포렌식 절차

단계 구분

기관마다 표현은 조금씩 다르지만, 디지털 포렌식의 절차는 대체로 다섯 단계로 정리됩니다.

• 식별: 어떤 기기와 데이터가 사건과 관련 있는지 파악하고 확보 우선순위를 정합니다.
• 수집: 대상 데이터를 원본 변경 없이 확보합니다.
• 보존: 확보한 데이터의 무결성을 유지한 채 보관합니다.
• 분석: 사본을 대상으로 데이터를 복구하고 해석해 사실관계를 재구성합니다.
• 보고: 절차와 결과를 제3자가 검증할 수 있는 형태의 문서로 남깁니다.

이 순서는 편의상의 배열이 아닙니다. 앞 단계가 무너지면 뒤 단계의 결과물이 통째로 쓸모없어지는 종속 관계입니다. 수집이 잘못되면 아무리 정교하게 분석해도 그 결과를 쓸 수 없습니다.

식별 단계에서 정하는 것

현장에는 대개 확보할 수 있는 것보다 많은 기기가 있습니다. 무엇을 가져오고 무엇을 두고 갈지, 어느 것을 먼저 확보할지는 사건의 성격에 따라 달라집니다. 정보 유출 의심이라면 대상자의 PC 와 이동식 매체, 서버 접근 로그가 우선이고, 회계 부정이라면 업무 시스템의 데이터베이스와 결재 이력이 먼저입니다.

이 단계에서 판단을 잘못하면 뒤에서 만회할 수 없습니다. 놓친 기기는 그사이 초기화되고, 확보하지 않은 로그는 보존 기간이 지나 사라집니다.

수집 단계의 핵심 기법

• 이미징: 저장 매체를 파일 단위가 아니라 비트 단위로 통째로 복제합니다. 삭제된 영역과 빈 공간까지 함께 확보되므로 이후 복구 분석이 가능해집니다. 필요한 파일만 복사하면 그 순간 삭제 흔적은 영영 사라집니다.
• 쓰기 방지: 복제 과정에서 원본 매체에 어떤 데이터도 기록되지 않도록 하드웨어나 소프트웨어로 차단합니다. 이 장치 없이 원본을 조사용 PC 에 연결하면 운영체제가 자동으로 무언가를 기록해 버립니다.
• 해시 산출: 원본과 사본의 해시값을 계산해 동일함을 기록합니다. 이 값이 이후 모든 무결성 주장의 출발점이 됩니다.

선별의 문제

수집 대상이 방대할 때는 사건과 무관한 개인 정보까지 함께 확보됩니다. 대상자의 가족 사진과 병원 기록이 조사 자료에 섞여 들어오는 일은 실제로 흔합니다.

그래서 목적에 필요한 범위로 한정해 수집하고 분석하는 것이 원칙입니다. 이것은 법적 요구이기도 하고, 조사의 효율 문제이기도 하며, 조사 결과의 신뢰 문제이기도 합니다. 범위를 넘어선 자료를 들여다본 사실이 드러나면 조사 전체의 정당성이 공격받습니다.

분석 단계에서 하는 일

분석은 흩어진 흔적을 시간 순서로 엮어 사실관계를 재구성하는 작업입니다. 파일 하나를 찾는 것이 아니라, 그 파일이 언제 만들어져 누구 손을 거쳐 어디로 갔는지의 경로를 세우는 것이 목적입니다. 이 과정을 타임라인 분석이라고 부릅니다.

이때 지켜야 할 규율이 하나 있습니다. 가설을 세우는 것은 필요하지만, 가설에 맞는 증거만 찾아서는 안 됩니다. 반증이 될 만한 흔적도 같은 강도로 찾아야 하며, 찾지 못했다면 못 찾았다고 적어야 합니다.

보고 단계

보고서는 기술 배경이 없는 사람이 읽고 판단할 수 있어야 합니다. 확인된 사실과 그로부터의 추정을 구분해 적고, 확인하지 못한 부분도 밝히는 것이 신뢰의 조건입니다. 필요할 경우 분석을 수행한 사람이 법정에 출석해 절차와 결과를 직접 설명하기도 합니다.