디지털 포렌식

정의

디지털 포렌식은 디지털 매체의 데이터를 법적 증거로 쓸 수 있게 수집·보존·분석·보고하는 절차다.

법정에서 증거로 인정받으려면 수집된 순간부터 변하지 않았음을 보여야 한다.

그래서 핵심 키워드는 증거 무결성, 연계보관성, 재현성이다.

이제 이 원칙들을 하나씩 살펴보자.

다섯 가지 원칙

디지털 증거가 법정에서 인정받으려면 다섯 가지 원칙을 지켜야 한다.

정당성은 적법 절차로 수집된 증거만 인정된다는 원칙이다.

무결성은 수집 이후 증거가 위·변조되지 않았음을 입증하는 성질이다.

연계보관성은 획득부터 법정 제출까지 담당자와 책임자를 기록으로 남기는 원칙이다.

재현성은 같은 조건에서 같은 결과가 나와야 한다는 원칙이다.

신속성은 휘발성 정보가 사라지기 전에 지체 없이 조치한다는 원칙이다.

수사 절차

절차는 기준 문서마다 단계 구분이 다르지만 흐름은 같다.

먼저 도구를 준비·점검하고, 식별·수집·확보·보존 순으로 증거를 모은다.

수집한 증거는 포장해 이송하면서 봉인과 이송 이력을 기록한다.

이후 키워드 검색과 삭제 파일 복구로 조사 분석을 수행한다.

분석 결과는 정밀 검토에서 재확인하고, 필요하면 분석으로 되돌아간다.

마지막으로 비전문가도 이해할 용어로 보고서를 작성한다.

해시값 검증

디지털 증거는 원본과 사본의 해시값을 비교해 무결성을 입증한다.

원본은 쓰기 방지 장치로 보호하고, 섹터 단위로 복제본을 만든다.

두 해시값이 같으면 복제본이 원본과 동일하다고 판단한다.

해시값이 다르면 재획득한다. 계산량은 크지만 결과가 명확하다.

대상 매체별 비교

대상 매체에 따라 포렌식은 컴퓨터, 모바일, 네트워크, 클라우드로 나뉜다.

컴퓨터 포렌식은 삭제 파일과 레지스트리가 핵심 증거다. 암호화된 드라이브가 주요 난점이다.

모바일은 SMS와 통화 기록, 네트워크는 침입 경로와 패킷을 핵심 증거로 본다.

클라우드는 계정 활동과 로그가 핵심 증거이며, 관할권과 프라이버시가 난점이다.

기준은 대상 매체다. 획득 방법의 차이도 함께 설명해야 한다.

헷갈리는 점

시험에서는 원본을 직접 분석하면 안 된다는 점이 자주 나온다.

원본은 쓰기 방지 장치로 보호하고 복제본으로 분석한다.

RAM 같은 휘발성 데이터는 사고 대응 시 신속성 원칙과 함께 수집한다.

정리하면 원본 보호, 해시 검증, 휘발성 데이터 확보가 핵심이다.