컴퓨터 포렌식

3. 관련 법률 및 제도

컴퓨터 포렌식에서는 디지털 증거에 일반적으로 요구되는 요건 외에도 특별히 많은 지침과 법적 절차가 존재한다.^[1] 관련 법률 및 제도는 다음과 같다.

• 형사소송법/형사소송법규칙^[1]
• 디지털증거수집 및 분석규정 (대검찰청 예규)^[1]
• 정보통신망 이용 촉진 및 정보보호 등에 관한 법률^[1]
• 통신비밀보호법^[1]
• 부정경쟁방지 및 영업비밀보호에 관한 법률^[1]
• 산업기술의 유출방지 및 보호에 관한 법률^[1]
• 신용정보법 등 개인정보 관련 규정^[1]

3. 1. 대한민국

• 형사소송법/형사소송법규칙^[1] (제106조(압수), 제215조(압수/수색/검증), 제218조의2(압수물의 환부, 가환부), 자유심증주의, 위법수집증거배제원칙, 전문증거배제법칙)
• 디지털증거수집 및 분석규정 (대검찰청 예규)^[1]
• 정보통신망 이용 촉진 및 정보보호 등에 관한 법률^[1]
• 통신비밀보호법^[1] (제9조의 3(압수, 수색, 검증의 집행에 관한 통지), 제13조(범죄수사를 위한 통신사실 확인자료제공의 절차 〈개정 2005.5.26〉), 제13조의3(범죄수사를 위한 통신사실 확인자료제공의 통지))
• 부정경쟁방지 및 영업비밀보호에 관한 법률^[1]
• 산업기술의 유출방지 및 보호에 관한 법률^[1]
• 신용정보법 등 개인정보 관련 규정^[1]

3. 2. 영국

4. 디지털 포렌식 절차

디지털 증거 처리 과정은 식별, 수집, 획득, 보존, 분석 등의 단계를 거치며, 증거 가치를 최대화하고 위험을 최소화하기 위해 수행된다. 디지털 증거는 손상되기 쉬우므로 취급자는 발생 가능한 결과와 위험성을 관리하고 식별할 수 있어야 하며, 모든 행위와 그 근거는 문서화되어야 한다.

컴퓨터 포렌식 수사는 획득, 검사, 분석, 보고의 4단계 절차를 따르며, 주로 획득된 이미지와 같은 정적 데이터를 대상으로 한다. 이는 초기 포렌식 방식과 구별되며, 컴퓨터 포렌식에는 특별한 지침과 법적 절차가 적용된다.

4. 1. 일반적인 절차

4. 2. 추가 고려 사항

5. 디지털 포렌식 기술

디지털 포렌식 기술은 증거 수집 및 분석에 사용되는 다양한 방법론을 포괄한다. 여기에는 라이브 분석, 삭제된 파일 복구, 드라이브 간 분석, 확률적 포렌식, 스테가노그래피, 휘발성 데이터 분석 등이 포함된다. 모바일 기기 포렌식은 통화 기록, 연락처, 문자 메시지, 사진, 오디오 녹음 등을 분석하여 사건 관련 정보를 얻는 기술이다. 컴퓨터 포렌식 분석에는 Autopsy (소프트웨어), Belkasoft Evidence Center, Forensic Toolkit(FTK), EnCase와 같은 도구들이 사용된다.^[1]

5. 1. 주요 기술

• 라이브 분석: 운영 체제가 작동 중인 상태에서 포렌식 도구나 시스템 관리 도구를 사용하여 증거를 추출하는 기술이다. 암호화 파일 시스템을 다룰 때 유용하며, 네트워크 시스템이나 클라우드 기반 장치 검사에도 활용된다.^[11]
• 삭제된 파일 복구: 삭제된 파일을 복구하는 기술이다. 대부분의 운영 체제와 파일 시스템은 파일을 완전히 삭제하지 않기 때문에, 디스크 섹터에서 데이터를 재구성하여 복구할 수 있다. 포렌식 소프트웨어는 파일 헤더를 검색하여 삭제된 데이터를 재구성한다.
• 드라이브 간 분석: 여러 하드 드라이브에서 발견된 정보를 상호 연관시켜 분석하는 기술이다. 소셜 네트워크를 식별하거나 이상 징후를 감지하는 데 사용될 수 있다.^[9][10]
• 확률적 포렌식: 시스템의 확률적 속성을 활용하여 활동을 조사하는 방법이다. 데이터 절도와 같이 기존 디지털 아티팩트가 없는 경우에 유용하다.
• 스테가노그래피: 다른 파일 내에 데이터를 숨기는 기술, 또는 이를 탐지하는 기술이다. 파일 해시를 비교하여 숨겨진 데이터의 존재 여부를 파악할 수 있다.
• 휘발성 데이터 분석: RAM, 레지스트리, 캐시 등 휘발성 데이터를 분석하는 기술이다. 전원이 꺼지면 데이터가 손실되므로, 시스템이 작동 중일 때 데이터를 확보해야 한다. '라이브 포렌식'이라고도 불린다. 콜드 부팅 공격과 같은 기술을 통해 전원 손실 후에도 메모리 셀에서 데이터를 복구할 수 있다.

5. 2. 모바일 기기 포렌식

5. 3. 분석 도구

• EnCase
• FTK
• PTK 포렌식
• The Sleuth Kit
• The Coroner's Toolkit
• COFEE
• Selective file dumper^[1]

6. 활용 분야 및 사례

컴퓨터 포렌식 증거는 법정에서 디지털 증거에 대한 일반적인 요구 사항을 따른다. 정보는 진본이고, 신뢰할 수 있게 획득되었으며, 증거로 채택될 수 있어야 한다. 국가별로 증거 복구에 대한 구체적인 지침과 관행이 있는데, 영국에서는 감정인들이 경찰청장 협회 지침을 따르는 경우가 많다.

컴퓨터 포렌식은 1980년대 중반부터 형법에서 증거로 사용되어 왔으며, 국내에서는 다음과 같은 주요 사건들에서 활용되었다.

• 1996년 영남위원회 사건: 법원은 디지털 증거를 전문 증거로 취급해야 하므로 원 진술자가 진술해야 한다고 판시하여 디지털 증거의 증거 능력을 부정하였다.
• 2006년 일심회 사건: 수사기관은 USB, PC, 플로피 등의 저장매체 12종을 압수하여 조사하였다. 법원은 디지털 증거에 대해 작성자 또는 진술자의 진술에 의해 진정성이 증명될 때에 한해 증거로 인정한다고 판시하였다.
• 외무부 전문 변조사건: 외무부의 공문 변조 여부를 판단하기 위해 외국 공관에 있는 동일한 컴퓨터들의 하드디스크를 모두 수거하여 분석하였다.^[26]
• 창원지법 진주지원 재심사건: 하드디스크 분석 과정에서 비전문가가 분석을 수행하여 파일 접근 시간이 변경되어 확정 판결이 번복되었다.
• 삼성 비자금 의혹 관련 특별검사: 특검팀이 삼성에서 압수한 하드디스크로부터 삭제된 파일을 복구하여 수사를 진행하였다.
• 신정아 스캔들: 주고받은 이메일 내용을 복구하여 수사를 진행하였다.
• 통합진보당 비례대표 부정선거: 서버 압수 및 서버 이미징, 분석을 하였다.
• 황우석 논문 조작 사건: 황 교수 연구팀의 포맷된 노트북을 복원하여 400여 쪽의 실험 노트를 확보하였다.^[27]
• 카지노 횡령사건: 계좌 추적과 전화 통화 내역을 조사하였다.
• 국정원 여직원의 대선 관련 덧글 사건: 국정원 여직원의 노트북 등 디지털 기기를 분석하였다.

6. 1. 활용 분야

6. 2. 주요 사례

7. 윤리적 문제 및 한계

컴퓨터 포렌식은 디지털 증거를 다루는 과정에서 여러 윤리적 문제와 한계에 직면한다.
개인정보 침해: 컴퓨터 포렌식 과정에서 개인의 민감한 정보(사생활, 금융 정보 등)가 노출될 위험이 있다. 개인정보 보호법 등 관련 법규를 준수하고, 필요한 최소한의 정보만 수집, 분석해야 한다.
증거의 무결성 훼손: 디지털 증거는 쉽게 변조될 수 있으므로, 증거 수집 및 분석 과정에서 원본 데이터가 훼손되지 않도록 주의해야 한다. 해시 함수 등을 이용하여 증거의 무결성을 검증하고, 쓰기 방지 장치를 사용하여 원본 데이터의 변경을 방지해야 한다.
전문가의 편향: 포렌식 전문가의 개인적인 편견이나 선입견이 분석 결과에 영향을 미칠 수 있다. 객관적이고 중립적인 자세를 유지하며, 다양한 전문가의 의견을 종합하여 결론을 도출해야 한다.
기술적 한계: 모든 디지털 증거를 완벽하게 복구하거나 분석하는 것은 불가능하다. 삭제된 파일, 암호화된 데이터, 손상된 저장 매체 등은 복구가 어려울 수 있으며, 최신 기술을 적용해도 한계가 있을 수 있다.
법적 문제: 수집된 디지털 증거가 법정에서 증거로 인정받기 위해서는 적법한 절차를 거쳐야 한다. 영장 없이 증거를 수집하거나, 증거 수집 과정에서 절차를 위반하면 증거 능력이 부정될 수 있다.

이러한 윤리적 문제와 한계를 극복하기 위해, 컴퓨터 포렌식 전문가는 지속적인 교육과 훈련을 통해 전문성을 강화하고, 윤리 강령을 준수해야 한다. 또한, 관련 법규 및 기술 발전에 대한 꾸준한 관심과 연구가 필요하다.

8. 관련 직업 및 교육

컴퓨터 포렌식 관련 직업으로는 디지털 포렌식 전문가가 있다. 이들은 디지털 증거를 보존, 수집, 분류하고 분석하며, 사이버 침해 사고에 대응하고 보고서를 작성하며 법정에서 증언하는 역할을 한다.^[12] 디지털 포렌식 전문가는 컴퓨터 포렌식 분석가, 디지털 포렌식 검사관, 사이버 포렌식 분석가, 포렌식 기술자 등으로 불리기도 한다.^[13]

관련 자격증으로는 ISFCE 공인 컴퓨터 감정사, 디지털 포렌식 수사 전문가(DFIP), IACRB 공인 컴퓨터 포렌식 감정사 등이 있다. 유럽 연합(EU) 내에서 가장 인정받는 벤더 중립적인 자격증은 공인 사이버 포렌식 전문가(CCFP)이다.^[14][15] 많은 상업용 포렌식 소프트웨어 회사 또한 자체 자격증을 제공한다.^[16] 미국 대부분의 주에서는 컴퓨터 포렌식 감정인에게 전문적인 인증 또는 사립 탐정 면허 취득을 요구하고 있다.

8. 1. 디지털 포렌식 전문가

8. 2. 관련 자격증

9. 관련 학술지

• IEEE Transactions on Information Forensics and Security|IEEE 정보 포렌식 및 보안 트랜잭션^영어
• Journal of Digital Forensics, Security and Law|디지털 포렌식, 보안 및 법률 저널^영어
• International Journal of Digital Crime and Forensics|국제 디지털 범죄 및 포렌식 저널^영어
• Journal of Digital Investigation|디지털 수사 저널^영어
• International Journal of Digital Evidence|국제 디지털 증거 저널^영어
• International Journal of Forensic Computer Science|국제 포렌식 컴퓨터 과학 저널^영어
• Journal of Digital Forensic Practice|디지털 포렌식 실무 저널^영어
• Cryptologia|크립토로지아^영어
• Small Scale Digital Device Forensic Journal|소규모 디지털 장치 포렌식 저널^영어

참조

_[1] 웹사이트 2020 Internet Crime Report https://www.ic3.gov/[...]
_[2] 웹사이트 IC3 Releases 2020 Internet Crime Report https://www.fbi.gov/[...]
_[3] 웹사이트 What Is Computer Forensics? https://www.wgu.edu/[...]
_[4] 서적 Computer Forensics: Incident Response Essentials Pearson Education 2001
_[5] 서적 Digital Forensics: How digital forensics is helping to bring the work of crime scene investigating into the real world One Billion Knowledgeable 2022
_[6] 웹사이트 The Capture of Serial Killer Dennis Rader, BTK https://www.psycholo[...]
_[7] 웹사이트 BTK serial killer's daughter: 'We were living our normal life... Then everything upended on us' https://abcnews.go.c[...]
_[8] 웹사이트 Chapter 3: Computer Forensic Fundamentals - Investigative Computer Forensics: The Practical Guide for Lawyers, Accountants, Investigators, and Business Executives [Book] https://www.oreilly.[...] 2022-03-04
_[9] 간행물 Forensic feature extraction and cross-drive analysis 2006-09-01
_[10] 간행물 A Two-Stage Model for Social Network Investigations in Digital Forensics https://dspace.lib.c[...] 2020-08-20
_[11] 문서 https://espace.curti[...]
_[12] 웹사이트 What Is a Digital Forensic Analyst? https://www.eccounci[...] 2022-12-28
_[13] 웹사이트 CISA Cyber Defense Forensics Analyst https://www.cisa.gov[...] 2022-12-28
_[14] 웹사이트 Cybersecurity Certification https://www.isc2.org[...] 2022-11-18
_[15] 웹사이트 CCFP Salaries surveys https://www.itjobswa[...] ITJobsWatch 2017-06-15
_[16] 웹사이트 X-PERT Certification Program http://www.x-pert.eu[...] X-pert.eu 2015-11-26
_[17] 뉴스 「森友」交渉記録、電子鑑識へPCデータ復元、国有地売却交渉を究明 大阪地検 産経新聞 2017-08-23
_[18] 뉴스 壊したスマホ 証拠逃さぬ 日経産業新聞 2017-11-09
_[19] 웹사이트 GIAC Certified Forensic Analyst (GCFA) http://www.giac.org/[...] 2010-07-31
_[20] 웹사이트 2,146 GCFA Credentials Granted - 199 GCFA Gold http://www.giac.org/[...] 2010-07-31
_[21] 웹사이트 International Society of Forensic Computer Examiners http://www.isfce.com 2010-08-23
_[22] 문서 Information Assurance Certification Review Board
_[23] 문서 International Association of Computer Investigative Specialists http://www.iacis.com
_[24] 문서 IFS Education Department http://www.forensic.[...]
_[25] 문서 EC-Council http://www.eccouncil[...]
_[26] 문서 p 39, 이준형, 디지털 포렌식의 세계
_[27] 문서 동아일보 매거진: 법과 과학-디지털 포렌식의 세계 http://shindonga.don[...]