'''')))) ※

※※

※ 명명령명명령령령어어어 실어 실실실행행행 이행 이이전이전에전전에 L에에 LLLooooggmggmmiiiinmnnenerrrr Pee PPaPaacaccckkakkaaagggege 실ee 실실실행행행((((1행 1....411444 참참참참고고고고))))

※ SPFILE은 이번 버전에서 ALTER SYSTEM SET 명령어를 사용하여 매개변수를 설정하는 경우 데이터베이스를 재시작하면 설정된 매개변수가 무효화 되는 문제가 있었음.

(3)

1 1 1

1....44 L44 LLoLoogogggmmiiiinmm nnneeeerrrr PPPaPacaacckckkkaaaaggeggee Fe FFiiiilllleF eee 실실행실실행((((T행행 TTTeeesessstttt VVeVVeerrrr Oe OOOrrrraaacacllllecceee 8888....1111....77 ffffo77 oorrrr wo wwwiiiinnnn)))) 1

11

1....4444....1111 OOOOrrrraaacacllllecceee 8888....1111....5555

sql>connect sys/change_on_install as sysdba sql>@?/rdbms/admin/dbmslogmnrd.sql

1 11

1....4444....2222 OOOOrrrraacaaccclllleeee 8888....1111....66-66--8-888....1111....7777,,,, OOrrrraOO aacaccclllleeee 9999iiii

sql>connect sys/change_on_install as sysdba sql>@?/rdbms/admin/dbmslm.sql

sql>@?/rdbms/admin/dbmslmd.sql

1 11

1....4444....3333 DDDDiiiiccttttiiiiocc ooonnnnaaaarrrryyyy FFiiiilllleFF ee 생e 생생생성성성성 ---- 11....311333....2222 참참참참조조조조

- Init.ora 파일 수정(win경우: c:\oracle\admin\earth\pfile\init.ora) u

uu

uttttllll____ffffiiiilllleeee____ddddiiiirrrr ==== cc::::\cc\o\\oorrrrao aacacclllleceee\\llllo\\oogogggssss ←←-←←--- 추-- 추추가추가가가 - 명령어 실행

e ee

exxexxeeeccc dc dbddbbbmmmmssss__llllo__ooogggmgmmmnnrrrr_nn ___dddd....bbbbuuiiiillllduu dd((((''''dd ddiiiirrrr_d ___ffffiiiillllee'''',,,,''''cee ccc::::\\\\oorrrraoo aaacccllllecee\e\llllo\\ooogggsgsss''''))))

※ ※ ※

(4)

1 1 1

1....555 분5 분분석분석석석을을을 위을 위한위위한한한 RRReReededoddoo Lo LLoLooogg 지gg 지지지정정정하정하하하기기기기

Dictionary File 생성후 분석 하기 위한 Log 파일을 ADD_LOGFILE Procedure를 이용하여 지정함.

Procedure Parameter로 New/ADDFILE/REMOVEFILE 이용 - New : 1, Removefile : 2, Addfile :3

1 1 1

1....5555....1111 OOOOrrrraaaacclllleccee IIIIne nnsnsssttttaaanannnccecceee 가가가가동동동((((중동 중중지중지되지지되되되어어어어 있있을있있을을시을시시시)))) sql> startup

1 1 1

1....5555....2222 LLLLooogog Lgg LLLiiiisssstttt 만만만들만들들들기기기기 - List 생성 및 추가

sql>exec dbms_logmnr.add_logfile('c:\oracle\arc\redo01.log',1) sql>exec dbms_logmnr.add_logfile('c:\oracle\arc\redo02.log',3) sql>exec dbms_logmnr.add_logfile('c:\oracle\arc\redo03.log',3)

U U U

UTTLTTLL_L___FFIIIILFFLELLEEE____DDIIIIRDD RRR 설설설정설정 오정정 오오류오류류시류시시시

U UU

(5)

- List 삭제

sql>exec dbms_logmnr.add_logfile('c:\oracle\arc\redo03.log',2)

1 1 1

1....5555....3333 LLLLooogogggMMiiiinMM nnneeeerrrr 사사용사사용용하용하하하기기기기

Dictionary File 생성 및 분석할 Log를 지정하였으면 Logminer를

시작할 수 있고 분석이 가능함. 시작 시 탐색 정보의 범위를 줄이기 위해 Parameter 지정 할 수 있음.

- StartSCN(default 0) / EndSCN(0)

- StartTime(01-JAN-2007) / EndTime(01-March-2007) - DictFileName(NULL) : 생성 했을시 사용

※ SCN : System Change Number

- Logminer 실행 s

ss

sqqllll>qq>>>eeeexxxexeececuccuutttteu eee ddbddbbbmmmmss_ss___llllooogogggmmnmmnnrrrr....sn sssttttaarrrrtttt_aa ___lllloooogggmgmmmnnnnrrrr((((DDiiiicDDcttttFcc FFiiiilllleF eeeNNNaNaaammemmee=e===>>''''c>>cc::::\c\\\oorrrraoo acaaccllllecee\e\\llllo\oooggsggsss\\\\dddiiiirrrr_d ___ffffiiiilllleee''''))));;;;e

s ss

sqqllll>qq>>>eeeexxxexeececuccuutttteu eee ddbddbbbmmmmss_ss___llllooogogggmmnmmnnrrrr....sn sssttttaarrrrtttt_aa ___lllloooogggmgmmmnnnnrrrr((((DDiiiicDDcttttFcc FFiiiilllleF eeeNNNaNaaammemmee=e===>>''''c>>cc::::\c\\\oorrrraoo acaaccllllecee\e\\llllo\oooggsggsss\\\\dddiiiirrrr_d ___ffffiiiilllleee'''',,,,e

S S S

SttttaaarrrrttttSa SSSCCCCNNNN==>==>>1>11100000000,,,, EEnEEnnnddddSSSCSCCCNN=NN===>>>>220220000000))));;;;

- Logminer 종료

sql> call dbms_logmnr.end_logmnr();

※ ※ ※

※ LLLoLoooggggMMiiiinMMnneneeerrrr 시시시작시작 후작작 후후 관후 관관련관련련련 VViiiieVVeeweww 정w 정정정보보보보

- V$LOGMNR_DICTIONARY : 사용중인 Dictionary File

- V$LOGMNR_PARAMETERS : Setting된 현재의 Parameter 값

- V$LOGMNR_LOGS : 분석되고 있는 Redo log file(또는 Archive 파일)

--

(6)

1 1 1

1....66 다66 다다다른른른른 DDDDaaaattttaabaabbbaaaasssseeee에에서에에서서 생서 생생생성성성성된된된된 로로로그로그 파그그 파파파일일일일 분분분분석석석석 1

11

1....6666....1111 선선제선선제제 조제 조조조건건건건

A A A

A :::: 분분석분분석석석 수수수수행행행할행할할할 DDDDaattttaaa abaabbbaaaassssee 시ee 시시스시스스스템템((((즉템템 즉즉,,,, L즉 LLLooogogmggmmmiiiinnnneerrrr 설ee 설설설치치치된치된 시된된 시시스시스스스템템템템)))) B

B B

B :::: 분분분분석석석석대대대대상상 D상상 DDaDaattttaa aaabbabbaasassseeee 시시스시시스스스템템템템((((즉즉즉,,,, 분즉 분석분분석석석당당당할당할할할 RReRReeeddddoooo lllloogooggg ffffiiiilllleee 있e 있있있는는 시는는 시시시스스스템스템템템))))

① ① ①

① AAA와A와와와 BBB는B는는는 CChCChhhaaaarrrraaaaccttttecc eeerrrr SSSSeeeetttt이이 같이이 같같같아아아아야야야 함야 함함함.... ②

② ②

② BB의BB의의 R의 RRReedeeddodooo llllooogog 분gg 분분석분석석석 위위위해위해서해해서서서는는는는 BB의BB의의의 DDDiiiicDcttttiiiiocc ooonnnanaaarrrryy Fyy FFFiiiilllleeee 사사사사용용해용용해해야해야야야함함함함 ③

③ ③

③ AAAA와와와와 BBB는B는는는 같같은같같은은은 HHHHaaaarrrrddddwwawwaarrrrea eee PPPPllllaaattttffffoa orrrrmoo mm 이m 이이여이여야여여야야 함야 함함함 ④

④ ④

④ OOOOrrrraaaaccllllecceee 8888....00 이00 이이이상상상상에에에에서서서서 생생생생성성된성성된된된 RRReRedeedddooo lllloo ogooggg ffffiiiilllleee 이e 이여이이여여여야야야 함야 함함함

※ ※※

※ 전전전체전체체 과체 과정과과정정 요정 요요약요약약약

1 11

1.... OOOrrrraO aacacllllecceee PPPaPacaackcckkakagaagggeee Fe FiiiilllleFF eee 생생생생성성((((L성성 LLLooooggmggmmmiiiinnnneeerrrr 설e 설설설치치치치))))

2 22

2.... DDDiiiicDcccttttiiiioooonnnanarrrryaa yyy FFFiiiilllleF e 생ee 생생생성성성성

3 33

3.... 분분분석분석석 위석 위위한위한한 R한 RReRedeedddoooo lllloogooggg 지지지정지정정정

4 44

4.... LLLoLooogggmgmiiiinmmnnneeeerrrr 실실실행실행행행

5 55

(7)

1 1 1

1....77 실77 실실제실제제제 예예제예예제 :::: D제제 DDDaaaattttaa 삭aa 삭삭삭제제제제후후후후 LLoLLooogggmgmmmiiiinnenneeerrrr로로로로 확확확인확인 하인인 하하하고고고고 삭삭삭삭제제된제제된된된 RRRReeeeccoccoorrrrdo dd 복d 복복복구구구구 1) scott/tiger로 접속하여 emp table 한 Row 삭제

sql> connect scott/tiger

sql> delete from emp where deptno = 10

sql> commit

2) 분석할 Log file 확인

(8)

sql> select a.group#, a.sequence#, b.member from v$log a, v$logfile b

where a.status = 'CURRENT' and a.group# = b.group#;

※ ※※

※ rrrreeeeddddoooo0030033....llllo3 oooggg 파g 파일파파일일일을을을 c을 ccc::::\\o\\ooorrrraaaacccclllleeee\\a\\aarrrrca cc\c\\\rrrreedeeddodoo0o000333_3___aaanannnaaaa....lllloogooggg로로로로 복복복사복사사사

3) Dictionary File 생성 및 delete 되었을때의 redo log file 또는 archiving file 등록

3-1) dictionary file 생성((((반반반반드드드드시시시시 관관리관관리리자리자자자 권권권권한한으한한으로으으로로로 실실실실행행해행행해해해야야야함야함함함))))

(9)

3-2) 분석할 Log 파일 등록

sql> exec dbms_logmnr.add_logfile('c:\oracle\arc\redo03_ana.log',1)

※ 보통의 경우 Redo log 파일은 Overwrite 되기 때문에 Archiving File 파일 사용

4) Logminer 실행

sql>execute dbms_logmnr.start_logmnr(DictFileName=>'c:\oracle\logs\dir_file');

4-1) v$logmnr_contents view를 통한 Log file 정보 확인

sql> select seg_owner, seg_name, operation, sql_redo, sql_undo from v$logmnr_contents

where seg_owner = 'SCOTT' and seg_name = 'EMP';

※ ※※

(10)

4-2) 실행한 session의 정보 확인

sql> sssseeeelllleeeecccctttt to_char(timestamp,'yyyy/mm/dd hh24:mi:ss') "Time", session_info ffffrrrrooomomm v$logmnr_contentsm

w w w

whhheheerrrree eee seg_name='EMP'

- delete/drop 등 내용 확인이 가능하므로 insert 등의 sql로 복구 가능함

5) Logminer 종료

sql> call dbms_logmnr.end_logmnr();

(11)

예 예 예

예)))) 현현재현현재재재 사사사용사용용용중중중인중인 R인인 RRReeeedddodoo Lo LoLLoogoggg FFFFiiiilllleee 바e 바바로바로 분로로 분분분석석석석하하하하기기기기

1. Logminer 설정 및 실행(Dictionary File 생성 버전)

2. Logminer 설정 및 실행(현재의 Dictionary File 사용)

(12)

sql> execute dbms_logmnr.add_logfile('c:\oracle\oradata\earth\redo01.log',1);

sql> execute

dbms_logmnr.start_logmnr(options=>dbms_logmnr.dict_from_online_catalog);

sql> select scn, timestamp, seg_owner, seg_name, operation from v$logmnr_contents;

(13)

※

※ 참

참

참고

고

고사

사

사항

항

항((((F

Fo

F

o

orrrre

e

en

n

ns

ss

siiiic

cs

c

ss

s 관

관

관점

점

점에

에

에서

서 주

서

주

주의

의

의 사

사

사항

항

항))))

1

1 1.... L

Lo

L

o

og

g

gm

m

miiiin

ne

n

e

errrr을

e

을

을 이

이

이용

용하

용

하

하여

여

여 R

R

Re

ed

e

d

do

d

o

o L

o

L

Lo

og

o

g

g F

g

F

Fiiiilllle

e

e 이

e

이나

이

나

나 A

A

Arrrrc

A

c

ch

hiiiiv

h

v

viiiin

n

ng

g

g F

Fiiiilllle

F

e

e 분

분

분석

분

석

석시

석

시

파

파일

일의

일

의

의 무

의

무

무결

결성

결

성

성이

이

이 깨

깨지

깨

지

지지

지

지 않

않느

않

느

느냐

냐

냐 ?

??

?

결 결결

결론론적론론적적적으으으으로로 말로로 말말해말해해해서서서 무서 무결무무결성결결성성은성은은 깨은 깨지깨깨지지지지지지 않지 않않않는는다는는다다다.... OOOOrrrraaacaclllleccee은e은은은 LLLLoogoogggmmmmiiiinnnneerrrr 사ee 사사사용용용시용시시시 내

내내

내부부적부부적적적인인인인 CChCChhheeeecccckkskksussuumummm을을을 사을 사용사사용용용하하하하여여여여 파파일파파일일일의의의 무의 무무무결결성결결성성이성이이이 깨깨깨지깨지지지지지 않지지 않않게않게게게 하하고하하고고고 있있있있다다다....다

2

2 2.... L

Lo

L

o

og

o

g

gm

m

miiiin

ne

n

e

errrr로

e

로

로 분

분석

분

석

석하

석

하

하여

여

여 복

복구

복

구

구시

시

시 순

순서

순

서

서대

대

대로

로 제

로

제

제대

대

대로

로

로 복

복구

복

구

구 할

할

할 수

수

수 있

수

있는

있

는

는가

가

가 ?

??

?

이 이이

이 문문제문문제제제는는 O는는 OOOrrrraaacacllllecceee에에에에서서서 지서 지지지원원원원하하는하하는는 T는 TTiiiimTmemmeee 과과과과 관관련관관련련된련된된된 문문제문문제제제이이이이다다다....다 L

LL

Loogoogggmmmmiiiinnnneerrrr는ee 는는 O는 OOOrrrraaacacllllecceee 8888iiii 이이이상이상에상상에에서에서서서 지지지원지원된원원된된다된다다다.... 그그그그러러나러러나나나 TTTTIIIIMMMEMESEESSSTTTTAAAAMMPMMPP 타P 타타타입입입은입은은은 O

OO

Orrrraaaaccccllllee 9ee 999iiii 이이이이상상상에상에서에에서서서 지지지지원원원원되되는되되는는 시는 시시시간간간간 타타입타타입입입이이이다이다다다.... LLoLLoooggggmmmiiiinmnenneerrrr가e 가가가 8888iiii에에서에에서서서 개개개개발발발발 되

되되

되었었기었었기기기 때때때문때문에문문에 9에에 999iiii이이이이상상에상상에에에서서서도서도도도 변변수변변수수명수명명명은은은은 TTIIIIMTTMEMMEEESSSTSTATTAAAMMMMPPP 이P 이지이이지만지지만만만 변변변변수수 타수수 타타타입입입을입을을을 확

확확

확인인인인하하하하면면 D면면 DDDAAAATTTTEE 타EE 타타입타입입입으으으로으로 되로로 되되되어어어 있어 있있있다다.... 그다다 그그러그러러러므므므므로로 L로로 LLLoooogggmgmiiiinmm nneneeerrrr를를를를 이이용이이용용용하하하여하여여여 복

복복

복구구시구구시시시에에에에는는 비는는 비비슷비슷슷슷한한 시한한 시시간시간간간에에에에 진진행진진행행된행된된된 쿼쿼리쿼쿼리리리가가가 있가 있을있있을을을시시시 순시 순순순서서가서서가가가 뒤뒤뒤뒤바바바뀔바뀔 수뀔뀔 수수 있수 있있다있다다다.... 여

여여

여기기기서기서서서 또또또한또한 알한한 알알아알아아아두두어두두어어어야야야야 할할 점할할 점점점은은은은 일일일반일반적반반적적으적으으으로로 쿼로로 쿼쿼쿼리리리리 실실실행실행시행행시시 바시 바바바로로로로 CCoCCooommmmmmmmiiiitttt 되

되되

되지지지 않지 않않않고고고 일고 일정일일정정 상정 상상황상황이황황이 발이이 발발발생생생하생하거하하거거거나나나나 CCoCCoomommmmmmmiiiitttt 명명령명명령령어령어어어 실실행실실행행시행시시시 완완료완완료료료된된된다된다다다.... L

LL

Loogoogggmmmmiiiinnenneeerrrr로로로 분로 분석분분석석해석해해해 보보보보면면 알면면 알알알겠겠겠겠지지만지지만 동만만 동동일동일일일 시시간시시간간간에에에 여에 여러여여러러 명러 명명명령령령령어어들어어들들들이이이이 실

실실

실행행행되행되되되어어어어진진 것진진 것것을것을을을 확확인확확인인인할할할할 수수 있수수 있있있을을을을 것것것이것이다이이다다.... 그다 그그러그러나러러나나 S나 SSCSCCNCN은NN은은은 유유유일유일일일한한 값한한 값값값이이이이다다다다 그

그그

(14)

참 참 참

참고고1고고11)))) v1 vvv$$llllo$$oogoggmgmmmnnrrrr_nn ___ccccooononttttenn eeennnntttt의의의의 TTIIIIMTTMMEMEEESSTSSTTTAAAAMMMPMP 데PP 데데데이이이터이터터터 형형식형형식식((((8식 88iiii,,,, 98 999iiii))))

참 참 참

참고고고고222)))) T2 TTTIIIIMMMEMEESESTSSTTATAAAMMPMMPP TP TTyTyyyppeppee은e은은 O은 OrrrraOO acaaccclllleeee 99iiii 이99 이이상이상상상에에서에에서서서 지지지원지원원원

참 참 참

참고고고고333)))) O3 OrrrraOO aacacccllllcceccee 8e 888iiii에에에는에는는는 TTTTIIIIMMEMMEEESSSSTTATTAAAMMMPMP 지PP 지지지원원원 하원 하지하하지지지 않않않음않음음음

※ ※ ※

※ DDDDaaattttaa aaabbabbaaasssseeee FFFoForrrreoo eenennnssssiiiiccccssss이이이라이라라라고고고 하고 하하하기기엔기기엔엔엔 민민민민망망망한망한 점한한 점점이점이이이 많많많많지지지만지만 아만만 아아직아직직직까까까지까지지지 DDBDDBB 포B 포포포렌렌렌렌식식식식 분

분 분

분야야는야야는는 많는 많많이많이이이 알알려알알려려려지지지지지지지지 않않은않않은은것은것것것 같같같습같습니습습니니니다다다다.... OOOrrrraO acaacllllecceee 및및및 M및 MsMMsssssssqqqqllll 등등등 D등 DBDDBBB관관관련관련련련 포포렌포포렌렌식렌식식식 자자자자 료

료 료

료 있있으있있으으으시시시는시는는는 분분들분분들들들 좋좋좋좋은은은 자은 자료자자료료료 공공공유공유유유 부부탁부부탁탁탁 드드드드립립립니립니다니니다....다다 TToTTooo bbllllubbuueueeaeaaarrrrtttthh@hh@@n@nnunuullllllll2u 2rrrro22 oooooootttt....oooorrrrgggg 참

참참