[포렌식] 2주차 - 랩과 툴

(2021.01.17)

 

포렌식 스터디 2주차에는 책의 3,4장을 읽고, 윈도우 포렌식 도구에 대해서 공부했다.

책의 3, 4장은 약간 미국의 포렌식 수사에 대한 설명을 담은 내용이었다.

우리나라 수사법도 아니고 미국의 수사법에 대한 내용이니까 간단간단하게 정리했다.

 

book.naver.com/bookdb/book_detail.nhn?bid=7007687

이제 시작이야! 디지털 포렌식

참고도서: 이제 시작이야! 디지털 포렌식

---

 

포렌식 랩 (lab or laboratory)

 

포렌식 랩은 미국 전역에 있고, 관할권 안에 법 집행 기관을 따른다. 

모든 컴퓨터 포렌식 조사가 기존의 랩 환경에서 실시되는 것은 아니다.

 

 

가상 랩

- 조사관과 자료 처리소가 다른 위치에 있어도 운영가능

- 많은 자원에 접근 가능

- 다양하고 저 많은 전문성에 접근 가능

- 자원의 불필요한 이동 감소

- 시스템 보안이 매우 강력해야 증거의 무결성의 수준을 유지할 수 있음

- 연결 속도가 빠르고 안정적이어야 함

- 초기비용이 많이 들고, 많은 기관들이 비용을 감당하지 못함

 

 

데이터 세이프

- 크기가 다양

- 도난과 화재로부터 디지털 증거를 보호하기 위해 특별히 설계되었음

 

 

문서화

- "문서로 남겨두지 않은 것은 실제로 있었던 일이 아니다"

- 전반적인 포렌식 프로세스에서 사용되는 여러 종류의 문서와 보고서 필요

- 보고서는 랩이나 기관의 표준작업 절차서와 매뉴얼에 명시되어있어야함

 

 

조사관의 노트

- 검찰관과 수사관을 포함한 핵심 인물과의 토의

- 특이 사항 및 관련 조치

- 운영체제, 버전 및 패치 상태

- 비밀번호

- 랩이나 법 집행 인력이 시스템을 변경한 사항

 

 

조사관의 최종 보고서

- 보고 기관, 사건 식별 번호/제출 번호

- 제출자와 사건 수사관의 신원정보

- 받은 날짜/ 보고 날짜

- 시리얼 번호, 제조사, 모델 등 증거를 식별할 수 있는 세부 정보

- 조사관의 신원정보, 조사 방법

- 결과와 결론

- 요청과 직접 관련 있는 파일들

- 결과를 지원하는 파일들

- 이메일, 웹 캐시, 채팅 로그 등

- 키워드 검색, 기기 소유권에 대한 증거

 

 

 

 

 

디지털 포렌식 툴

 

포렌식 업무를 더 효율적으로 만들어주거나 혹은 툴 없이는 해결이 불가능한 작업을 해결해준다.

특정 용도만 가능한 툴, 여러 기능을 가진 툴 등 툴은 다양하며, 그 형태도 소프트위어와 하드웨어가 있다.

상업용 툴, 무료 배포용 툴 등 다양하다.

하나의 툴로 모든 작업을 할 수는 없으며 여러 개의 툴을 이용해야한다.

 

 

하드웨어

 

http://forensics.marshall.edu/Facilities/Facilities-WVSPLab.html

 

컴퓨터는 디지털 포렌식 랩의 중추적인 역할을 한다.

최고 사양의 컴퓨터가 필요하다

(AccessData 사의 FTK의 기본 권고사양을 보면 어느정도 알 수 있다.)

 

 

 

 

소프트웨어

 

소프트웨어에는 오픈소스와 상업용 제품이 있다.

오픈소스 툴 중에는 SIFT(the SANS Investigative Forensic Toolkit) 가 있다.

 

 

 

인가

 

인가는 랩의 업무방식을 보증하는 곳이다.

 

아래 4가지의 목적을 가지는 법과학계의 품질인증 기관이다.

1. 형사사법제도에 제공하는 랩 서비스의 품질을 개선한다.

2. 랩의 성과의 수준을 평가하고 운영을 강화하기 위해 랩이 사용할 수 있는 기준을 개발하고 유지한다.

3. 독립적이고 공정하며 객관적인 시스템을 제공한다.

4. 일반 국민과 사용자에게 수립된 표준을 충족하는 랩을 식별하는 수단을 제공한다.

 

인가는 필수사항이 아니다.

인가를 받지 않는 랩도 있으며, 포렌식 랩의 인가를 획득하고 유지하는 것은 많은 노동과 비용이 필요하기 때문에 모든 기관이 인가 받은 것은 아니다.