스테가널리시스: 숨겨진 메시지 탐지

가장 기본적인 스테가노분석 기법은 의심스러운 이미지를 자세히 살펴보는 것입니다. 픽셀 수준으로 확대하고 색상이 균일한 영역을 검사하면 이미지 내용과 일치하지 않는 블록 인공 흔적이나 잡음 패턴을 발견할 수 있습니다. 회색조로 변환하고 대비를 조정하며 색상 히스토그램을 검사하면 특정 영역에 스테가노그래피 삽입이 이루어졌음을 암시하는 이상 징후를 드러낼 수 있습니다.

카이제곱 검정은 LSB 스테가노그래피를 위한 고전적인 통계 검정입니다. 자연 이미지에는 인접한 짝수-홀수 값 쌍이 비슷한 빈도로 나타나는 특징적인 색상 값 분포가 있습니다. LSB 삽입은 홀수 값을 짝수로 또는 그 반대로 바꾸어 이러한 쌍에 탐지 가능한 불균형을 만듭니다. 카이제곱 통계량은 예상되는 쌍의 빈도에서 얼마나 벗어나는지를 측정하며, 삽입이 탐지되면 크게 증가합니다.

샘플 쌍 분석은 삽입이 이루어졌는지만 확인하는 것이 아니라 삽입된 메시지의 길이까지 추정하는 더 정교한 LSB 탐지기입니다. 이 기법은 인접한 픽셀 값 쌍 사이의 전이를 세고, 삽입된 데이터의 양에 따라 그 개수가 어떻게 변하는지 모델링합니다. 관측된 개수를 모델에 맞추면 분석가는 커버 매체 용량 중 어느 정도가 사용되었는지 추정할 수 있습니다.

PSNR(최대 신호 대 잡음비)과 SSIM(구조적 유사도 지수) 같은 이미지 품질 지표는 의심스러운 이미지를 원본으로 가정한 참조 이미지 또는 자연 이미지의 통계 모델과 비교합니다. PSNR이 매우 높으면 수정이 최소한으로 이루어졌음을 의미합니다. 이미지 전체에 잡음이 비정상적으로 고르게 분포하고 복잡한 영역에 집중되지 않았다면, 자연스러운 카메라 잡음이 아니라 체계적인 LSB 조작이 이루어졌음을 나타냅니다.

RS 분석은 이미지 픽셀을 여러 그룹으로 나누고, LSB를 뒤집었을 때 평활도 측정값이 어떻게 변하는지에 따라 그룹을 규칙, 특이 또는 사용 불가로 분류합니다. 자연 이미지에서는 규칙 그룹의 비율이 특이 그룹보다 약간 높습니다. LSB 삽입은 예측 가능한 방식으로 이 두 비율을 같게 만듭니다. LSB를 뒤집기 전과 후의 R 값과 S 값을 측정하면 삽입률을 추정하는 강력한 탐지기가 됩니다.

표적 스테가노분석은 특정 스테가노그래피 도구나 알고리즘이 남기는 고유한 통계적 특징을 이용하여 해당 도구나 알고리즘을 탐지하도록 설계됩니다. 범용 스테가노분석이라고도 하는 맹목적 스테가노분석은 어떤 도구가 사용되었는지 모르는 상태에서 숨겨진 콘텐츠를 탐지하려고 합니다. 맹목적 기법은 일반적으로 이미지에서 수백 개의 통계적 특징을 추출하고, 깨끗한 이미지와 은닉 이미지로 구성된 알려진 데이터로 학습한 기계 학습 분류기를 사용합니다.

현대의 스테가노분석은 깨끗한 이미지와 은닉 이미지로 구성된 대규모 데이터 집합으로 학습한 합성곱 신경망인 CNN을 사용합니다. CNN은 스테가노그래피 삽입으로 생기는 미세한 2차 통계적 차이를 식별하는 방법을 학습합니다. 에스알넷과 예드루즈넷 같은 모델은 픽셀당 0.1비트의 낮은 삽입률에서도 현재 스테가노그래피 도구에 대해 매우 높은 탐지율을 달성합니다. 삽입과 탐지 사이의 경쟁은 계속되고 있습니다.

StegExpose는 이미지 집합에 여러 탐지 알고리즘을 실행하고 점수를 결합하는 오픈 소스 일괄 스테가노분석 도구입니다. 카이제곱, RS 분석, 기본 집합, 샘플 쌍 분석을 구현하며 결합 확률 점수를 생성합니다. 보안 팀은 잠재적인 데이터 유출을 찾기 위해 대규모 이미지 저장소를 검사할 때 이 도구를 사용합니다. 스테그하이드, OpenStego, 아웃게스와 같은 일반적인 도구를 대상으로 효과적으로 작동합니다.

많은 스테가노그래피 도구는 통계적 이상 징후 외에도 특징적인 인공 흔적을 남깁니다. 예를 들어 스테그하이드는 수정된 WAV 파일의 처음 몇 바이트에 특정 패턴을 만듭니다. OpenPuff는 인식할 수 있는 방식으로 파일 헤더를 수정합니다. 이러한 도구 식별 패턴을 사용하면 포렌식 소프트웨어가 스테가노그래피가 사용되었다는 사실뿐 아니라 어떤 특정 도구가 사용되었는지도 식별할 수 있어 추출 시도를 안내하는 데 도움이 됩니다.

콘텐츠 유형에 비해 예상보다 큰 파일은 숨긴 데이터가 포함되어 있음을 나타낼 수 있습니다. 크기에 비해 예상되는 파일 크기의 두 배인 PNG 스크린샷에는 숨겨진 아카이브가 들어 있을 수 있습니다. 실제 파일 크기를 크기, 색상 깊이, 압축 설정을 기준으로 예상한 크기와 비교하면 상세한 스테가노분석을 수행하기 전에 의심스러운 파일을 식별하는 신속한 초기 선별 방법이 됩니다.

디지털 포렌식 조사는 운반체 파일 자체뿐 아니라 스테가노그래피 도구가 설치되었거나 사용된 흔적도 찾습니다. 브라우저 기록에 스테가노그래피 소프트웨어 다운로드 페이지를 방문한 기록이 있거나, OpenStego 같은 애플리케이션이 설치되어 있거나, 스테가노그래피 작업에서 생성된 임시 파일이 있다면 모두 포렌식 지표가 될 수 있습니다. 윈도우 레지스트리 항목에는 운반체나 숨은 데이터의 원본으로 사용된 최근에 연 파일이 기록되어 있을 수 있습니다.

스테가노분석은 시각적 검사부터 정교한 기계 학습 분류기까지 다양한 방법을 포함합니다. 카이제곱 분석과 RS 분석은 LSB 삽입을 탐지하는 고전적인 통계 탐지기입니다. 샘플 쌍 분석은 삽입률을 추정합니다. 기계 학습 CNN은 최신 도구에 대해 높은 탐지율을 달성합니다. StegExpose는 여러 검정을 결합하여 일괄 검사를 수행합니다. 도구 식별 패턴과 파일 크기 이상 징후는 순수한 통계 분석 외에 추가적인 포렌식 지표를 제공합니다.