디지털 포렌식
디지털 기기에 남은 전자적 흔적을 법정에서 다툴 수 있는 증거로 만드는 과학 분야입니다. 정의와 성립 배경, 다른 분야와의 경계, 그리고 이 분야가 왜 기술보다 절차를 먼저 이야기하는지를 정리합니다.
정의
디지털 포렌식(Digital Forensics)은 컴퓨터, 스마트폰, 서버 등 디지털 기기에 저장되거나 전송된 전자적 데이터를 과학적으로 수집, 보존, 분석해 사실관계를 규명하고, 그 결과를 법적 절차에서 증거로 사용할 수 있게 만드는 학문이자 실무 분야입니다.
어원인 포렌식(forensic)은 라틴어 forensis 에서 왔고 "법정의" 라는 뜻입니다. 이 어원이 분야의 성격을 그대로 말해 줍니다. 목적은 데이터를 되살리는 데 있지 않고, 되살린 데이터가 법정에서 버틸 수 있게 만드는 데 있습니다. 데이터 복구 업체와 포렌식 기관이 겉으로는 비슷해 보여도 결과물이 다른 이유가 여기에 있습니다. 전자는 파일을 살리면 임무가 끝나지만, 후자는 그 파일이 어디서 어떻게 나왔는지를 설명할 수 없으면 아무것도 한 것이 없습니다.
왜 생겨났나
범죄와 분쟁의 무대가 종이에서 전산으로 옮겨 가면서, 기존의 증거법이 다루던 물리적 증거만으로는 사실을 규명할 수 없는 사건이 늘었습니다. 장부를 조작해도 종이 대신 데이터베이스를 고치고, 자료를 빼돌려도 서류철 대신 파일을 복사합니다. 흔적은 분명히 남지만, 그 흔적은 눈에 보이지 않고 쉽게 지워지며 마음만 먹으면 조작할 수도 있습니다.
디지털 포렌식은 이 새로운 종류의 흔적을 다루기 위해, 전통적인 법과학이 지켜 온 원칙을 디지털 세계로 옮겨 온 결과물입니다. 현장을 보존하고, 채취 과정을 기록하고, 제3자가 검증할 수 있게 남긴다는 원칙은 지문 감식이든 디스크 이미징이든 다르지 않습니다.
증거가 되기 위한 두 가지 요건
어떤 분석 결과가 증거로 인정되려면 대체로 두 가지를 만족해야 합니다.
- 무결성: 확보된 데이터가 수집 시점 이후 변경되지 않았음을 증명할 수 있어야 합니다.
- 재현 가능성: 같은 방법을 다시 적용하면 제3자도 같은 결과에 도달할 수 있어야 합니다.
이 두 요건 때문에 디지털 포렌식은 분석 기법 못지않게 절차와 기록을 중시합니다. 아무리 결정적인 파일을 찾아냈어도, 그것을 어떻게 얻었는지 설명하지 못하면 증거로서의 가치는 크게 떨어집니다. 실무에서 다툼이 벌어지는 지점도 대개 "그 파일의 내용이 무엇이냐" 가 아니라 "그 파일을 그렇게 얻은 것이 맞느냐" 입니다.
컴퓨터 포렌식과의 관계
두 용어는 흔히 같은 뜻으로 쓰이지만 엄밀히는 범위가 다릅니다. 컴퓨터 포렌식은 PC, 노트북, 서버처럼 연산 장치를 갖춘 기기를 대상으로 하고, 디지털 포렌식은 여기에 더해 스마트폰, IoT 기기, 클라우드, 네트워크 트래픽 등 디지털 데이터가 존재하는 모든 영역을 포괄합니다. 초기에는 조사 대상이 사실상 PC 한 대였기 때문에 두 용어가 같은 뜻으로 통용되었지만, 데이터가 기기 밖으로 흩어지면서 더 넓은 이름이 필요해졌습니다.
인접 개념과의 경계
- 침해 사고 대응(Incident Response): 공격을 탐지하고 피해를 차단해 시스템을 정상으로 되돌리는 활동입니다. 목적이 복구와 지속에 있다는 점에서, 증거 확보를 목적으로 하는 포렌식과 방향이 다릅니다. 서버를 빨리 되살리려고 재설치하면 서비스는 돌아오지만 증거는 사라집니다. 실무에서는 두 요구가 충돌하기 때문에, 둘을 함께 설계한다는 뜻으로 DFIR(Digital Forensics and Incident Response)이라는 결합 용어를 씁니다.
- e디스커버리(eDiscovery): 소송 과정에서 전자 문서를 찾아 상대방에게 개시하고 제출하는 절차입니다. 대상이 방대해 검색과 선별이 중심이 되며, 포렌식은 그 과정에서 자료의 진정성과 무결성을 뒷받침하는 역할을 합니다.
- 데이터 복구: 손상된 매체에서 데이터를 되살리는 기술입니다. 포렌식은 복구 기술을 사용하지만, 복구 자체가 목적이 아니라 증거화의 한 단계일 뿐입니다.
흔한 오해
"삭제하면 끝난다"는 오해입니다. 뒤에서 다루듯 삭제는 대개 자리를 비웠다고 표시하는 일에 가깝고, 덮어쓰기 전까지 내용은 남습니다. 반대로 "무엇이든 다 복구된다"는 것도 오해입니다. 덮어쓰기가 진행되었거나 암호화된 매체가 초기화된 경우에는 되살릴 수 없습니다. 사고 인지 후 시간이 지날수록, 그리고 그 기기를 계속 쓸수록 확인 가능한 범위가 줄어든다는 점이 이 분야의 냉정한 전제입니다.
디지털 증거
눈에 보이지 않고, 쉽게 바뀌며, 원본과 사본의 구분이 흐릿합니다. 물리적 증거와 근본적으로 다른 디지털 증거의 성질과 그것이 재판에서 인정받기 위한 조건을 다룹니다.
정의
디지털 증거는 컴퓨터나 디지털 저장 매체에 이진 형태로 기록되어 있으면서, 사건의 사실관계를 입증하는 데 사용될 수 있는 정보를 말합니다. 문서 파일과 이메일처럼 사람이 만든 데이터도 있고, 접속 로그와 시스템 기록처럼 기계가 자동으로 남긴 데이터도 있습니다.
둘의 성격은 꽤 다릅니다. 사람이 만든 데이터는 내용 자체가 주장이므로 진위를 따져야 하고, 기계가 남긴 데이터는 의도가 개입하지 않는 대신 그 기록을 만든 시스템이 제대로 작동했는지를 따져야 합니다. 조사에서 로그가 중시되는 이유는 그것이 거짓말을 하지 않아서가 아니라, 거짓말을 하려면 시스템 자체를 건드려야 하고 그 흔적이 또 남기 때문입니다.
물리적 증거와 다른 점
- 비가시성: 데이터 자체는 눈으로 볼 수 없고, 반드시 소프트웨어라는 매개를 통해 해석해야 내용이 드러납니다. 따라서 해석에 사용한 도구의 신뢰성까지 함께 따집니다.
- 취약성: 전원을 켜거나 파일을 열어보는 것만으로도 접근 시각 등이 변경됩니다. 지문이나 혈흔과 달리, 관찰하는 행위 자체가 증거를 훼손할 수 있습니다.
- 매체 독립성: 원본과 사본이 비트 단위로 완전히 같기 때문에 물리적 원본이라는 개념이 희미합니다. 대신 해시값으로 동일성을 증명합니다.
- 대량성: 저장 용량이 커서 수집 대상이 수백 기가바이트에 이르는 일이 흔하고, 그중 사건과 관련된 데이터를 걸러 내는 선별이 분석만큼 중요해집니다.
- 변조 가능성: 물리적 증거는 위조하려면 흔적이 남지만, 디지털 데이터는 이론적으로 완벽한 위조가 가능합니다. 그래서 데이터 자체보다 그것을 둘러싼 절차가 신뢰의 근거가 됩니다.
증거능력의 요건
디지털 증거가 재판에서 받아들여지려면 일반적으로 다음 요소가 확인되어야 합니다.
- 진정성: 그 데이터가 주장하는 출처에서 나온 것이 맞는가.
- 무결성: 수집 이후 변경되지 않았는가. 해시값 비교와 관리 연속성 기록으로 뒷받침합니다.
- 신뢰성: 데이터를 만들어 낸 시스템과 분석에 사용한 도구가 믿을 만한가.
- 적법성: 수집 절차가 법이 정한 요건을 지켰는가. 위법하게 수집된 증거는 내용이 아무리 결정적이어도 배제될 수 있습니다.
기업 내부 조사에서 특히 자주 걸리는 것이 적법성입니다. 회사 소유의 PC 라 해도 직원의 개인 영역까지 무제한으로 들여다볼 수 있는 것은 아니며, 사전에 고지된 정책과 동의의 범위가 어디까지인지가 늘 쟁점이 됩니다.
휘발성과 수집 순서
디지털 데이터는 사라지는 속도가 서로 다릅니다. CPU 캐시와 메모리의 내용, 네트워크 연결 상태는 전원을 끄는 순간 사라지고, 임시 파일은 재부팅이나 정리 작업으로 없어지며, 디스크에 기록된 파일은 상대적으로 오래 남습니다.
이 차이 때문에 수집에는 휘발성이 높은 것부터 확보한다는 순서 원칙이 있습니다. 실행 중인 시스템을 만났을 때 무작정 전원을 뽑으면 메모리에만 있던 암호키나 실행 중이던 프로세스 정보가 통째로 사라집니다. 반대로 시스템을 계속 켜 두면 디스크의 데이터가 조금씩 덮어써집니다. 어느 쪽 손실을 감수할지 판단하는 것이 현장 대응의 핵심이며, 그 판단의 근거를 기록으로 남기는 것 또한 절차의 일부입니다.
관리 연속성 (Chain of Custody)
증거를 누가 언제 어디서 어떻게 다뤘는지 끊김 없이 기록한 이력입니다. 내용이 아무리 결정적이어도 이 사슬이 끊기면 증거는 힘을 잃습니다. 그 이유와 기록의 구성을 설명합니다.
정의
관리 연속성은 증거물이 확보된 순간부터 법정에 제출되기까지, 그것을 누가 점유하고 어떤 처리를 했는지를 시간 순서대로 빠짐없이 기록한 이력을 말합니다. 보관의 사슬이라고 옮기기도 합니다. 사슬이라는 비유가 정확한 이유는, 고리 하나만 끊겨도 전체가 제 기능을 못 하기 때문입니다.
왜 필요한가
디지털 데이터는 흔적을 남기지 않고 바꿀 수 있습니다. 그래서 상대측은 언제든 이렇게 물을 수 있습니다. "제출된 그 파일이 수집 당시의 그 파일과 같다는 것을 어떻게 아느냐." 이 질문에 답하는 장치가 관리 연속성입니다.
중요한 것은 이 기록이 결백을 증명하는 문서가 아니라 의심을 차단하는 문서라는 점입니다. 실제로 아무도 증거를 건드리지 않았더라도, 건드릴 수 있었던 공백이 있었다면 그 공백만으로 신뢰가 흔들립니다. 조사기관의 성실함을 믿어 달라고 요구하는 대신, 믿음이 필요 없도록 만드는 것이 이 제도의 취지입니다.
기록에 담기는 것
- 수집 일시와 장소, 수집한 사람과 입회한 사람
- 대상 기기의 식별 정보 (모델, 일련번호, 외관 상태)
- 수집 방법과 사용한 도구, 도구의 버전
- 수집 직후 산출한 해시값
- 봉인 여부와 봉인 번호
- 이후 보관 장소, 접근한 사람, 인수인계 일시와 서명
- 분석 수행 내역, 그리고 반환 또는 폐기 기록
기록의 밀도는 사안의 무게에 따라 달라지지만, 원칙은 하나입니다. 제3자가 이 문서만 읽고도 증거의 이동 경로를 처음부터 끝까지 따라갈 수 있어야 합니다.
해시값과의 역할 분담
해시 함수는 데이터를 입력받아 고정된 길이의 값을 내놓습니다. 원본이 1비트만 달라져도 결과가 전혀 다른 값이 되므로, 수집 시점의 해시와 제출 시점의 해시가 같다면 그사이 데이터가 바뀌지 않았다고 볼 수 있습니다.
다만 해시값만으로는 부족합니다. 해시는 "이 데이터가 그때 그 데이터와 같다" 는 것만 말해 줄 뿐, "이 데이터가 그 PC 에서 나왔다" 는 것은 말해 주지 못합니다. 출처를 말해 주는 것은 사람이 남긴 기록, 즉 관리 연속성 문서입니다. 해시값이 데이터의 동일성을 수학적으로 보증하고, 관리 연속성 문서가 그 데이터의 출처와 이동을 서술적으로 보증합니다. 둘은 함께 쓰일 때만 의미가 있습니다.
사슬이 끊어지는 순간들
- 수집한 디스크를 잠금장치 없는 책상 서랍에 두고 퇴근한 경우
- 사본을 여러 사람이 돌려 보면서 누가 언제 열었는지 기록하지 않은 경우
- 수집 당시 해시값을 산출하지 않아 나중에 비교할 기준이 없는 경우
- 기기를 인수인계하면서 서명이나 일시를 빠뜨린 경우
어느 것도 고의적인 조작이 아닙니다. 그래서 더 위험합니다. 조사의 실력이 아니라 사무의 성실함에서 무너지는 사례가 실제로는 훨씬 많습니다.
포렌식 절차
식별, 수집, 보존, 분석, 보고의 다섯 단계입니다. 각 단계에서 무엇을 하고 무엇을 하지 말아야 하는지, 그리고 왜 순서를 바꾸면 안 되는지를 설명합니다.
단계 구분
기관마다 표현은 조금씩 다르지만, 디지털 포렌식의 절차는 대체로 다섯 단계로 정리됩니다.
- 식별: 어떤 기기와 데이터가 사건과 관련 있는지 파악하고 확보 우선순위를 정합니다.
- 수집: 대상 데이터를 원본 변경 없이 확보합니다.
- 보존: 확보한 데이터의 무결성을 유지한 채 보관합니다.
- 분석: 사본을 대상으로 데이터를 복구하고 해석해 사실관계를 재구성합니다.
- 보고: 절차와 결과를 제3자가 검증할 수 있는 형태의 문서로 남깁니다.
이 순서는 편의상의 배열이 아닙니다. 앞 단계가 무너지면 뒤 단계의 결과물이 통째로 쓸모없어지는 종속 관계입니다. 수집이 잘못되면 아무리 정교하게 분석해도 그 결과를 쓸 수 없습니다.
식별 단계에서 정하는 것
현장에는 대개 확보할 수 있는 것보다 많은 기기가 있습니다. 무엇을 가져오고 무엇을 두고 갈지, 어느 것을 먼저 확보할지는 사건의 성격에 따라 달라집니다. 정보 유출 의심이라면 대상자의 PC 와 이동식 매체, 서버 접근 로그가 우선이고, 회계 부정이라면 업무 시스템의 데이터베이스와 결재 이력이 먼저입니다.
이 단계에서 판단을 잘못하면 뒤에서 만회할 수 없습니다. 놓친 기기는 그사이 초기화되고, 확보하지 않은 로그는 보존 기간이 지나 사라집니다.
수집 단계의 핵심 기법
- 이미징: 저장 매체를 파일 단위가 아니라 비트 단위로 통째로 복제합니다. 삭제된 영역과 빈 공간까지 함께 확보되므로 이후 복구 분석이 가능해집니다. 필요한 파일만 복사하면 그 순간 삭제 흔적은 영영 사라집니다.
- 쓰기 방지: 복제 과정에서 원본 매체에 어떤 데이터도 기록되지 않도록 하드웨어나 소프트웨어로 차단합니다. 이 장치 없이 원본을 조사용 PC 에 연결하면 운영체제가 자동으로 무언가를 기록해 버립니다.
- 해시 산출: 원본과 사본의 해시값을 계산해 동일함을 기록합니다. 이 값이 이후 모든 무결성 주장의 출발점이 됩니다.
선별의 문제
수집 대상이 방대할 때는 사건과 무관한 개인 정보까지 함께 확보됩니다. 대상자의 가족 사진과 병원 기록이 조사 자료에 섞여 들어오는 일은 실제로 흔합니다.
그래서 목적에 필요한 범위로 한정해 수집하고 분석하는 것이 원칙입니다. 이것은 법적 요구이기도 하고, 조사의 효율 문제이기도 하며, 조사 결과의 신뢰 문제이기도 합니다. 범위를 넘어선 자료를 들여다본 사실이 드러나면 조사 전체의 정당성이 공격받습니다.
분석 단계에서 하는 일
분석은 흩어진 흔적을 시간 순서로 엮어 사실관계를 재구성하는 작업입니다. 파일 하나를 찾는 것이 아니라, 그 파일이 언제 만들어져 누구 손을 거쳐 어디로 갔는지의 경로를 세우는 것이 목적입니다. 이 과정을 타임라인 분석이라고 부릅니다.
이때 지켜야 할 규율이 하나 있습니다. 가설을 세우는 것은 필요하지만, 가설에 맞는 증거만 찾아서는 안 됩니다. 반증이 될 만한 흔적도 같은 강도로 찾아야 하며, 찾지 못했다면 못 찾았다고 적어야 합니다.
보고 단계
보고서는 기술 배경이 없는 사람이 읽고 판단할 수 있어야 합니다. 확인된 사실과 그로부터의 추정을 구분해 적고, 확인하지 못한 부분도 밝히는 것이 신뢰의 조건입니다. 필요할 경우 분석을 수행한 사람이 법정에 출석해 절차와 결과를 직접 설명하기도 합니다.
포렌식의 세부 분야
디스크, 모바일, 네트워크, 메모리, 클라우드. 대상이 달라지면 남는 흔적도, 확보하는 방법도, 부딪히는 한계도 달라집니다. 분야별로 무엇이 문제인지 정리합니다.
대상에 따른 구분
- 디스크 포렌식: 하드디스크나 SSD 등 저장 매체를 대상으로 파일, 삭제 흔적, 파일 시스템 기록을 분석합니다. 가장 오래되고 기본이 되는 분야입니다. 다만 SSD 는 성능을 위해 지워진 블록을 스스로 정리하는 기능이 있어, 전통적인 복구 가능성 전제가 그대로 적용되지 않는 경우가 있습니다.
- 모바일 포렌식: 스마트폰과 태블릿을 대상으로 통화 기록, 메시지, 위치 정보, 앱 데이터를 분석합니다. 기기마다 잠금과 암호화 방식이 달라 데이터에 접근하는 것 자체가 첫 번째 과제가 됩니다. 개인의 생활이 통째로 담기는 기기이므로 조사 범위를 한정하는 문제도 가장 예민합니다.
- 네트워크 포렌식: 오가는 트래픽과 통신 장비 로그를 분석해 침입 경로나 데이터 전송 사실을 확인합니다. 데이터가 흘러가면 사라지므로, 사고가 난 뒤에 확보하려 해도 이미 늦은 경우가 많습니다. 평소에 무엇을 얼마나 기록해 두었는지가 조사 가능성을 결정합니다.
- 메모리 포렌식: 실행 중인 시스템의 휘발성 메모리를 확보해 분석합니다. 디스크에 남지 않는 암호키, 실행 중이던 악성코드, 복호화된 상태의 데이터를 확인할 수 있습니다. 디스크에 아무 파일도 남기지 않는 공격 기법이 늘면서 중요성이 커졌습니다.
- 클라우드 포렌식: 데이터가 물리적으로 어디에 있는지 특정하기 어렵고, 확보하려면 사업자의 협조가 필요합니다. 서버가 다른 나라에 있으면 관할 문제까지 따라옵니다. 기술의 문제라기보다 절차와 계약의 문제가 되는 영역입니다.
목적에 따른 구분
같은 기법이라도 목적에 따라 다르게 불립니다. 범죄 수사를 위한 조사, 기업 내부의 부정 행위를 확인하는 감사 목적의 조사, 침해 사고의 원인을 규명하는 사고 대응이 대표적입니다.
목적이 다르면 요구되는 절차의 엄격함과 산출물의 형식도 달라집니다. 내부 보고용이라면 신속함이 우선일 수 있지만, 소송이 예상된다면 처음부터 법정 기준으로 진행해야 합니다. 나중에 소송으로 번질 가능성을 낮게 보고 절차를 생략했다가, 실제로 소송이 시작된 뒤 증거를 다시 만들 수 없어 곤란해지는 일이 자주 생깁니다.
안티 포렌식
조사를 방해하기 위한 기법을 통틀어 안티 포렌식이라고 합니다. 데이터를 여러 번 덮어써 복구를 막는 완전 삭제, 파일 시간 정보를 조작하는 타임스탬프 변조, 다른 파일 안에 데이터를 숨기는 은닉, 로그 삭제 등이 있습니다.
흥미로운 점은 이런 행위 자체가 또 하나의 흔적이 된다는 것입니다. 완전 삭제 도구를 설치하고 실행한 기록, 로그가 특정 구간만 비어 있다는 사실, 파일 시간이 파일 시스템의 다른 기록과 앞뒤가 맞지 않는다는 점은 모두 확인 가능합니다. 은폐의 시도가 오히려 고의를 드러내는 정황이 되기도 합니다.
