디지털 포렌식

디지털 포렌식
디지털 포렌식
	미국 전자법의학의 표준이 1980년대와 1990년대에 개발된 연방법강화훈련센터(FLETC)의 항공 사진
학문명	전자법의학
학문 분야	법과학

디지털 포렌식(영어: Digital Forensics)은 컴퓨터, 휴대전화, 서버 등 디지털 정보를 담고 있는 저장매체 또는 정보시스템을 대상으로 범죄 단서를 찾고 증거를 수집·분석하여 법정에 제출하기까지의 모든 절차와 방법을 연구하는 학문 분야이다. 흔히 디지털 증거 감식 또는 컴퓨터 포렌식으로 불리기도 하며, 사이버 범죄 수사, 민사 소송, 기업의 보안 사고 조사 등 다양한 분야에서 활용된다.

디지털 포렌식의 핵심은 수집된 디지털 증거의 무결성과 정당성을 확보하는 것이다. 이는 증거 수집 과정에서 원본 데이터가 절대 변경되지 않았음을 증명하고, 법적 절차를 준수했음을 입증하는 것을 의미한다.

역사

디지털 포렌식의 역사는 개인용 컴퓨터의 보급과 함께 시작되었다.

1980년대: 초기

1980년대에 들어서면서 컴퓨터를 이용한 범죄가 나타나기 시작했지만, 당시에는 표준화된 절차나 도구가 없었다. 수사관들은 일반적인 컴퓨터 지식을 활용하여 수작업으로 데이터를 분석하는 수준에 머물렀다.

파일:Mobiles.JPG

영국에서 증거 가방에 있는 휴대전화

섬네일을 만드는 중 오류 발생:

법의학 시험을 위해 현장에서 하드 드라이브를 이미징하고 있다.

1990년대: 체계화

1990년대 후반부터 디지털 포렌식이라는 용어가 본격적으로 사용되기 시작했다. 미국의 연방수사국과 같은 법 집행 기관을 중심으로 전문 팀이 구성되고, 증거 수집과 분석을 위한 체계적인 절차와 가이드라인이 만들어지기 시작했다. EnCase, FTK와 같은 상용 포렌식 소프트웨어의 초기 버전이 등장한 것도 이 시기이다.

2000년대 이후: 확장

2000년대에 들어 스마트폰, 태블릿 PC 등 모바일 기기가 대중화되면서 포렌식의 범위는 급격히 확장되었다. 기존의 컴퓨터 포렌식뿐만 아니라 모바일 포렌식, 네트워크 포렌식, 클라우드 포렌식 등 새로운 분야가 등장했다. 또한, 데이터의 양이 폭발적으로 증가함에 따라 빅데이터 분석 기술이나 인공지능을 분석에 활용하려는 시도도 이루어지고 있다.

기본 원칙

디지털 포렌식은 다음과 같은 4가지 기본 원칙을 준수해야 한다.

정당성의 원칙: 모든 증거는 적법한 절차에 따라 획득되어야 한다.
무결성의 원칙: 수집된 증거는 분석 과정에서 절대 위변조되어서는 안 된다. 이를 위해 주로 읽기 방지 장치를 사용하거나 원본의 해시값을 비교한다.
연계 보관성의 원칙: 증거물이 수집, 이송, 분석, 보관, 법정 제출에 이르는 전 과정에 대한 담당자와 절차를 명확히 기록하여 증거의 신뢰성을 확보해야 한다.
재현의 원칙: 분석 결과는 누가, 언제, 어떤 도구로 분석하더라도 동일한 결과가 나와야 한다.

종류 및 분야

디지털 포렌식은 분석 대상과 기술에 따라 여러 분야로 나뉜다.

컴퓨터 포렌식: 개인용 컴퓨터, 노트북, 서버 등의 하드 디스크나 SSD에 저장된 데이터를 분석한다. 운영체제 아티팩트, 레지스트리, 웹 브라우저 기록 등을 통해 사용자의 행적을 추적한다.
모바일 포렌식: 스마트폰, 태블릿 PC 등 모바일 기기에서 데이터를 추출하고 분석한다. 통화 기록, 문자 메시지, 카카오톡과 같은 메신저 대화 내용, 위치 정보 등이 주요 분석 대상이다.
네트워크 포렌식: 네트워크 트래픽을 모니터링하고 로그 파일을 분석하여 사이버 공격이나 정보 유출의 경로와 원인을 파악한다.
데이터베이스 포렌식: 기업의 데이터베이스 시스템에 저장된 데이터나 접근 기록을 분석하여 데이터의 위변조나 부정 접근을 조사한다.
클라우드 포렌식: 아마존 웹 서비스, 구글 드라이브 등 클라우드 서비스에 저장된 데이터를 분석하는 분야로, 데이터가 물리적으로 분산되어 있어 증거 수집에 어려움이 따른다.

주요 도구

디지털 포렌식 분석에는 다양한 상용 및 오픈소스 도구가 사용된다.

통합 분석 도구:
- EnCase: 가장 널리 알려진 상용 포렌식 도구로, 데이터 수집(이미징), 분석, 보고서 작성 등 포렌식 전 과정을 지원한다.
- FTK (Forensic Toolkit): EnCase와 함께 대표적인 통합 포렌식 도구로, 빠른 데이터 처리 속도와 인덱싱 기능이 특징이다.
- X-Ways Forensics: 강력한 파일 시스템 분석 기능과 빠른 속도로 전문가들 사이에서 선호되는 도구이다.

모바일 포렌식 도구:
- Cellebrite UFED: 이스라엘 기업 셀레브라이트가 개발한 모바일 포렌식 장비로, 전 세계 수사기관에서 표준처럼 사용된다.
- MSAB XRY: 스웨덴 MSAB사의 제품으로, 다양한 모바일 기기 모델에 대한 폭넓은 지원이 특징이다.
- MD-Next: 한컴위드에서 개발한 국산 모바일 포렌식 도구.

데이터 복구 도구:
- FinalData: 데이터 복구 목적으로 널리 알려진 소프트웨어.

오픈소스 도구:
- Autopsy / The Sleuth Kit: 무료로 사용할 수 있는 오픈소스 포렌식 분석 도구로, 기본적인 분석 기능을 충실히 제공한다.

대한민국 내 활용 및 특정 도구 분석

대한민국 경찰청, 검찰, 군사안보지원사령부 등 주요 수사기관은 디지털 포렌식 전담 부서를 운영하고 있으며, 민간 기업에서도 기술 유출이나 내부 감사 등을 위해 포렌식 기술을 적극적으로 활용하고 있다.

한컴위드 MD-Next

MD-Next는 대한민국의 한글과컴퓨터그룹 계열사인 한컴위드(구 한컴GMD)가 개발한 모바일 포렌식 솔루션이다. 대한민국 경찰청 등 국내 수사기관에서 주력으로 활용되고 있으며, 다음과 같은 특징을 가진다.

국내 환경 최적화: 카카오톡, 라인, 국내 제조사 스마트폰(삼성, LG 등)의 고유한 데이터 구조 분석에 강점을 보인다. 외산 도구가 놓칠 수 있는 국내 앱의 데이터나 삭제된 메시지를 복구하는 데 특화되어 있다.
다양한 추출 방식 지원: 논리적 추출(사용자 데이터 백업), 파일 시스템 추출, 물리적 추출(메모리 덤프) 등 다양한 데이터 획득 방식을 지원하여 기기 상태에 맞는 최적의 증거 수집이 가능하다.
지속적인 업데이트: 새로운 스마트폰 모델이나 운영체제, 앱 버전이 출시될 때마다 빠르게 분석 기술을 업데이트하여 지원한다.

이러한 장점 때문에 MD-Next는 국내 모바일 포렌식 시장에서 높은 점유율을 차지하고 있으며, 특히 카카오톡 압수수색 영장 집행 시 핵심적인 분석 도구로 사용된다.

파이널데이터

파이널데이터는 본래 디지털 포렌식 전문 도구라기보다는 일반 사용자를 위한 데이터 복구 소프트웨어로 더 잘 알려져 있다. 2000년대 초반, 실수로 삭제한 파일을 복구하는 기능으로 큰 인기를 얻었다.

수사기관에서의 활용은 주로 초기 단계나 비정형적인 데이터 복구에 제한적으로 이루어진다.

제한적 활용: 파이널데이터는 파일 시스템(FAT, NTFS 등)에서 삭제된 파일의 참조 정보(MFT 등)를 찾아 복구하는 데 중점을 둔다. 따라서 정식 포렌식 분석에 들어가기 전, 삭제된 파일을 신속하게 확인하는 트리아지 목적으로 사용되거나, EnCase나 FTK 같은 통합 분석 도구로 분석이 어려운 손상된 저장매체에서 파일 단위로 데이터를 복구할 때 보조적으로 활용될 수 있다.
한계: 파이널데이터는 상세한 분석 로그나 증거의 연계 보관성을 체계적으로 관리하는 기능이 부족하여 법정 증거 제출을 위한 메인 분석 도구로 사용하기에는 한계가 있다. 포렌식의 핵심은 복구뿐만 아니라 분석과 보고에 있기 때문이다.

복구의 한계

디지털 포렌식을 통해 삭제된 데이터를 복구할 수 있다고 알려져 있지만, 다음과 같은 경우에는 복구가 거의 불가능하다.

데이터 덮어쓰기: 삭제된 파일이 저장되어 있던 물리적 공간에 새로운 데이터가 덮어씌워진 경우, 원본 데이터는 영구적으로 소멸된다.
TRIM 기능과 SSD: SSD는 성능 유지를 위해 삭제된 데이터 영역을 미리 정리하는 TRIM 기능을 사용한다. 이 기능이 활성화된 SSD에서는 데이터가 삭제되는 즉시 복구가 매우 어려워진다. 최신 운영체제는 대부분 TRIM을 기본으로 지원한다.
암호화: 비트로커나 파일볼트 등으로 디스크 전체가 암호화되었거나, 파일 단위로 강력한 암호화가 적용된 경우 암호키를 알지 못하면 데이터를 해독할 수 없다.
안티 포렌식: 데이터를 복구 불가능하게 만드는 와이핑 프로그램을 사용해 디스크를 초기화했거나, 의도적으로 데이터를 파괴한 경우에는 복구가 불가능하다.
물리적 손상: 저장매체가 화재, 침수, 심각한 충격 등으로 물리적으로 파괴된 경우, 데이터 복구는 불가능하거나 매우 높은 비용이 발생한다.

역사