포렌식의 세부 분야

대상에 따른 구분

• 디스크 포렌식: 하드디스크나 SSD 등 저장 매체를 대상으로 파일, 삭제 흔적, 파일 시스템 기록을 분석합니다. 가장 오래되고 기본이 되는 분야입니다. 다만 SSD 는 성능을 위해 지워진 블록을 스스로 정리하는 기능이 있어, 전통적인 복구 가능성 전제가 그대로 적용되지 않는 경우가 있습니다.
• 모바일 포렌식: 스마트폰과 태블릿을 대상으로 통화 기록, 메시지, 위치 정보, 앱 데이터를 분석합니다. 기기마다 잠금과 암호화 방식이 달라 데이터에 접근하는 것 자체가 첫 번째 과제가 됩니다. 개인의 생활이 통째로 담기는 기기이므로 조사 범위를 한정하는 문제도 가장 예민합니다.
• 네트워크 포렌식: 오가는 트래픽과 통신 장비 로그를 분석해 침입 경로나 데이터 전송 사실을 확인합니다. 데이터가 흘러가면 사라지므로, 사고가 난 뒤에 확보하려 해도 이미 늦은 경우가 많습니다. 평소에 무엇을 얼마나 기록해 두었는지가 조사 가능성을 결정합니다.
• 메모리 포렌식: 실행 중인 시스템의 휘발성 메모리를 확보해 분석합니다. 디스크에 남지 않는 암호키, 실행 중이던 악성코드, 복호화된 상태의 데이터를 확인할 수 있습니다. 디스크에 아무 파일도 남기지 않는 공격 기법이 늘면서 중요성이 커졌습니다.
• 클라우드 포렌식: 데이터가 물리적으로 어디에 있는지 특정하기 어렵고, 확보하려면 사업자의 협조가 필요합니다. 서버가 다른 나라에 있으면 관할 문제까지 따라옵니다. 기술의 문제라기보다 절차와 계약의 문제가 되는 영역입니다.

목적에 따른 구분

같은 기법이라도 목적에 따라 다르게 불립니다. 범죄 수사를 위한 조사, 기업 내부의 부정 행위를 확인하는 감사 목적의 조사, 침해 사고의 원인을 규명하는 사고 대응이 대표적입니다.

목적이 다르면 요구되는 절차의 엄격함과 산출물의 형식도 달라집니다. 내부 보고용이라면 신속함이 우선일 수 있지만, 소송이 예상된다면 처음부터 법정 기준으로 진행해야 합니다. 나중에 소송으로 번질 가능성을 낮게 보고 절차를 생략했다가, 실제로 소송이 시작된 뒤 증거를 다시 만들 수 없어 곤란해지는 일이 자주 생깁니다.

안티 포렌식

조사를 방해하기 위한 기법을 통틀어 안티 포렌식이라고 합니다. 데이터를 여러 번 덮어써 복구를 막는 완전 삭제, 파일 시간 정보를 조작하는 타임스탬프 변조, 다른 파일 안에 데이터를 숨기는 은닉, 로그 삭제 등이 있습니다.

흥미로운 점은 이런 행위 자체가 또 하나의 흔적이 된다는 것입니다. 완전 삭제 도구를 설치하고 실행한 기록, 로그가 특정 구간만 비어 있다는 사실, 파일 시간이 파일 시스템의 다른 기록과 앞뒤가 맞지 않는다는 점은 모두 확인 가능합니다. 은폐의 시도가 오히려 고의를 드러내는 정황이 되기도 합니다.