디지털포렌식수사 원리, 과정 및 복구범위

디지털포렌식은 삭제한 파일도 복구해 내고 사용 흔적들을 찾아낸다는 점에서 그 원리가 굉장히 궁금하실텐데요.

일반적으로 파일을 삭제하면 파일의 실제 데이터는 그대로 남아 있고 파일의 경로 정보만 삭제됩니다.

이후 일정 시간이 지나면 실제 데이터도 지워지게 되는데 이 시점까지 데이터가 삭제되지 않았다면 디지털포렌식을 통해 해당 파일을 복구할 수 있습니다.

또한, 사용 흔적을 찾아내는 과정은 어떤 저장 장치를 연결했는지 어떤 사이트에 접속했는지 등을 중심으로 분석하게 됩니다.

간단히 말하자면, 디지털포렌식은 이런 원리로 데이터를 복구하고 사용 흔적을 추적하는 과정을 거치게 됩니다.

증거수집에서는 모바일기기 등 분석할 전자기기를 전달받아 전체 데이터를 하나의 큰 형태의 이미지 파일로 만듭니다.

예를 들어. 128GB 용량의 모바일 기기를 수집하는 데는 보통 2-3시간이 소요됩니다.

하지만 모바일의 종류(ex. 갤럭시, 아이폰), 설치된 앱의 종류, 저장된 데이터의 양에 따라 수집 시간이 달라질 수 있습니다.

수집 단계에서 생성된 데이터(이미지 파일)를 디지털포렌식 프로그램을 통해 사람이 볼 수 있도록 정제하는 과정입니다.

이 과정에서는 삭제된 것을 복구하거나 각종 앱을 분석하고 압축을 풀고 데이터를 가공합니다.

마찬가지로 분석의 소요시간도 데이터의 양과 종류에 따라 달라집니다.

분석된 데이터를 바탕으로 사건에 필요한 정보를 찾는 과정은 사건과 관련 없는 수많은 데이터 속에서 필요한 정보를 선별하는 작업입니다.

예를 들어, 50만 장의 사진이나 400만 건의 대화 내용 중에서 증거로 사용할 수 있는 중요한 부분만을 찾아내야 하므로 검토 과정에 몇 주가 소요될 수 있습니다.

이러한 선별 작업을 통해 사건 진행에 필수적인 데이터를 증거로 활용할 수 있습니다.

1. 토렌트 사이트

2. 사설게임서버

3. 디스크

4. 모바일

5. 블랙박스/CCTV