[디지털포렌식] 디지털 포렌식 개요

디지털 포렌식이란?

디지털 포렌식 학회인 DFRWS에서는 디지털 포렌식을 아래와 같이 규명하고 있다.

범죄 재현이나 파괴적이고 비 인가된 행동들에 대한 예측을 손쉽게 하기 위해 디지털 증거물에 대한 보존, 수집, 확인, 식별, 분석, 해석, 기록, 현출을 과학적인 원리에 의해 도출되고 검증된 방법을 사용하여 수행하는 것

디지털 포렌식에 대한 정의는 각 기관이나 학회마다 조금씩 다르기 때문에, 명확한 정의는 없다. 필자는 "디지털 기기로부터 사건에 해당하는 데이터를 적법한 절차에 맞춰 조사 및 분석하고, 법정에서 사건의 사실을 규명하기까지의 절차" 라고 생각한다. 

포렌식과 디지털 포렌식 비교

- Forensic Science : 범죄 사실을 규명하기 위해 각종 증거를 과학적으로 분석하는 분야

- Digital Forensic  : 디지털 기기에 남아 있는 각종 데이터를 조사하여 사건을 규명하는 법과학 분야

 

둘 사이의 공통점은 법정에서 사실을 규명하기 위한 절차로, 적법한 절차에 따라 행해져야 한다는 점이다. 

위법한 방법으로 수집된 증거는 법적 효력을 갖추지 못하기 때문에, 해당 증거는 사실 규명에 아무런 도움이 되지 않는다. 

분야에 따른 분류

- 조사 분야에 따라 : Computer Forensic, Embeded Forensic, Network Forensic ...

- 데이터 유형에 따라 : Live Forensic, File System Forensic, Database Forensic ... 

 

모든 디지털 데이터가 조사대상에 해당되기 때문에 방대한 양의 데이터를 조사해야한다. 하지만 실질적으로 디지털 데이터 중에서 사실 규명에 도움이 되는 데이터는 정해져있다. 따라서, 사건이 발생하였다면 해당 사건이 어떤 사건인지 인지하고 이에 해당하는 데이터를 우선적으로 선별하여 조사하여야 한다. 

 

디지털 포렌식의 5대 원칙

1) Legitimacy(정당성) : 획득한 증거는 적법한 절차를 준수해야하며, 위법한 방법으로 수집된 증거는 법적 효력을 상실한다.

* 적법 절차의 원칙, 위법수집 증거 배제법칙

2) Integrity(무결성) : 증거가 수집된 이후에 법정에 제출될 때까지 변경이나 훼손없이 보호되어야 한다.

* 주로 Hash 값을 이용하여 무결성을 증명하는 방식을 사용한다. (디지털 증거는 훼손과 변경이 쉽기 때문에)

3) Reproductibility(재현성) : 동일한 조건과 동일한 상황에서 디지털 포렌식 분석은 항상 같은 결과를 내야한다. 

* 동일한 환경에서 다른 전문가가 다른 도구를 이용하여 검층하는 방식이다.  

4) Immediacy(신속성) : 지체없이 신속하게 진행되어야 한다. 

5) Chain of Custody(연계 보관성) : 일련의 과정 및 과정마다 담당자와 증거상태 등에 대한 정보가 명확해야 하고 이에 대한 확인이 있어야 한다. 

*무결성을 증명하기 위해 Hash 값이 바뀐 경우에도, 이를 증거로 사용하기 위해 필요. Hash 값이 바뀌어도 무결성이 위배되어 증거능력을 잃어버리는 것이 아니라, CoC를 이용해 어떤 이유로 Hash값이 바뀌었는지 확인하고 판단하기 위해 사용.

 

법률 및 수사 절차는 국가별로 다를 수 있지만, 디지털 포렌식의 원칙은 전세계 공통으로 적용되는 사항이다. 

디지털 포렌식의 과정

1) 사전 준비 : 디지털 포렌식 조사를 위한 기본 훈련 단계

2) 증거 수집 : 사건 현장에서 조사해야하는 대상을 수집하는 단계

3) 증거의 포장 및 이송 : 조사 대상을 분석할 수 있는 곳까지 안전하게 운반하는 단계

4) 조사 분석 : 디지털 기기로부터 데이터를 추출, 분류하고 사건의 실마리를 찾거나 실체를 규명하는 단계

5) 정밀 검토 : 분석과정에서 도출된 결과가 올바른지, 분석과정에 실수가 없었는지 확인하며, 반론이 제기될 여지가 있는지 검토하는 단계

6) 보고서 작성 : 발견된 결과를 정리하는 단계

 

디지털 포렌식 조사의 궁극적인 목표는 디지털 데이터에 대한 조사 결과가 법정에서 증거로 채택되도록 하는 것이며, 이를 위하여 증거 수집부터 적법한 절차를 지켜야 한다. 연계 보관성을 위해 증거 수집단계부터 계속해서 기록하며 문서로 남겨야 한다.