이메일 분석 도구

Digital Forensic Wikipedia
둘러보기로 가기 검색하러 가기

이메일 분석 도구란 이메일 클라이언트의 아티팩트를 분석해주는 도구를 말한다. 이메일 클라이언트에는 Microsoft Outlook Express, Microsoft Windows Live Mail, Outlook Express, Mozilla Thunderbird 등이 있다.


이메일 분석 도구의 기능들을 나열해보면 이메일 클라이언트 아티팩트 파싱, 삭제된 이메일 복구, 키워드 검색, 분석 보고서 생성, 확장자변환 기능 등이 있다. 그밖에 이메일 분석 도구들은 분석 파일의 발신자 목록을 출력해주거나, 이메일 송수신자들의 빈도 등을 표시해주는 기능을 제공하고 있다.
이메일 분석 도구의 기능을 비교할 수 있는 종속변인은 이메일 클라이언트 아티팩트 지원 여부, 정상적인 이메일 레코드 파싱 여부, 삭제된 이메일 레코드 파싱 여부, 키워드 검색 기능 제공 여부, 분석 보고서 기능 제공 여부, 내보내기 지원 여부 등이 있다. 이를 토대로 작성한 이메일 분석 도구 분석 전략은 [표 1]과 같다.

[표 1] 이메일 분석 도구 분석 전략
종속변인 세부 설명
이메일 클라이언트 지원 파일 포맷 지원 여부 확인
  • EML
  • PST(Outlook)
  • TBB(That Bat!)
  • DBX(Outlook Express)
  • MBX(Eudora, Mozilla Thunderbird)
  • MBOX(Google Tackout)
이메일 파싱 정상적인 이메일 파싱 여부
삭제된 이메일 파싱 여부
키워드 검색 단순 검색 기능 지원 여부
검색 대상(발신자, 송신자, 본문 등) 선택 여부
정규표현식 검색 기능 지원 여부
언어 지원 언어 지원 여부 확인
  • 한국어, 일본어, 중국어, 영어 등
  • 송신자, 수신자, 본문, 닉네임, 첨부파일명 등을 확인
분석 보고서 분석 보고서 생성 여부 확인
내보내기 분석 대상과 다른 포맷으로 저장가능 여부 확인
(CSV, TXT, HTML, 다른 이메일 클라이언트 파일 포맷 등)


[표 1]을 기준으로 이메일 분석 도구의 테스트 데이터 세트 구축을 진행하였으며, 테스트 데이터 세트의 구축절차는 다음과 같다.

  • 이메일 클라이언트 별 이메일 송수신 데이터 생성
    • 다양한 언어(한국어, 일본어, 중국어, 영어)로 송신자, 수신자, 첨부파일명, 본문 작성
    • 특정 키워드를 반복적으로 삽입
  • 각 이메일 클라이언트에서 이메일을 삭제



테스트 데이터 세트에 설치한 이메일 클라이언트는 [표 2]과 같다.

[표 2] 테스트 데이터 세트에 설치한 이메일 클라이언트
운영체제 설치한 이메일 클라이언트
Windows XP 32bit Outlook Express
Microsoft Office 2007 Outlook
Eudora
Mozilla thunderbird
The Bat!
EML 파일
Windows 7 32bit Windows Live Mail
Microsoft Office 2013 Outlook
Eudora
Mozilla thunderbird
The Bat!
EML 파일
Windows 7 64bit Windows Live Mail
Microsoft Office 2013 Outlook
Eudora
Mozilla thunderbird
The Bat!
EML 파일
Ubuntu 10.04.4 32bit Eudora
Mozilla thunderbird
The Bat!
EML 파일
Ubuntu 10.04.4 64bit Eudora
Mozilla thunderbird
The Bat!
EML 파일
Mac OS X 10.8 Mountain Lion 64bit Microsoft Office 2011 Outlook
Eudora
Mozilla thunderbird
The Bat!
EML 파일


[표 1]를 토대로 실험한 결과는 [표 3]와 같다. 이메일 클라이언트의 아티팩트는 운영체제와 상관없이 파일 포맷이 동일하며, 각 운영체제별로 실험을 하였지만 표는 통합하여 나타내었다. 또한 O는 정상적으로 지원하는 것을 뜻하며, X는 지원하지 않는다는 것을 뜻한다.

[표 3] 이메일 분석도구 테스트 결과
대분류 소분류 E-mail Examiner Mail Viewer Email Utilities
이메일 파일 포맷 EML O O O
PST O X O
TBB O X O
DBX O O O
MBX O O O
MBOX O X X
이메일 파싱 정상적인 이메일 파싱 O O O
삭제된 이메일 파싱 여부 O O O
키워드 검색 단순검색 O O O
검색대상 선택 여부 O O O
정규표현식 O X X
언어지원 언어 지원 여부 O O X
분석보고서 분석보고서 O X X
내보내기 내보내기 O
(EML, HTML, Outlook) 		O
(EML) 		X


테스트 데이터 세트를 가지고 이메일 도구들을 실험한 결과, E-mail Examiner는 본 보고서에서 제시한 종속변인에 대해서 모두 지원한다. Mail Viewer는 PST와 MBOX 파일 포맷을 지원하지 않으며, 키워드 검색에서 정규표현식으로는 검색을 할 수 없고, 분석보고서를 생성하지 못한다. 마지막으로 Email Utilities는 MBOX 파일 포맷을 지원하지 않으며, 키워드 검색에서 정규표현식으로는 검색을 할 수 없다. 또한 한글이나 일본어 등을 지원하지 않아 깨짐 현상이 있고, 분석보고서와 내보내기 기능을 따로 제공하지 않는다.

원본 주소 "http://forensic.korea.ac.kr/DFWIKI/index.php?title=이메일_분석_도구&oldid=7715"