디지털 포렌식

정의와 핵심 키워드

디지털 포렌식은 디지털 증거를 법적 효력이 인정되도록 다루는 절차다.

증거의 무결성과 결과의 재현성이 핵심 조건이다.

원본을 건드리면 증거 가치가 사라지므로 복제본에서 분석하는 것이 기본이다.

다섯 가지 원칙

디지털 포렌식의 원칙은 다섯 가지다.

정당성은 적법 절차에 따른 수집 여부를, 무결성은 위변조가 없음을 뜻한다.

연계보관성과 신속성, 재현성까지 함께 확인해야 한다.

여섯 단계 절차

절차는 여섯 단계로 정리된다.

사전 준비에서는 압수·수색 범위와 허가를 확인하고 도구의 검증 상태를 점검한다.

증거 수집에서는 휘발성 정보를 먼저 확보한 뒤 쓰기방지 상태에서 이미징하고 해시값을 기록한다.

조사는 항상 이미지 사본으로 하며, 정밀 검토 과정에서 결과를 원자료와 대조한다.

해시값으로 무결성 입증

무결성은 원본과 이미지의 해시값 일치로 입증한다.

원본 매체를 섹터 단위로 복제해 이미지를 만든다. 원본은 쓰기방지 상태로 보존한다.

두 해시값이 완전히 같아야 복제본이 원본과 동일하다고 본다.

정답은 이미지를 다시 만드는 것이다. 값이 한 글자라도 다르면 이미지를 다시 만든다.

획득 방식 비교

획득 방식은 상황에 따라 세 가지로 나뉜다.

섹터 단위 이미징은 법적 복제본을 만들고 해시값을 비교한다.

논리적 수집은 범위가 좁아 누락 가능성이 있으므로 수집 범위를 문서로 남긴다.

이미징은 원본 상태를 가장 완전하게 보존하지만 시간과 용량이 많이 든다.

흔한 실수와 채점 포인트

답안에서 흔히 하는 실수를 짚는다.

휘발성 정보 수집 누락은 흔한 실수다.

도구 결과만으로 결론을 단정하는 것도 흔한 실수다.

사실과 추정을 구분하고, 반대 해석 가능성까지 기재한다.

정답은 사라진다. 그래서 휘발성 정보를 가장 먼저 확보한다.

정리

정리하면 디지털 포렌식은 증거의 무결성과 재현성을 지키는 절차다.

원칙은 정당성, 무결성, 연계보관성, 신속성, 재현성의 다섯 가지다.

수집에서는 휘발성 정보를 먼저 확보하고, 분석은 사본에서 하며, 보고서에는 도구·해시값·한계를 기재한다.