[DFIR] 디지털 포렌식 입문: 증거와 절차, 침해사고 대응

디지털 포렌식과 침해사고 대응

• 디지털 포렌식: 디지털 자료에서 사건의 단서를 찾아 무슨 일이 있었는지 조사하는 작업.
• 증거 확보: 적법한 절차와 신뢰할 수 있는 방법으로 수집·분석.
• 분석 결과: 사건의 핵심 단서와 원인을 설명할 근거.
• 문서화: 분석 결과가 법원·수사기관 등에서 검토될 수 있도록 과정과 근거를 기록.

기법과 함께 익혀야 할 것

• 분석 기법뿐 아니라 적법한 절차와 신뢰성 있는 문서 작성이 중요.
• AI를 이용하더라도 결과를 검토하고 설명할 책임은 분석자에게 있음.
• 자신의 이름으로 제출하는 문서인 만큼, 어떤 자료를 어떻게 분석해 결론을 내렸는지 설명할 수 있어야 함.
• 오픈소스 도구도 분석에 활용할 수 있지만 지원 기능과 분석 대상에 따른 한계를 이해해야 함.

실습 환경 준비

• 분석용 가상 머신과 필요한 도구를 준비.
  • Mac에서는 도구의 지원 환경을 확인하고 별도의 실습 환경을 구성할 필요가 있음.
  • 초반엔 Mac으로 테스트 예정(장비 없음)

포렌식의 학습 범위

• 공통 기반: 분석 기법, 절차, 윤리.
• 침해사고 대응·메모리 포렌식: 사고 대응과 실행 중인 시스템의 흔적 확인 필요
• 네트워크 포렌식: 통신 기록을 분석하는 영역. 수집 대상과 권한에 따라 감청 등 법적 쟁점이 생길 수 있으므로 교육 실습과 현업 적용을 명확히 구분
• 모바일 포렌식: 기기와 분석 범위에 따라 전문 장비·도구가 필요할 수 있고 오픈소스만으로 다루기 어려움
• 클라우드·멀티미디어 포렌식: 많이 중요해지는 영역

누가 이 일을 하는가

수사와 기업의 조사 업무는 이어질 수 있지만 조사 목적과 권한·제약을 구분해야 합니다.

수사 맥락

• 수행 주체: 경찰, 검찰, 특별사법경찰 등.
• 목적: 범죄 사실의 입증.
• 절차: 영장주의와 형사소송법 등 수사에 적용되는 절차를 고려.

포렌식 절차

포렌식 절차는 준비부터 보고서 작성까지 여섯 단계로 이어집니다. 각 단계는 완전히 분리된 작업이 아니라 서로 연결됩니다.

1. 준비: 조사 목적과 범위, 도구·환경 준비.
2. 증거 수집: 필요한 디지털 자료 확보.
3. 보관·이송: 증거를 보관하고 전달하는 과정 관리.
4. 조사·분석: 자료에서 사건의 흔적 확인.
5. 정밀 검토: 분석 결과와 근거 검토.
6. 보고서 작성: 과정과 결과를 설명할 문서 작성.

침해사고 대응과 포렌식

DFIR은 디지털 포렌식과 침해사고 대응을 함께 다룹니다. 분석 기법과 절차를 실제 대응에 연결하는 관점입니다.

• 포렌식: 무슨 일이 있었는지 근거를 확보하고 정확하게 재구성.
• 침해사고 대응: 진행 중인 피해를 신속히 통제하고 확산을 차단.
• 함께 고려할 것: 분석의 정확성, 대응 속도, 증거 보존, 절차.

증거 보존과 확산 차단

• 감염된 서버를 그대로 두면 다른 자산으로 피해가 확산될 수 있음.
• 전원을 끄면 휘발성 메모리에 있는 흔적이 사라질 수 있음.
• 네트워크 분리와 전원 종료는 다름: 네트워크만 분리했다고 메모리가 곧바로 사라지는 것은 아님.
• 상황에 따라 확산 차단과 증거 확보의 순서를 판단해야 함.

CISA 대응 가이드는 네트워크 격리와 전원 종료를 구분하고 전원 종료 시 휘발성 메모리의 증거를 잃을 수 있다고 설명합니다.

절차와 증거의 기준

• 어떤 절차로 수집·분석했는지 설명할 수 있어야 함.
• 분석 결과를 뒷받침하는 증거와 기록을 남겨야 함.

도구와 환경

상용 도구

• 도구 예: EnCase, AXIOM, X-Ways.
• 검토할 점: 분석 기능, 결과의 신뢰성, 라이선스 비용.
• 상용 도구 사용만으로 증거능력이 자동 보장되는 것은 아니며 수집·분석 절차와 결과 검증도 함께 고려해야 함.

무료·오픈소스 도구

• FTK Imager: 무료로 제공되는 이미징·미리보기 도구. 무료 도구와 오픈소스는 같은 의미가 아님.
• Autopsy: 오픈소스 디지털 포렌식 플랫폼.
• 도구가 수행하는 작업과 결과의 의미를 이해하고 사용해야 함.

Exterro FTK 안내 · Autopsy 공식 소개

실습 구성

• 분석용 VM
• FTK Imager, Autopsy
• HxD, EZ Tools
• Volatility 3
• 실습용 VHD

대응 일지: Action Log

분석 결과와 함께 어떤 작업을 했고 왜 그렇게 판단했는지 기록합니다.

• 작업 기록: 수행한 작업과 그 결과를 구분해 작성.
• 판단 근거: 조치한 이유와 판단에 사용한 근거 기록.
• 추적 가능성: 다른 사람이 분석·대응 과정을 검토할 수 있도록 정리.

기록이 없으면 판단과 조치의 경위를 설명하기 어렵습니다. 실습부터 Action Log를 남기는 습관을 들이는 것이 중요합니다.