포렌식(Forensic)이란 ? 디지털 포렌식이란? 원리

728x90

가끔 범죄 사건 가해자 휴대전화를 포렌식 분석 한다는 뉴스가 나오는 걸 본 적이 있을 겁니다.

맥락상 노트북이나 휴대전화 같은 전자기기의 삭제된 데이터 정보를 다시 복구하고 추출하는 작업 같습니다.

학교에서 운영체제 시간에 배웠지만 잘 생각이 나지 않아서 정확히 포렌식이 무엇이고 언제 사용되는 것인 알아보도록 하겠습니다.

포렌식(Forensic) 이란?

포렌식(Forensic)은 고대 로마시대의 포럼(Forum)이라는 라틴어에서 유래한 것으로, '범의학적인, 범죄 과학 수사의, 법정의, 재판에 관한'이라는 의미를 가지고 있는 형용사입니다.

포렌식은 과학적인 방법으로 범죄를 밝혀내기 위해 증거 수집/보존/분석을 위한 응용 과학 분야를 통칭하는 용어로 사용되고 있습니다.

디지털 포렌식이란 컴퓨터 하드디스크, 이동식 저장 디스크(USB), 휴대폰, CCTV 등 정보를 저장하는 장치에서 데이터가 삭제되었을 때, 삭제된 데이터를 복구 분석하여 범죄단서를 찾는 수사기법입니다.

즉, 단순히 데이터 복구로 끝나는 것이 아니라 복구한 데이터를 민형사 사건의 증거자료로 사용할 수 있어야 합니다.

증거자료로 쓰기 위해서는 5대 원칙(정당성의 원칙, 무결성의 원칙, 신속성의 원칙, 연계보관성의 원칙, 재현의 원칙)에 의거하여 데이터를 분석해야 합니다.

이 때 포렌식은 무결성을 지키기 위해서 원본과 완전히 동일한 사본 파일을 만든 후 해당 사본 파일을 분석하는 디스크 이미징 기술을 이용합니다.

데이터의 위변조가 일어나지 않았다는 것을 입증하는 포렌식 증거 감정서를 통해서 법적 효력 증거자료로 쓰일 수 있습니다.

컴퓨터나 스마트폰 등 각종 전자기기에서 사용자가 파일을 삭제하면 그 즉시 파일이 사라지게 됩니다.

하지만 그 사라진 파일은 우리 눈에만 보이지 않게 사라졌을뿐이지 모든 전자기기는 휴지통으로 우선적으로 파일을 넘기게 됩니다.

그럼 휴지통에서 지우면 사라지는 것인가?

하지만 그 또한 휴지통에서 지우더라도 실제로는 파일 경로만 지워진 것이지 실제 파일 내용은 아직 컴퓨터, 스마트폰 내부에 남아있습니다.

완전히 삭제되는 시점은 기기의 용량이 완전히 꽉 찬 상태에서 새로운 파일이 추가된다면 이때 옛날 자료부터 지워가면서 새로운 파일을 추가하는 것입니다.

경.검찰의 수사 과정에서 포렌식을 통해 증거자료를 수집한다면 컴퓨터와 전자기기의 모든 자료를 수집하게 됩니다.

언제.어디서 저장장치를 연결했나, 사이트 접속 기록, 다운로드 내역, 파일 옮긴 내역 등 다양한 자료들을 통해 증거자료를 수집합니다.

컴퓨터를 다루다 보면 종종 레지스트리 파일을 보기도 하는데요, 이러한 레지스트리에는 수많은 컴퓨터의 자료가 담겨있습니다.

레지스트리의 내용은 일반인들이 해석하기 힘들고 어디에 본인이 찾고자 하는 자료가 어디 담겨 있는지 찾기 어려워 조작이 힘들기도 합니다.

각종 캐쉬와 임시파일 및 로그 데이터들은 자동적으로 전자기기를 사용하면 생기는 자료들이기 때문에 자체적으로 백업하는 로그들이 포렌식 복구에 핵심적인 역할을 한다고 볼 수 있습니다.

참고

728x90

[운영체제] Memory 란? (paging, segmentation, 가상메모리) (1)	2023.05.27
compile(컴파일)과 runtime(런타임) 차이 (0)	2023.05.27
Process & Thread 란? (multi process & multi thread & Deadlock 정리) (0)	2023.05.23
동시성 (Concurrency)과 병렬성 (Parallelism) (0)	2023.05.22