디지털 포렌식

3. 디지털 포렌식 절차

디지털 포렌식 조사는 일반적으로 다음 세 단계로 구성된다.

• '''증거 획득 (이미징)''': 원본 데이터의 무결성을 유지하며 증거가 될 수 있는 데이터를 이미징 또는 복제하는 단계이다.^[59]
• '''분석''': 획득한 데이터에서 법적 증거 가치가 있는 정보를 찾아내고 복구하는 단계이다.^[65]
• '''보고''': 분석 결과를 바탕으로 사건 경위를 재구성하고 보고서를 작성하는 단계이다.^[60][61][22]

3. 1. 증거 획득 (이미징)

3. 2. 분석

• 디지털 미디어 전체(파일 내부, 할당되지 않은 공간, 슬랙 공간)에서 키워드 검색 수행
• 삭제된 파일 복구
• 레지스트리 정보 추출 (예: 사용자 계정 목록, 연결된 USB 장치 기록 등)

• '''귀속''': 메타데이터 및 기타 로그를 사용하여 특정 활동을 특정 개인에게 연결한다. 예를 들어, 컴퓨터 디스크 내 개인 문서 파일의 메타데이터를 통해 소유자를 식별할 수 있다.
• '''알리바이와 증언 검증''': 관계자가 제공한 정보를 디지털 증거와 대조하여 알리바이나 진술의 진위를 확인할 수 있다. 예를 들어, 용의자의 알리바이는 특정 시간에 사용된 휴대 전화 통화 기록 등으로 입증되거나 반박될 수 있다.
• '''의도 (Mens rea|멘스 레아^la)''': 범죄 행위 자체(법률 용어로 Actus reus|악투스 레우스^la)의 증거 외에도, 범죄의 고의를 증명하기 위한 증거를 찾는다. 예를 들어, 유죄 판결을 받은 살인자 닐 엔트위슬(Neil Entwistle)의 브라우저 기록에는 "살해 방법"을 검색한 기록이 남아 있었다.
• '''출처 확인''': 메타데이터 등을 분석하여 특정 데이터가 어디서 왔는지(예: 해당 기기에서 직접 생성되었는지, 인터넷에서 다운로드되었는지 등) 식별한다. 예를 들어, 이전 버전의 Microsoft Word 문서에는 작성된 컴퓨터를 식별하는 GUID가 포함되기도 했다.^[72] 파일의 출처를 증명하는 것은 매우 중요하다.
• '''문서 인증''': 디지털 문서의 메타데이터(예: 파일 생성 날짜)는 쉽게 변경될 수 있다(예: 컴퓨터의 시간 설정을 변경하여 파일 생성일을 위장). 문서 인증은 이러한 정보의 위변조 여부를 탐지하고 식별하는 과정이다.

3. 3. 보고

4. 디지털 포렌식 분야

디지털 포렌식 수사는 단순히 컴퓨터 데이터 검색에 그치지 않고, 태블릿, 스마트폰, 플래시 드라이브 등 범죄에 악용될 수 있는 다양한 소형 디지털 기기까지 포괄한다.^[13] 이러한 기기의 광범위한 사용은 디지털 포렌식의 중요성을 더욱 부각시킨다.

디지털 포렌식은 형사 및 민사 소송에서의 증거 확보, 기업 내부 조사, 네트워크 침입 탐지 등 다양한 목적으로 활용된다. 또한 범죄 증거를 특정 용의자와 연결하거나^[26], 복잡한 사건의 전모를 파악하는 데 중요한 역할을 한다.^[27]

조사 대상 기기나 데이터 유형에 따라 디지털 포렌식은 여러 하위 분야로 나뉜다. 주요 분야로는 컴퓨터 포렌식, 네트워크 포렌식, Forensic data analysis|포렌식 데이터 분석^영어, 모바일 기기 포렌식 등이 있다.^[13]

4. 1. 컴퓨터 포렌식

4. 2. 모바일 기기 포렌식

4. 3. 네트워크 포렌식

4. 4. 데이터베이스 포렌식

4. 5. 기타 분야

5. 법적 고려 사항

디지털 미디어의 검사는 국내 및 국제 법률의 적용을 받는다. 특히 민사 소송이나 기업 내부 조사와 같은 민간 수사의 경우, 법률은 분석가가 검사를 수행하는 능력에 제한을 둘 수 있다. 예를 들어, 네트워크 모니터링이나 개인 간의 통신 내용을 열람하는 행위는 법적 제약을 받는 경우가 많다. 형사 수사 중에는 국가별 법률이 증거로 압수할 수 있는 정보의 양과 종류를 제한한다. 예를 들어, 영국에서는 법 집행기관의 증거 압수 절차가 PACE 법의 규제를 받는다. 디지털 포렌식 분야 초기에는 "국제 컴퓨터 증거 기구"(IOCE, International Organization on Computer Evidence)와 같은 단체들이 증거 압수에 관한 국제적으로 호환되는 표준을 마련하기 위해 노력하기도 했다.

유럽에서는 2004년에 발효된 사이버 범죄 협약이 중요한 역할을 한다. 이 협약은 각국의 컴퓨터 범죄 관련 법률, 수사 기법, 국제 공조 방안 등을 조화시키는 것을 목표로 한다. 미국, 캐나다, 일본, 남아프리카 공화국, 영국 등 여러 유럽 국가를 포함한 43개국이 서명했으며, 이 중 16개국이 비준했다.

영국에서는 컴퓨터 범죄를 다루는 1990년 컴퓨터 오용 방지법이 포렌식 수사관의 활동에도 영향을 미칠 수 있다. 이 법은 컴퓨터 자료에 대한 무단 접근을 금지하는데, 이는 법 집행 기관보다 상대적으로 제약이 많은 민간 수사관에게 더욱 중요한 고려 사항이 될 수 있다.

개인의 사생활 보호 권리는 디지털 포렌식 분야에서 여전히 법적 논쟁이 많은 영역이다. 미국의 전자 통신 프라이버시 법(ECPA, Electronic Communications Privacy Act)은 법 집행 기관이나 민간 수사관이 통신 내용을 가로채거나 저장된 데이터에 접근하는 것을 제한한다. ECPA는 저장된 통신(예: 이메일 보관함)과 실시간으로 전송되는 통신(예: VoIP)을 구분하는데, 후자는 사생활 침해 가능성이 더 크다고 보아 영장 발부가 더 까다롭다. 또한 ECPA는 기업이 직원의 컴퓨터 사용이나 통신 내용을 모니터링하는 행위에도 영향을 미치며, 허용되는 감시 범위에 대해서는 여전히 논쟁이 진행 중이다.

유럽 인권 협약 제5조 역시 ECPA와 유사하게 사생활 보호에 관한 제한을 명시하며, 유럽 연합(EU) 내외에서 개인 데이터의 처리 및 공유를 규제한다. 영국의 경우, 법 집행 기관의 디지털 포렌식 수사 권한은 2000년 수사 권한 규제법(RIPA, Regulation of Investigatory Powers Act 2000)에 의해 규율된다.

• 무결성 (Integrity): 디지털 매체를 압수하고 분석하는 과정에서 원본 증거나 그 사본이 변경되지 않았음을 보장하는 것이다.
• 진본성 (Authenticity): 해당 정보가 위변조되지 않았으며 원본과 동일하다는 것을 확인할 수 있는 능력이다. 예를 들어, 이미징(복제)된 매체가 원본 증거와 정확히 일치하는지 증명하는 것이다.

6. 디지털 포렌식 도구

1980년대에는 전문적인 디지털 포렌식 도구가 거의 없었다. 이 때문에 수사관들은 주로 라이브 분석 방식을 사용했는데, 이는 운영 체제 내에서 기존 시스템 관리 도구를 이용해 증거를 추출하는 방식이었다.^[3][54] 하지만 이 방식은 원본 디스크의 데이터를 의도치 않게 변경할 위험이 있었고, 증거 조작 논란을 일으킬 수 있었다.

이러한 문제를 해결하기 위해 1990년대 초 여러 도구가 개발되었다. 1989년 연방 법 집행 훈련 센터(FLETC)에서 필요성이 제기되어 IMDUMP^[3][54] (마이클 화이트 개발)와 1990년 SafeBack^[4][55] (시덱스 개발) 등이 만들어졌다. 영국에서는 1991년 DIBS (하드웨어 및 소프트웨어 솔루션)가 상용화되었고, 호주에서는 롭 맥케미시가 'Fixed Disk Image'를 개발하여 법 집행 기관에 무료로 배포했다.^[56] 이러한 도구들은 디지털 매체의 정확한 사본(이미지)을 생성하여 분석 작업을 진행하고, 원본 디스크는 훼손되지 않은 상태로 보존하여 검증에 사용할 수 있게 했다.

1990년대 말, 디지털 증거에 대한 수요가 증가하면서 EnCase나 FTK와 같은 더 발전된 상용 도구들이 개발되었다.^[57] 이를 통해 분석가들은 라이브 분석 대신 미디어의 사본을 이용하여 안전하게 증거 분석을 수행할 수 있게 되었다. 최근에는 '라이브 메모리 포렌식'에 대한 관심이 높아지면서 WindowsSCOPE와 같은 도구들이 활용되고 있다.

모바일 기기 포렌식 분야에서도 유사한 발전이 있었다. 초기에는 수사관들이 기기 데이터에 직접 접근했지만, 곧 XRY나 Radio Tactics Aceso와 같은 전문 도구들이 등장했다.^[58]

디지털 증거가 법정에서 증거 능력을 인정받기 위해서는 증거 추출에 사용된 도구의 신뢰성이 중요하다. 미국에서는 다우버트 기준(Daubert standard)에 따라 판사가 포렌식 절차와 사용된 소프트웨어의 타당성을 검토해야 한다.^[90] 2003년 브라이언 캐리어(Brian Carrier)는 다우버트 기준을 충족하려면 포렌식 도구의 소스 코드를 공개하고 동료 검토를 거쳐야 한다고 주장하며, 오픈 소스 도구가 폐쇄형 소스 도구보다 이러한 요구 사항을 더 명확하고 포괄적으로 충족시킬 수 있다고 보았다.^[90] 2011년 조쉬 브런티(Josh Brunty)는 포렌식 도구와 기술의 과학적 검증이 모든 실험실 프로세스에 매우 중요하며, 재현 가능한 프로세스와 양질의 증거 원칙에 기반한 검증 프로세스 설계 및 유지가 필수적이라고 강조했다.^[91]

포렌식 도구의 기능을 검증하기 위한 노력도 이루어지고 있다. 미국 국립표준기술연구소(NIST)에서 개발한 컴퓨터 포렌식 도구 테스트(CFTT) 프로그램이 대표적이다.^[8] 다양한 운영 환경에 맞는 테스트 환경을 사용자 정의하기 위한 프레임워크를 만들려는 시도^[9][10][11]도 있었으나, 대규모 네트워크나 클라우드 환경과 같이 조사에서 점차 보편화되는 환경을 대상으로 하는 도구 테스트에는 확장성 문제가 있었다. 2024년 현재, 분산 처리/수집을 위해 포렌식 도구에서 원격 에이전트 사용을 다루는 유일한 프레임워크는 아담스(Adams)가 개발한 것이다.^[12]

7. 한계점

디지털 포렌식 수사에서 주요한 제약 중 하나는 암호화 기술의 사용이다. 암호화는 키워드 검색을 통한 초기 증거 수집 단계를 방해하는 요소로 작용한다. 개인에게 암호화 키 공개를 강제하는 법률의 도입은 비교적 최근의 일이며 여전히 논란의 대상이 되고 있다.^[73] 암호화된 정보에 접근하기 위해 무차별 대입 공격으로 비밀번호를 알아내거나, 스마트폰이나 PC의 부트로더 기술을 이용해 기기 내용을 먼저 확보한 뒤 암호를 해독하려는 시도 등 암호화를 우회하려는 기술적 해결책들이 등장하고 있다. 그럼에도 불구하고, 암호화된 기기가 관련된 사건 중 약 60%는 증거에 접근할 방법을 찾지 못해 해결되지 못하는 것으로 추정된다.^[7]

또한 디지털 포렌식 분야는 여러 가지 해결되지 않은 문제들에 직면해 있다. 2009년 피터슨(Peterson)과 셰노이(Shenoi)는 디지털 포렌식 연구가 윈도우 환경에 편중되어 있다는 점을 지적하며 우려를 표했다. 2010년 심슨 가핑클(Simson Garfinkel)은 미래 디지털 수사가 직면할 문제점들을 제시했는데, 여기에는 계속해서 증가하는 디지털 미디어의 저장 용량, 일반 사용자에게까지 확산된 암호화 기술의 보편화, 운영체제(OS)와 파일 형식의 다양화, 한 사람이 여러 디지털 기기를 소유하는 경향 증가, 그리고 관련된 법적 제한 문제 등이 포함된다.

휴대 기기의 확산 역시 새로운 과제를 안겨주었다. 1990년대 후반부터 모바일 기기는 단순 통신 수단을 넘어 막대한 정보를 담는 장치로 발전했지만, 기기 제조사별 기술적 특수성 때문에 모바일 기기에 대한 디지털 분석 기술은 기존 PC 기반 분석 기술에 비해 뒤처져 있는 실정이다.

이 외에도 디지털 포렌식 전문가가 되기 위한 지속적인 교육의 필요성과 해당 분야에 진입하기 위한 높은 비용 역시 해결해야 할 과제로 남아 있다.

참조

_[1] 웹사이트 The Different Branches of Digital Forensics https://www.bluevoya[...] 2023-09-09
_[2] 웹사이트 The Florida Computer Crimes Act, Probably the First U. S. Legislation against Computer Crimes, Becomes Law https://historyofinf[...]
_[3] 서적 Computer and Intrusion Forensics https://books.google[...] Artech House 2020-10-25
_[4] 서적 Forensic Laboratories: Handbook for Facility Planning, Design, Construction and Moving https://books.google[...] DIANE Publishing 2020-10-25
_[5] 학술대회 ISEEK, a tool for high speed, concurrent, distributed forensic data acquisition https://www.research[...] 2020-06-16
_[6] 서적 Proceedings of the 2009 ACM symposium on Applied Computing null ACM
_[7] 학술지 Do encrypted disks spell the end of forensics? https://doi.org/10.1[...] 2024-06-22
_[8] 웹사이트 Computer Forensics Tool Testing Program (CFTT) https://www.nist.gov[...] NIST Information Technology Laboratory 2024-01-30
_[9] 웹사이트 On-scene Triage open source forensic tool chests Are they effective https://www.research[...]
_[10] 웹사이트 Archived copy https://research.tee[...] 2024-01-30
_[11] 서적 2011 Sixth International Conference on IT Security Incident Management and IT Forensics https://ieeexplore.i[...] 2024-05-12
_[12] 웹사이트 Archived copy https://espace.curti[...] 2024-01-30
_[13] 학술지 null http://csrc.nist.gov[...] NIST 2006-02-26
_[14] 학술지 Computer forensics education
_[15] 간행물 A Road Map for Digital Forensic Research DFRWS
_[16] 웹사이트 A quick guide to digital image forensics https://www.camerafo[...] 2022-12-21
_[17] 학술지 Image Forensics https://doi.org/10.1[...] 2022-12-21
_[18] 학술지 Synthetic media: The real trouble with deepfakes https://knowablemaga[...] Annual Reviews 2022-12-19
_[19] 학술지 Deepfakes and Democracy (Theory): How Synthetic Audio-Visual Media for Disinformation and Hate Speech Threaten Core Democratic Functions.
_[20] 학술지 The Emergence of Deepfake Technology: A Review https://timreview.ca[...] 2022-12-21
_[21] 학술지 A Survey on the Internet of Things (IoT) Forensics: Challenges, Approaches, and Open Issues
_[22] 학술지 An examination of digital forensic models
_[23] 학술지 Defining digital forensic examination and analysis tools
_[24] 뉴스 데이터消しても悪事は消せず 読売新聞
_[25] 서적 Shorter Oxford English Dictionary Oxford University Press
_[26] 서적 Handbook of Digital Forensics and Investigation Academic Press
_[27] 웹사이트 Basic Digital Forensic Investigation Concepts http://www.digital-e[...]
_[28] 웹사이트 Florida Computer Crimes Act http://www.clas.ufl.[...] 2010-08-31
_[29] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[30] 서적 Hacking Exposed: Computer Forensics https://books.google[...] McGraw Hill Professional 2010-08-27
_[31] 웹사이트 A Brief History of Computer Crime: A http://www.mekabay.c[...] Norwich University 2010-08-30
_[32] 서적 Computer and intrusion forensics Artechhouse
_[33] 학술지 The future for the policing of cybercrime
_[34] 학술지 Digital forensics research: The next 10 years
_[35] 서적 Computer forensics for dummies For Dummies
_[36] 논문 The future for the policing of cybercrime
_[37] 논문 An examination of digital forensic models
_[38] 논문 Forensic analysis in the digital world https://utica.edu/ac[...] 2010-08-02
_[39] 서적 Computer Evidence: a Forensic Investigations Handbook Sweet & Maxwell
_[40] 논문 A forensic methodology for countering computer crime
_[41] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[42] 웹사이트 Best practices for Computer Forensics https://web.archive.[...] SWGDE 2010-08-04
_[43] 웹사이트 ISO/IEC 17025:2005 http://www.iso.org/i[...] ISO 2010-08-20
_[44] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[45] 논문 The future for the policing of cybercrime
_[46] 논문 Mobile device analysis https://web.archive.[...]
_[47] 논문 Mobile forensics: an overview, tools, future trends and challenges from law enforcement perspective http://www.csi-sigeg[...]
_[48] 간행물 The Joint Operating Environment http://www.jfcom.mil[...] 2010-02-18
_[49] 서적 Digital Forensic Research: The Good, the Bad and the Unaddressed Springer Boston
_[50] 논문 Digital forensics research: The next 10 years
_[51] 서적 暴力団捜査 極秘ファイル　初めて明かされる工藤會捜査の内幕 kindle版 彩図社 2023-06-27
_[52] 웹사이트 警察庁HP - サイバー警察局とは https://www.npa.go.j[...]
_[53] 웹사이트 警察庁HP - サイバー空間をめぐる脅威の情勢等 https://www.npa.go.j[...]
_[54] 서적 Computer and Intrusion Forensics https://books.google[...] Artech House
_[55] 서적 Forensic Laboratories: Handbook for Facility Planning, Design, Construction and Moving https://books.google[...] DIANE Publishing
_[56] 서적 Computer and intrusion forensics Artechhouse
_[57] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[58] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[59] 웹사이트 The Advanced Data Acquisition Model (ADAM): A process model for digital forensic practice http://researchrepos[...] Murdoch University
_[60] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[61] 웹사이트 Electronic Crime Scene Investigation Guide: A Guide for First Responders http://www.ncjrs.gov[...] National Institute of Justice
_[62] 웹사이트 Catching the ghost: how to discover ephemeral evidence with Live RAM analysis http://forensic.belk[...] Belkasoft Research
_[63] 웹사이트 The emergence of cloud storage and the need for a new digital forensic process model http://researchrepos[...] Murdoch University
_[64] 웹사이트 Technology Crime Investigation https://web.archive.[...] 2010-08-17
_[65] 논문 An examination of digital forensic models
_[66] 웹사이트 Basic Digital Forensic Investigation Concepts http://www.digital-e[...] 2006-06-07
_[67] 논문 An examination of digital forensic models
_[68] 서적 Computer forensics: incident response essentials Addison-Wesley
_[69] 서적 Handbook of Digital Forensics and Investigation https://books.google[...] Academic Press
_[70] 웹사이트 Basic Digital Forensic Investigation Concepts http://www.digital-e[...] 2006-06-07
_[71] 서적 Handbook of Digital Forensics and Investigation https://books.google[...] Academic Press
_[72] 서적 Handbook of Digital Forensics and Investigation https://books.google[...] Academic Press
_[73] 논문 Digital forensics research: The next 10 years 2010-08-00
_[74] 논문 Building theoretical underpinnings for digital forensics research 2004-02-00
_[75] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[76] 서적 Digital crime and forensic science in cyberspace Idea Group Inc (IGI)
_[77] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[78] 서적 High-Technology Crime: Investigating Cases Involving Computers http://www.ncjrs.gov[...] KSK Publications 2010-08-04
_[79] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[80] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[81] 웹사이트 Legal Aspects of Digital Forensics http://euro.ecom.cmu[...] 2010-08-31
_[82] 논문 Building theoretical underpinnings for digital forensics research 2004-02-00
_[83] 논문 Building theoretical underpinnings for digital forensics research 2004-02-00
_[84] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[85] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[86] 판례 US v. Bonallo https://scholar.goog[...] 1988-00-00
_[87] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[88] 웹사이트 Federal Rules of Evidence #702 http://federaleviden[...] 2010-08-23
_[89] 웹사이트 Electronic Evidence Guide http://www.coe.int/t[...] Council of Europe 2013-04-00
_[90] 웹사이트 Open Source Digital Forensic Tools: The Legal Argument http://www.digital-e[...] 2002-10-00
_[91] 웹사이트 Validation of Forensic Tools and Software: A Quick Guide for the Digital Forensic Examiner http://www.forensicm[...] 2011-03-00
_[92] 웹사이트 Computer forensics education http://ieeexplore.ie[...] IEEE Security & Privacy 2010-07-26
_[93] 서적 Handbook of Digital Forensics and Investigation https://books.google[...] Academic Press
_[94] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[95] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[96] 웹사이트 Technology Crime Investigation :: Mobile forensics http://www.daemon.be[...] 2010-08-18
_[97] 서적 Handbook of Digital Forensics and Investigation https://books.google[...] Academic Press
_[98] 서적 Handbook of Digital Forensics and Investigation https://books.google[...] Academic Press
_[99] 간행물 A Road Map for Digital Forensic Research DFRWS 2001-08-07
_[100] 서적 Digital Forensics and Incident Response: Incident response techniques and procedures to respond to modern cyber threats, 2nd Edition Packt Publishing 2020-01-29
_[101] 서적 Digital Evidence and Computer Crime, Second Edition https://books.google[...] Elsevier
_[102] 뉴스 2 Russians Face Hacking Charges http://www.themoscow[...] Moscow Times 2001-04-24
_[103] 논문 On metadata context in Database Forensics http://www.sciencedi[...] 2009-03-00
_[104] 논문 An examination of digital forensic models