[디지털포렌식 A to Z] 디지털포렌식 증거 수집 방법

728x90

1. 매채 별 특징

매체 별 특징을 왜 알아야 할까?

매체들은 각각의 고유한 특징이 있기 때문에 대상 매체마다 증거 수집 방법이 다를 수 있다. 또 수집 대상인 저장 매체가 정상적인 경우면 좋겠지만, 그렇지 않고 훼손된 경우일 때 매체의 특징을 잘 알고 있어야 자유로운 수집 행위가 가능하다.

# 디스크: HDD, SSD 등

# 메모리: USB Stick, SD card, Micrdo SD, CF(Compact Flash 등)

하드 디스크의 구조

하드 디스크의 구조는 위와 같다. 데이터를 저장하는 패턴은 하드 디스크 플래터 위 매우 얇은 미디어에 기록이 되며, 헤드는 전원이 off 되어 있을 때 플래터와 맞닿아있다가 전원이 들어오면 매우 미세하게 떠서 미디어의 패턴을 읽는 방식이다.

하드 디스크는 매우 매우 민감하다. 예를 들어서, 하드 디스크에 약간의 충격이 가해졌다고 치자. 그러면 디스크를 읽는 헤드 암이 디스크와의 일정 거리를 유지하지 못하고 닿게 된다. 그 충격으로 디스크에는 쿵 하는 손상이 생긴다. 그런데 이렇게 끝나는 것이 아니라 '쿵' 충격이 가해진 디스크의 주변이 융기한다. 마치 모래 사장에 돌을 던지면 해당 부분만 파이고 양 옆은 살짝 올라오는 것처럼. 그렇게 융기된 부분이 헤드에 닿게 되면 또 헤드가 휘어지고, 그 휘어진 채로 디스크를 읽으면 결국 미디어 전체에 스크래치가 생긴다.

미디어는 물리적으로, 알루미늄 또는 유리로 제작이 된다. 전통적으로는 알루미늄을 많이 사용했는데 열에 반응하는 물질이다 보니, 하드 디스크에 발열이 생겼을 때 알루미늄이 휘어지는 현상이 발생하고 데이터를 제대로 못 읽는 참사가 일어났다. 그래서 열 전도성이 없는 유리를 사용하기 시작했는데, 말 그대로 유리다보니 2000년대 초반에 제작된 하드 디스크들은 유리가 깨지기도 했다. 요즘엔 충격에 강해 깨지지 않는 유리로 제작이 된다.

# 배드 섹터: 섹터의 하위 개념인 비트 또는 바이트에서 배드가 생기면 그 섹터 전체가 배드 섹터가 된다.

하드 디스크 미디어 층에 트랙, 섹터 등을 제조 단계에서 긋는 것을 '서브라이팅', 이후 파티클 등 미디어에 대한 오류 테스팅인 '번인 테스트'를 진행한다. 번인 테스트 후에 배드 섹터나 파티클 등으로 인해 쓸 수 없는 영역이 있다면, 미디어의 최외각 부분인 '서비스 영역'에 그 정보들을 마킹한다. 즉, 이 최외각 서비스 영역에 배드 섹터가 어디있는지 마킹만 잘 해준다면, 더 이상 미디어의 배드 섹터는 문제가 안된다는 말이다. 하지만 이 서비스 영역에 배드 섹터가 있다면..? 아쉽게도 복원이 불가능하다.

최외각 서비스 영역을 지난 그 다음 부분이 0 섹터로, 데이터 기록이 시작되는 부분이다. 이런 식으로 하드 디스크는 데이터가 쌓일 수록 안 쪽 트랙에 저장되는데, 안 쪽으로 갈 수록 읽는 속도가 느려진다. 하드 디스크를 오래 쓰면 느려지는 이유라고 한다.

USB의 구조

ㅇㄹ

법무법인 린의 구태언 변호사님 특강 Q&A

Q1. 데이터 복구나 포렌식을 한다는 기업들이 많이 생겨나고 있습니다. 정준영 황금폰 사건에서의 데이터복구 업체의 개인정보 유출과 같이, 기업이 개인정보처리에 있어 소홀한 원인이 무엇이라고 생각하시나요? 책임감을 강화하기 위해서는 특강 등의 교육 이외에 어떤 방안이 있을까요?

A1. 정준영 황금폰 사건에서는 불법 자료를 고발한 것. 디지털 포렌식에 관련하여 선한 사마리아인 법 조항이 없기 때문에 법적 의무는 없지만 내부 고발자를 장려하는 문화가 우리 사회를 지켜주는 방안이 될 것. 물론 고객의 개인정보를 보호하는 일은 중요하지만, 불법행위를 확인하고 그것을 보호할 의무는 없다고 생각. 고객의 정보를 보호하는 일은 정의. 하지만 정의는 의무를 갖지 않기 때문에 보호할 의무 또한 없는 것이라고 생각.

Q2. 우리나라 신산업 발전에 관심을 갖게 되신 변호사님의 동기가 무엇인가요?

A2. 플랫폼이 유통, 물류, 제조, 무역 모두를 장악하고 있음. 스마트제어 서비스(홈 제어, 일정 알림 등)에 인공지능 비서가 나타나며 ‘네가 알아서 해’와 같이 그들에게 선택권을 넘겨줌으로써 인공지능이 권력을 갖게 됨. 이런 상황에서 기술 발전에 따라가며 좋은 세상을 만들고 좋은 세상에 살고 싶었음.

Q3. 사후적인 성격이 강한 법이 빠르게 변하는 4차 산업혁명의 발달을 저해할 가능성이 있어 보이지 않나요?

A3. 처음 자동차가 만들어졌을 때, 이를 규제하는 법은 거의 자동차를 못 타게 하는 법이었음. (적기조례) 선한 영향력에 있어 닫힌 규제는 문제가 됨. 예를 들어 오프사이드라는 규칙(열린 규제)이 없다면 다 골대 앞에 있을 것.

Q4. 핀테크, 블록체인 산업의 확대에 따라 디지털 포렌식이 어떻게 활용될 수 있을까요?

A4. 핀테크에서 금융법 위반. 개인 정보 위반, 펀드 사기, 사이버 범죄 등의 불법 행위는, 증거가 있음. 오프라인 시장이 없는 핀테크의 특성상 온라인 상에서 행해지는 불법 행위를 찾아내는 역할을 할 수 있을 것. 또 불법행위가 아니더라도 내부 감사 등을 통해 기업 내의 비윤리적인 행위를 발견할 수도 있음. 블록체인이나 신기술 산업이 더욱 발전하여 이에 따라 AI 포렌식도 발전할 것으로 생각.