디지털 포렌식과 증거 보존의 기본 | 정보보안기사 필기

1. 포렌식의 목적과 대상

디지털 포렌식은 디지털 자료를 보존하고 조사·분석해 사건의 사실관계를 설명하는 활동이다. 침해사고의 원인·범위 확인, 내부 조사, 법적 절차 등에서 활용한다. 사고대응이 피해 제한과 업무 복구를 우선한다면 포렌식은 재현 가능한 근거로 무엇이 일어났는지 밝히는 것에 초점을 둔다.

대상은 저장장치의 파일만이 아니다. 메모리, 실행 프로세스, 네트워크 연결, 운영체제·응용·보안 로그, 전자우편, 모바일·클라우드 자료도 포함할 수 있다. 여기서는 명령어·도구 사용법 대신 공통 원리와 절차를 익힌다.

2. 증거의 특성과 기본 원칙

디지털 자료는 복제가 쉽고 원본과 같은 비트열의 사본을 만들 수 있다. 반대로 실행·열람·복구·전원 차단만으로 내용이나 메타데이터가 바뀔 수 있고, 휘발성 자료는 사라질 수 있다.

적법성과 범위: 승인·권한과 목적 안에서 필요한 자료를 수집한다.
원본 보존과 무결성: 변경을 줄이고 원본·수집본·분석본을 구분한다.
연계보관성: 수집부터 인계·보관·분석까지 누가 무엇을 했는지 추적한다.
재현성과 신뢰성: 방법·도구·버전·조건·결과를 기록해 검증 가능하게 한다.

이 원칙들은 서로 보완한다. 해시값이 같아도 수집 권한이 없었다면 적법성 문제가 남고, 수집 권한이 있어도 변경 이력이 불명확하면 신뢰성이 약해질 수 있다.

3. 수집·조사·분석·보고

단계	수행 내용	남길 근거
수집(Collection)	관련 출처 식별, 확보·보존	대상·수집자·시각·방법·해시
조사(Examination)	자료를 처리해 관련 정보를 추출·선별	사용 도구, 추출·복구·검색 조건
분석(Analysis)	여러 자료를 연결해 사건 의미와 순서를 해석	시간선, 상호 대조, 결론의 근거
보고(Reporting)	방법·발견·한계를 설명	확인 사실, 추정, 미확인 사항

기관마다 단계 이름과 세분화는 다를 수 있다. 삭제 파일을 복구하는 것은 자료 추출에 해당하고, 그 파일과 로그인 로그를 연결해 행위 시점을 설명하는 것은 분석이다. 결과 보고에는 불리한 사실이나 분석 한계도 빠뜨리지 않는다.

4. 휘발성 자료와 이미징

RAM·실행 상태·활성 연결은 전원이 꺼지면 잃을 수 있다. 저장장치 자료는 상대적으로 오래 남지만 계속 사용하는 동안 덮어쓰기가 발생할 수 있다. 휘발성·중요성·수집 가능성과 업무 피해를 함께 고려해 순서를 정한다. 살아 있는 시스템에서 수집하면 상태 변화가 생길 수 있으므로 이를 기록한다.

물리 이미징은 저장장치의 비트 단위 영역을 확보해 미할당 공간 등도 분석할 수 있게 한다. 논리 수집은 파일·폴더·논리 구조 등 선택한 자료를 확보한다. 두 방식은 목적과 범위가 다르다. 삭제 표시가 즉시 모든 흔적의 소멸을 뜻하지 않지만, 덮어쓰기·암호화·TRIM 등에 따라 복구할 수 없을 수도 있다.

읽기 전용 절차나 쓰기방지 장치는 원본 변경 위험을 줄인다. 검증한 사본을 분석하고 원본은 별도 보존한다.

5. 해시와 연계보관성

수집본에 해시를 계산하고 이후 이동·분석 과정에서 다시 비교하면 비트열 변경을 탐지하는 데 도움을 준다. 해시는 행위자의 신원, 수집 이전의 진실성, 법원의 증거 인정까지 자동 보증하지 않는다.

증거 인계 기록에는 식별번호, 대상·봉인 상태, 인계자·인수자, 시간·장소, 목적과 보관 위치를 남긴다. 서버마다 시간대·시계 오차가 다르면 시간선이 틀릴 수 있어 보정 근거도 기록한다. “파일 생성 시각 하나가 범행 시각”이라고 단정하지 말고 여러 독립 자료와 대조한다.