❗ 이 글은 Dreamhack의 'Digital Forensics Specialist'강의를 바탕으로 공부하며 정리한 것입니다.

디지털 증거

디지털 증거란 범죄와 관련하여 디지털 형태로 저장되거나 전송되는 증거로서의 가치가 있는 정보를 말한다. (대검찰청 <디지털 증거의 수집∙분석 및 관리 규정>)

특성

• 매체 독립성
  : 정보는 값이 같다면 어느 매체에 저장되었던지 동일한 가치 지님
  -> 원본과 사본의 구별 불가능

• 비가시성, 비가독성
  : 대부분 눈에 보이지 않음
  -> 적절한 도구 필요
  -> 디지털 증거를 다룰 때는 컴퓨터 및 프로그램이 신뢰할 수 있는지, 조작하는 사람이 충분한 전문성을 가지고 있는지 검증해야 함

• 휘발성
  : 전원 공급이 중단될 경우 기억된 내용이 없어지는 성질. 꺼지면 사라짐
  -> 수집하고자 하는 데이터가 휘발성인 RAM 메모리에 저장된다면 전원이 꺼지면 데이터가 날아가기때문에 신속한 수집이 요구
  -> 현장에는 데이터를 가진 많은 기기들이 존재, 가장 휘발성이 높은 데이터부터 수집해야함.
  -> 하나의 PC에서 데이터를 수집할 경우, 휘발성이 높은 RAM 메모리부터 수집해야함_ (실행중이던 프로세스 정보, 사용자가 입력한 PW, 암호화 키 등...중요 데이터 다수 저장)

• 변조 용이성(취약성) : 복사/수정/삭제 등 변조 쉬움. 여기서의 변조는 '수사기관'이 행하는 변조를 의미
  -> 수집∙분석 과정에서 조작되지 않았다는 증명이 필요

  💡 해시함수 Hash function

  • 변조 용이성을 극복하기 위해 사용.
  • 임의 길이의 데이터를 고정된 길이의 데이터(해시값, Hash value)로 매핑하는 함수.
    ex) SHA-256 해시함수는 어떤 입력이든 256bit의 결과가 나온다.
  • 입력값이 1bit만 바뀌어도 완전히 다른 값이 출력

  ---

  💡 해시함수를 이용한 무결성 입증
  *무결성 : (증거수집시점부터 법정공판까지 디지털 증거가) 변조되지 않았음

  1. 데이터를 수집할 때에 해시값 계산
  2. 수집한 파일 목록과 각각의 해시값을 압수 대상자에게 확인
  3. (법정에서) 수집한 파일을 증거로 이용할 때 해시값 재계산, 두 해시값을 비교하여 무결성 입증

  해시값이 원본과 서로 다르면 법정에서는 증거가 임의로 조작되었다고 판단할 수 있다.

  ---

  💡 해시값 추출

  • CMD로 해시값 추출하기 (이외에도 여러 도구들이 존재) *SHA-n의 경우 SHA-n이 아니라 SHAn로 입력해야한다.

• 복제 용이성
  : 쉽게 복제 가능, 복제할 경우 원본과 동등한 가치 지님
  -> 디지털 증거를 압수할 경우 정보를 출력하거나 복제하여 제출받는 것이 원칙. 그렇지 못한 경우 정보저장매체를 압수하는 것이 예외

• 대규모성
  : 방대한 양의 데이터 저장 가능
  -> 대량의 데이터에서 필요한 증거 추출을 위해 전문적인 분석 도구와 기술이 요구
  -> 수사과정에서 사생활 침해 문제를 최소화하기위해, 피의자를 참여권을 보장하는 등 절차상 피의자에게 권리 부여. 적절하게 보장해주지 않는다면 디지털 증거는 법정에서 사용 불가

• 초국경성
  : 증거 위치가 국경을 초월할 수 있음
  -> 해외서버의 도움을 받아 데이터를 받아야 하는 경우나 데이터의 저장 위치가 명확하게 식별되지 않는 경우 등의 문제가 많음
  -> 관할권 인정에 대해 국제적인 문제가 되기도 함

  ex) A사무실에서 정보를 압수한다는 영장을 사용, A사무실의 PC를 조작하다보니 구글드라이브에 중요한 정보가 저장된 것을 발견. A사무실 내의 컴퓨터로 접속은 되지만, 엄격하게 데이터가 저장된 위치는 해외이기에 압수할 수 없음.

디지털 포렌식 Digital Forensics

• 디지털 증거를 수집/보존/분석/현출하는데 적용되는 과학기술 및 절차(대검찰청 예규 제3조 제3항)
  -> 디지털 포렌식을 수행하기 이전에 특정한 사실관계를 파악하고 싶다는 명확한 목적이 존재해야함

• 법정에서 무결성과 증거 능력을 유지할 수 있도록 디지털 증거를 수집하고 분석하는 프로세스. 포렌식 과학(법과학)의 한 분야로 사이버 범죄를 조사하는데 사용되지만, 형사 및민사 수사에도 도움이 될 수 있음.(IBM)

• 컴퓨터 범죄와 관련해 디지털 장치에서 발견되는 자료를 복구하고 조사하는 법과학의 한 분야. 디지털 기기의 데이터를 수집/분석/보존/해석하여 법적 증거로 활용할 수 있도록 하는 과학적 수사기법.
  -> 디지털 범죄와 관련하여 누가, 언제, 무엇을, 어떻게 했는지 밝혀내는 과정
  -> 컴퓨터, 스마트폰, 서버, USB, 클라우드 등에서 사용자의 흔적을 찾아내는 것이 주목적

포렌식 : Forensic Science. 법과학. 과학적 방법을 이용한 범죄 수사 기법.

💡 디지털 포렌식이 중요한 이유
공격자가 자신의 흔적을 지우기 위해 로그 기록, 레지스트리 등의 증거를 없애거나, 각종 암호화 기법을 통해 증거를 은닉한다. 하지만 디지털 세계에서는 반드시 흔적이 남고, 이 흔적을 추적해 사건의 실체를 밝혀내어 범인을 특정하는 것이 디지털포렌식 수사관이다.

---

💡 디지털 포렌식 수사관?
디지털 상에 남아있는 정보를 수집하고 분석해 디지털 범죄에 대한 단서를 찾음
-> 범행과 관련된 단서, 기록을 특정해 법적 증거자료로 만듦. 삭제/은닉한 데이터를 복구해 증거로 만들기도핢.
-> 확보한 자료가 법정에서 증거로 채택될 수 있도록 신뢰성을 확보하고, 유지∙보관하여 법정에 제출

종류

• 디스크 포렌식 Disk Forensic
  : 컴퓨터 저장장치(SSD, HDD...)에 저장된 데이터 분석. 디스크 내부 파일시스템의 구조 분석부터 디스크에 저장된 사용자 데이터까지 폭 넓은 분야를 통칭.
  -> HDD, SSD, USB, C드라이브... (윈도우, 리눅스, MacOS / 개인, 서버, 클라우드)

• 메모리 포렌식 Memory Forensic
  : 컴퓨터의 휘발성 메모리(RAM)에 저장된 데이터 분석. 암호화키를 발견하거나 주요 사용자의 정보를 획득할 수 있음. 최근 중요성 증가.

• 모바일 포렌식 Mobile Forensic
  : 모바일 기기(스마트폰...)에 저장된 데이터 분석. 현재 실무적으로 비중이 가장 크고 중요. 스마트폰 보안이 강화되면서 데이터 획득 기술의 난도가 점차 증가. IoT의 경우도 큰 범주에서 모바일 포렌식 분야로 봄

• 네트워크 포렌식 Network Forensic
  : 기업 내부의 네트워크 구조 파악/수집된 패킷 분석해 공격행위 파악... 네트워크와 관련된 디지털 포렌식을 수행.

증거 추출(EE)의 영역에서는 절차적인 부분들이 굉장히 중요. 엄격한 절차

• 침해사고 대응 Incident Response(IR)
  : 침해사고가 발생할 시 신속한 대응을 통해 해커의 침입 경로 파악 및 악성코드 잔존 여부 파악 등 침해사고와 관련된 디지털 포렌식 수행. -> 타임라인 구성, 조치 ...

*침해사고 :
[정보통신망 이용촉진 및 정보보호 등에 관한 법률 제2조 제7항]
“침해사고”란 다음 각 목의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위로 인하여 발생한 사태를 말한다.
가. 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스거부 또는 고출력 전자기파 등의 방법
나. 정보통신망의 정상적인 보호ㆍ인증 절차를 우회하여 정보통신망에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등을 정보통신망 또는 이와 관련된 정보시스템에 설치하는 방법