제이제이 IT 스토리

1. 디지털 포렌식의 유형

1) 분석목적에 따른 분류

일반적으로 디지털 포렌식은 분석목적에 따라 다음과 같이 크게 두 가지로 분류할 수 있다.

첫째로 “사고 대응 포렌식”(Incident response forensics)은 해킹 등의 침해 사고 시스템의 로그, 백도어, 루트킷 등을 조사하여 침입자의 신원, 피해내용, 침입경로 등을 파악하기 위한 분야로서 네트워크 기술과 서버의 로그분석 기술과 운영체제에 대한 이해가 필요하다.

둘째로 “정보 추출 포렌식”(Information extraction forensics)은 범행 입증에 필요한 증거를 얻기 위하여 디지털 저장매체에 기록되어 있는 데이터를 복구하거나 검색하여 찾아내고, 범행을 입증 할 수 있는 증거를 데이터를 분석하는 것을 목적으로 한다.

2) 분석대상에 따른 분류

- 디스크 포렌식

 디스크 포렌식은 물리적인 저장장치인 하드디스크, 플로피디스크, CD-ROM 등 각종 보조 기억장치에서 증거를 수집하고 분석하는 포렌식 분야이다.

- 시스템 포렌식

 시스템 포렌식은 컴퓨터와 운영체제, 응용 프로그램 및 프로세스를 분석하여 증거를 확보하는 포렌식 분야이다. 컴퓨터 시스템은 Windows, Linux, OS X 등 여러가지 운영체제를 사용한다. 각 운영체제별 파일시스템의 이해가 중요하다.

- 네트워크 포렌식

 네트워크 포렌식은 네트워크를 통하여 전송되는 데이터나 암호 등을 분석하거나 네트워크 형태를 조사하여 단서를 찾아내는 포렌식 분야이다. 대부분의 네트워크는 사용자를 감시하기 위하여 추적을 위한 기능을 지원한다.

- 인터넷 포렌식

 인터넷 포렌식은 인터넷으로 서비스되는 월드와이드웹(WWW), FTP 등의 인터넷 응용프로토콜을 사용하는 증거를 수집하는 포렌식 분야이다.

- 모바일 포렌식

 모바일 포렌식은 휴대폰, PDA, 스마트폰, 디지털카메라 등 휴대용 기기에서 필요한 정보를 수집하여 분석하는 포렌식 분야이다. 유비쿼터스 컴퓨팅 시대의 도래와 이동성 기기의 확대 보급으로 다양한 종류의 멀티미디어 기기가 개발되어 보급되고 있다. 소형 휴대용 기기의 데이터에 대한 범죄 증거의 확보는 매우 중요하다. 특히 휴대용 기기는 작고 휴대가 간편하여 은닉이 편리하다는 장점이 있으므로, 증거확보가 필요한 경우 은닉 여부를 세심히 확인할 필요가 있다.(요즘 수사기관으로부터 가장 큰 관심을 받는 분야)

- 데이터베이스 포렌식

 데이터베이스 포렌식은 데이터베이스로부터 데이터를 추출.분석하여 증거를 획득하는 포렌식 분야이다. 기업의 모든 데이터는 개인 PC와 정보 시스템 부서의 대형 시스템 내에 저장되어 있으므로 기업의 정보 시스템에 저장되어 있는 데이터베이스를 분석하는 것은 필수적인 과정이 되었다.

- 암호 포렌식

 암호 포렌식은 문서나 시스템에서 암호를 찾아내는 포렌식 분야이다. 증거 수집에서 비인가자의 접근을 막기 위해 문서나 각종 시스템에 암호를 설정해 놓는 경우가 흔히 있다. 이러한 문서나 시스템을 열어보는 것은 쉽지 않지만, 이러한 문서나 시스템은 아주 중요한 내용을 담고 있는 경우가 많기 때문에 절대로 소홀히 지나칠 수 없다.

- 침해사고 대응 포렌식

 침해사고란 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스 거부 또는 고출력 전자기파 등의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위를 하여 발생한 사태를 말한다. 침해사고를 조기 탐지하여 신속대응의 기반을 마련하고, 피해확산을 차단하여 피해를 최소화하고, 침해사고의 원인에 대한 근본적인 조치를 통하여 사고의 재발을 방지하기 위해서는, 피해시스템에 대한 자료수집과 악성코드 감염 여부 조사 및 해킹 침입경로 파악 등 디지털 포렌식 조사과정이 요구된다.

- 사물인터넷 포렌식

 최근 디지털 포렌식은 PC 및 서버 등 전통적인 기기와 같은 저장매체의 범위를 넘어서 스마트폰, 테블릿과 같은 휴대용 스마트 단말기는 물론 자동차 시스템, 가정용 셋탑박스, 스마트TV, 스마트시계, 산업용기기, 스마트 등산복과 같은 웨어러블 기기(Wearable device) 등 사물인터넷(IoT) 기기를 대상으로 그 범위가 빠르게 확대될 필요성이 요구되고 있다.

2. 디지털 포렌식의 수행과정

포렌식에서 증거를 처리하는 절차는 증거물을 획득하고 이를 분석한 후에 보관을 하는 것이다. 증거물 보고서의 경우 증거물과 같이 제시되어야 하며, 각각의 증거물에는 꼬리표를 붙여 일련의 과정에 문제가 없음을 증명하여야 한다.

- 증거의 획득

 조사할 디지털 저장매체와 기록정보를 식별하고, 이를 증거로서 수집하는 절차이다. 이 절차는, 범죄에 사용된 대상 컴퓨터를 압수하여 원본 데이터에서 사본 데이터를 생성하거나 휘발성 메모리의 내용을 저장하고, 백업 데이터를 찾는 등의 다양한 행위를 포함하고 있다.

- 증거 분석

 현장에서 획득한 증거물에 대해 전문조사실로 이송하여 분석함에 있어서는 다양한 기법이 활용된다. 일반적으로 포렌식에 사용되는 프로그램들은 증거물 획득 및 분석 기능을 제공하고 있다.

이러한 분석에서는 범죄자의 삭제파일 복구, 은닉 및 암호화되어 있는 데이터 찾기, 파일 시스템 분석, 키워드 검색, 파일 콘텐츠 조사, 로그 분석, 통계 분석 등이 포함되어 있다.

- 증거 보관

 증거물로 채택되었다면 증거물의 무결성을 보증할 수 있는 환경에서 보관 관리하여야 한다.

일반 범죄 즉 사회에서 발생하는 경우에도 증거물의 보관 관리에서 오염으로 인해 증거의 효력이 발생하지 못하는 경우가 있듯이 전자적 증거물도 보관 도중 물리적으로 훼손이 되거나 바이러스에 의한 파괴, 혹은 무결성을 유지하지 못하여 조작의 의심 등을 받을 수 있는 경우가 발생할 수 있다.

- 증거 제출과 증거조사

 증거물의 획득,분석 및 보관까지의 일련의 과정을 거치는 증거물에는 꼬리표를 각각 달아 어떠한 과정을 거쳤는지 문서화하여야 한다. 이러한 문서화 작업은 증거물의 획득 과정을 알 수 있도록 하여 증거물로 채택되었을 때 증거물로서의 타당성을 제공해야 한다.

- 제3자의 검증

 전자적 증거에 대해서는 제출자가 진정성에 대해 입증하여야 한다. 진정성은 증거물이 원본과 동일하고 위.변조되지 않은 무결하다는 점을 포함하여야 한다. 이를 위해 당해 전문조사관이 법정 증언을 하거나 외부 포렌식 전문가 등 제3자가 동일성을 증언할 수 있을 것이다.

디지털 포렌식의 정의

[배경]

전통적으로 포렌식의 개념은 법의학 분야에서 주로 사용되었다. 즉 지문, 모발, DNA 감식, 변사체 검시 등에 주로 이용되었다. 그러나 최근 다양한 정보기기들의 활용으로 포렌식 개념은 물리적 형태의 증거(유형의 증거)뿐만 아니라 전자적 증거(Electronic Evidence)를 다루는 디지털 포렌식 분야로 점차 확대되고 있다.

IT 기술의 발전 및 급격한 정보화 사회로의 변화는 정보의 디지털화를 가속시켜 컴퓨터 관련 범죄뿐만 아니라 일반 범죄에서도 중요 증거 또는 단서가 컴퓨터를 포함한 디지털 정보기기 내에 보관하는 경우가 증가함에 따라, 증거수집 및 분석을 위한 전문적인 디지털 포렌식 기술이 요구된다.

디지털 포렌식은 검찰, 경찰, 국세청, 선거관리위원회, 공정거래위원회, 저작권위원회 등 각종 국가 기관에서 범죄 수사에 활용되고 있으며, 일반 기업체 및 금융회사 등의 민간분야에서도 디지털 포렌식 기술의 필요성이 증가하고 있다. 예로서, 포렌식 기술은 보험사기 및 인터넷 뱅킹 피해보상에 대한 법적 증거 자료 수집 내부 정보 유출 방지, 회계 감사 등의 내부 보안 강화에 활용이 가능하다.

1980년대에는 군 또는 정보부에서 전자정보를 수집하였다. 수사 과정에서 전자적 증거의 중요성이 부각되면서 국제컴퓨터수사전문가협회가 출범하고 처음으로 Digital Forensics라는 용어를 사용하였다. 그 이후에 경찰청 사이버범죄수사대, 경찰청 사이버테러대응센터, 대검찰청 산하의 디지털포렌식센터 등 전자적 증거를 수집＊분석하기 위한 기관들이 생겨났다.

현재 디지털 포렌식은 정보매체에 존재하는 전자적 증거를 자료로 삼아 과거 어떤 행위의 사실 관계를 역으로 규명하고 증명하는 새로운 절차로서 자리매김해 가고 있다.

[디지털 포렌식의 의의와 유용성]

1) 의의

특수저장매체인 컴퓨터에 기억된 전자적 정보를 정확히 식별하여 수집하고, 분석을 통해 관련된 정보를 특정하여 보전하고 법정에 증거로 제출하여, 언제든지 검증이 가능한 형태로 자료를 준비하는 절차를 디지털 포렌식(Digital Forensics)이라고 한다.

2) 디지털 포렌식의 유용성

- 로그감시

다양한 도구와 기술을 사용하여 시스템 로그를 감시할 수 있다. 예를 들어 다수의 시스템으로 부터 로그를 추출하고 분석하여 상호 연관성을 판단하고, 이로써 사고처리, 정책위반사실 적발, 감사 등에 활용할 수 있다.

최근 꾸준히 문제가 되고 있는 피싱이나 해킹 등의 문제를 해결하는 데에 이러한 로그기록의 감시기법 또한 도움이 될 수 있다.

- 데이터 복구

포렌식 툴 중에는 시스템에서 소실된 데이터를 복구할 수 있는 능력을 갖춘 것들이 많다. 또한 의도적으로 삭제하였거나 변조된 데이터도 복원이 가능하다. 물론 상황에 따라 복구율에는 많은 차이가 있을 수 있지만, 일부 강력한 포렌식 도구는 심각하게 훼손된 컴퓨터나 디스크에서도 소실, 삭제된 데이터를 복구해낼 수 있다.

- 데이터의 추출 및 파기

일부 기관은 포렌식 도구를 사용하여 재배치 또는 폐기하는 시스템으로부터 데이터를 추출하여 보관하기도 한다.

대부분의 포렌식 도구는 어떠한 파일이 언제 생성되고 수정되었는지 시계열별로 표시하는 기능을 가지고 있기 때문에 업무의 흐름을 파악하는데 큰 도움이 된다. 이러한 형태로 데이터가 정렬된다면 보관된 데이터의 가용성이 크게 증대될 수 있다.

- 법적 책임 이행태세 확립

다양한 법령과 규정에 의하여 각 기관들에게는 추후 감사에 활용할 수 있도록 반영한 데이터를 보호하고 특정한 기록을 보존할 책임이 부여된다. 또한 보호된 민감정보가 자칫 유출된 경우 다른 국가기관이나 피해당사자에게 이를 통지할 의무가 있을 수 있다.

포렌식 절차가 수립되어 있는 경우 이러한 정보유출 등 사고에 원활하게 대응할 수 있고, 법적 책임과 의무를 수행하는데 큰 도움이 된다.

- 업무운용상 문제해결

대부분의 포렌식 도구와 기술은 일반적인 업무운용상의 문제를 해결하는 데에도 활용이 가능하다. 예를 들어, 네트워크 설정이 잘못 잡혀 있는 시스템의 위치를 파악한다던지, 응용 프로그램의 기능오류를 해결한다던지, 현재 설치된 운영체제를 검토하고 설정을 확인하는 데에도 사용이 가능하다.

[디지털 포렌식의 일반원칙]