디지털 포렌식

디지털 포렌식()은 디지털 장치에서 발견되는 자료의 복구, 조사, 검사 및 분석을 다루는 법과학의 한 분야로, 주로 모바일 장치 및 컴퓨터 범죄와 관련이 있다. "디지털 포렌식"이라는 용어는 원래 컴퓨터 포렌식의 동의어로 사용되었으나, 디지털 데이터를 저장할 수 있는 모든 장치에 대한 조사로 그 범위가 확장되었다. 1970년대 후반과 1980년대 초반의 개인용 컴퓨터 혁명에 뿌리를 둔 이 분야는 1990년대 동안 산발적으로 발전해 왔으며, 21세기 초에 이르러서야 국가적인 정책이 등장하기 시작했다.

디지털 포렌식 조사는 다양한 분야에 응용된다. 가장 일반적인 용도는 형사 또는 민사 소송 법정에서 가설을 뒷받침하거나 반박하는 것이다. 형사 사건은 입법에 의해 정의되고 경찰이 집행하며 국가가 기소하는 법률 위반(예: 살인, 절도, 폭행)과 관련이 있다. 반면 민사 사건은 개인의 권리와 재산을 보호하는 일(흔히 가족 분쟁과 관련됨)을 다루지만, 기업 간의 계약 분쟁과도 관련될 수 있으며 이 경우 전자 디스커버리(ediscovery)라고 불리는 디지털 포렌식 형태가 포함될 수 있다.

포렌식은 기업 내부 조사나 침입 조사(승인되지 않은 네트워크 침입의 성격과 범위에 대한 특별 조사)와 같은 민간 부문에서도 특징적으로 나타날 수 있다.Easttom, Chuck.Digital Forensics, Investigation, and Response
Fourth Edition https://www.jblearning.com/catalog/productdetails/9781284226065

조사의 기술적 측면은 관련된 디지털 장치의 유형에 따라 컴퓨터 포렌식, 네트워크 포렌식, 포렌식 데이터 분석, 모바일 장치 포렌식 등의 세부 분야로 나뉜다. 전형적인 포렌식 과정은 디지털 매체의 압수, 포렌식 이미징(획득), 분석을 포함하며, 수집된 증거에 대한 보고서 작성이 뒤따른다.

범죄의 직접적인 증거를 식별하는 것 외에도, 디지털 포렌식은 증거를 특정 용의자의 행위로 귀속시키거나, 알리바이 또는 진술을 확인하고, 범죄 의도를 판단하며, 출처를 식별(예: 저작권 사건)하거나 문서의 진위를 입증하는 데 사용될 수 있다. 조사는 다른 법과학 분석 분야(보통 일련의 단순한 질문에 답하는 것이 목표인 분야)보다 범위가 훨씬 넓으며, 종종 복잡한 타임라인이나 가설이 수반된다.

 역사 
1970년대 이전에는 컴퓨터와 관련된 범죄가 기존 법률을 사용하여 처리되었다. 최초의 컴퓨터 범죄는 1978년 플로리다 컴퓨터 범죄법(Florida Computer Crimes Act)에서 인식되었으며, 여기에는 컴퓨터 시스템상의 데이터를 무단으로 수정하거나 삭제하는 것에 반하는 입법이 포함되었다. 이후 몇 년 동안 저질러지는 컴퓨터 범죄의 범위가 증가했고, 저작권, 개인정보 보호/괴롭힘(예: 사이버 불링, 해피 슬래핑, 사이버 스토킹, 온라인 포식자), 그리고 아동 포르노 문제들을 다루기 위한 법률들이 통과되었다. 1980년대에 들어서야 연방법에 컴퓨터 범죄가 포함되기 시작했다. 캐나다는 1983년에 최초로 관련 법안을 통과시킨 국가였다. 이어 1986년 미국의 연방 컴퓨터 사기 및 남용법, 1989년 호주의 형법 개정, 1990년 영국의 컴퓨터 남용법이 뒤를 이었다. 디지털 포렌식 방법은 문화유산 기관에서 본래 디지털로 생성된(born-digital) 문화 자료를 보존하고 인증하는 데 점점 더 많이 적용되고 있다.

 1980년대~1990년대: 분야의 성장 
1980년대와 1990년대에 걸친 컴퓨터 범죄의 성장은 법집행기관들이 조사의 기술적 측면을 다루기 위해 보통 국가 수준에서 전문 그룹을 창설하기 시작하는 계기가 되었다. 예를 들어, 1984년에 FBI는 컴퓨터 분석 및 대응팀(CART)을 출범시켰고, 이듬해 영국 광역경찰청 사기 전담 부서 내에 컴퓨터 범죄 부서가 설치되었다. 법집행 전문가인 동시에 초기 멤버 중 다수는 컴퓨터 애호가이기도 했으며, 이들이 이 분야의 초기 연구와 방향 설정을 주도하게 되었다.

디지털 포렌식의 첫 번째 실질적인(또는 적어도 공개된) 사례 중 하나는 1986년 클리프 스톨이 해커 마르쿠스 헤스를 추적한 일이었다. 컴퓨터 및 네트워크 포렌식 기법을 활용하여 조사했던 스톨은 전문 조사관은 아니었다. 초기의 많은 포렌식 검사들도 이와 유사한 양상을 보였다.

1990년대 내내 이러한 새롭고 기초적인 조사 자원에 대한 수요가 높았다. 중앙 부서에 가중되는 부담으로 인해 그 부하를 처리하기 위한 지역 및 지방 수준의 그룹들이 만들어졌다. 예를 들어, 영국의 국립 하이테크 범죄 부대(National Hi-Tech Crime Unit)는 컴퓨터 범죄를 위한 국가적 인프라를 제공하기 위해 2001년에 설립되었으며, 인력은 런던 중앙과 여러 지역 경찰국에 배치되었다(이 부대는 2006년에 SOCA로 통합되었다).

이 시기 동안 디지털 포렌식 과학은 이러한 애호가 실무자들이 개발한 임시 도구와 기법으로부터 성장했다. 이는 과학계의 연구로부터 발전한 다른 법과학 분야와 대조적이다. 1992년이 되어서야 학술 출판물에서 "컴퓨터 포렌식"이라는 용어가 사용되기 시작했다(비록 그 이전부터 비공식적으로 사용되기는 했지만). 콜리어와 스폴의 논문은 법과학계에 이 새로운 학문을 정당화하고자 시도했다. 이러한 급격한 발전은 표준화와 교육의 부족을 초래했다. K. 로젠블랫은 1995년 저서 《첨단 기술 범죄: 컴퓨터 관련 사건 조사》에서 다음과 같이 기술했다.

 2000년대: 표준 개발 
2000년 이후 표준화의 필요성에 부응하여 다양한 단체와 기관들이 디지털 포렌식 가이드라인을 발표했다. 디지털 증거에 관한 과학적 실무 그룹(SWGDE)은 2002년에 〈컴퓨터 포렌식을 위한 모범 사례〉 논문을 제작했으며, 2005년에는 국제 표준화 기구 표준인 ISO/IEC 17025(시험 및 교정 기관의 자격에 관한 일반 요구 사항)가 발표되었다. 유럽 주도의 국제 조약인 사이버 범죄 조약(부다페스트 협약)은 국가별 컴퓨터 범죄법, 조사 기법 및 국제 협력을 조정할 목적으로 2004년에 발효되었다. 이 조약에는 미국, 캐나다, 일본, 남아공, 영국 및 기타 유럽 국가를 포함한 43개국이 서명하고 16개국이 비준했다.

교육 문제 또한 관심을 받았다. 상업 회사(주로 포렌식 소프트웨어 개발사)들이 인증 프로그램을 제공하기 시작했고, 디지털 포렌식 분석은 영국의 전문 조사관 교육 시설인 센트렉스(Centrex)의 과목으로 포함되었다.

1990년대 후반에 모바일 장치가 더 널리 보급되면서 단순한 통신 기기를 넘어 발전했으며, 전통적으로 디지털 포렌식과 연관되지 않았던 범죄에 대해서도 풍부한 정보원이 된다는 점이 발견되었다. 그럼에도 불구하고 휴대폰의 디지털 분석은 장치의 폐쇄적인 특성 문제로 인해 전통적인 컴퓨터 매체에 비해 뒤처져 왔다.

초점은 또한 인터넷 범죄, 특히 사이버 전쟁과 사이버테러리즘의 위험으로 옮겨갔다. 2010년 2월 미국 합동전력사령부의 보고서는 다음과 같이 결론지었다.

디지털 포렌식 분야는 여전히 해결되지 않은 문제들에 직면해 있다. 피터슨과 쉐노이의 2009년 논문 〈디지털 포렌식 연구: 좋은 것, 나쁜 것 그리고 다뤄지지 않은 것〉은 디지털 포렌식 연구가 윈도우 운영체제에 편중되어 있음을 지적했다. 2010년 심슨 가핀켈은 디지털 매체 크기의 증가, 소비자들의 암호화 사용 확대, 운영체제 및 파일 형식의 다양화, 한 개인이 여러 장치를 소유하는 경향의 증가, 조사관에 대한 법적 제한 등 미래의 디지털 조사가 직면할 문제들을 식별했다. 이 논문은 또한 지속적인 교육 문제와 이 분야에 진입하는 데 드는 과도하게 높은 비용을 지적했다.

 포렌식 도구의 발전 

1980년대에는 전문적인 디지털 포렌식 도구가 거의 존재하지 않았다. 결과적으로 조사관들은 종종 매체에 대해 실시간 분석(live analysis)을 수행했으며, 기존의 시스템 관리자 도구를 사용하여 운영체제 내에서 컴퓨터를 조사해 증거를 추출했다. 이 방식은 의도치 않게 디스크의 데이터를 수정할 위험이 있었고, 이는 증거 조작 주장을 초래했다. 1990년대 초에 이 문제를 해결하기 위해 여러 도구들이 만들어졌다.

이러한 소프트웨어의 필요성은 1989년 연방 법집행 교육 센터에서 처음 인식되었고, 마이클 화이트에 의해 IMDUMP가, 1990년에는 시덱스(Sydex)에서 SafeBack이 개발되었다. 다른 국가에서도 유사한 소프트웨어가 개발되었는데, 1991년 영국에서 DIBS(하드웨어 및 소프트웨어 솔루션)가 상업적으로 출시되었고, 롭 맥케미시는 오스트레일리아 법집행기관에 Fixed Disk Image를 무료로 배포했다. 이러한 도구들은 조사관이 디지털 매체의 정확한 사본을 만들어 작업할 수 있게 함으로써, 원본 디스크를 검증용으로 온전하게 남겨둘 수 있게 했다. 1990년대 말 디지털 증거에 대한 수요가 증가함에 따라 EnCase나 FTK와 같은 고급 상업용 도구들이 개발되어, 분석가들이 라이브 포렌식을 사용하지 않고도 매체의 복사본을 검사할 수 있게 되었다. 최근에는 "라이브 메모리 포렌식"의 추세가 성장하여 WindowsSCOPE와 같은 도구들을 사용할 수 있게 되었다.

더 최근에는 모바일 장치에 대해서도 동일한 도구 발전 과정이 일어났다. 초기에는 조사관이 장치 데이터에 직접 접근했으나 곧 XRY나 Radio Tactics Aceso 같은 전문 도구들이 등장했다.

경찰 당국은 압도적인 디지털 포렌식 서비스 수요를 관리하기 위해 위험 기반의 선별(triage) 시스템을 시행하기 시작했다.

 포렌식 과정 
섬네일|right|220px|하드 드라이브에 연결된 휴대용 Tableau 쓰기 방지 장치

디지털 포렌식 조사는 일반적으로 다음의 세 단계로 구성된다.

 증거물의 획득 또는 디스크 이미징
 분석
 보고

획득은 사고 대응 조사의 일환으로 수행되지 않는 한, 일반적으로 컴퓨터의 휘발성 메모리(RAM) 이미지를 캡처하는 것을 포함하지 않는다. 일반적으로 이 작업은 원본의 수정을 방지하기 위해 쓰기 방지 장치를 사용하여 매체의 정확한 섹터 수준 복제본(또는 "법적 복제본")을 만드는 것을 포함한다. 그러나 저장 매체 크기의 증가와 클라우드 컴퓨팅의 발전으로 인해 물리적 저장 장치의 전체 이미지보다는 데이터의 '논리적' 사본을 획득하는 '라이브' 획득 방식의 사용이 늘어났다. 획득한 이미지(또는 논리적 사본)와 원본 매체/데이터는 모두 (SHA-1 또는 MD5와 같은 알고리즘을 사용하여) 해싱되며, 그 값을 비교하여 복사본이 정확한지 확인한다.

'하이브리드 포렌식' 또는 '분산 포렌식'이라 불리는 대안적(그리고 특허받은) 접근 방식은 디지털 포렌식과 전자 디스커버리 프로세스를 결합한다. 이 접근 방식은 2017년 컨퍼런스에서 테스트 결과와 함께 발표된 ISEEK라는 상용 도구에 구현되었다.

분석 단계에서 조사관은 여러 가지 방법론과 도구를 사용하여 증거 자료를 복구한다. 2002년 디지털 증거 국제 저널(International Journal of Digital Evidence)의 기사에서는 이 단계를 "의심되는 범죄와 관련된 증거에 대한 심층적이고 체계적인 검색"이라고 언급했다. 2006년 포렌식 연구원 브라이언 캐리어는 명백한 증거를 먼저 식별한 다음 "빈틈을 채우기 위해 철저한 검색을 수행하는" "직관적인 절차"를 설명했다.

실제 분석 과정은 조사마다 다를 수 있지만, 공통적인 방법론으로는 디지털 매체 전체에 걸친 키워드 검색(파일 내부는 물론 할당되지 않은 공간 및 슬랙 공간 포함), 삭제된 파일 복구, 레지스트리 정보 추출(예: 사용자 계정 목록 또는 연결된 USB 장치 확인) 등이 있다.

복구된 증거는 사건이나 행동을 재구성하고 결론을 도출하기 위해 분석되며, 이 작업은 종종 덜 전문적인 직원에 의해 수행될 수도 있다. 조사가 완료되면 데이터는 보통 서면 보고서의 형태로 비전문가도 이해할 수 있는 용어로 제시된다.

 응용 
섬네일|right|출처를 증명하는 데 사용될 수 있는 이미지의 Exif 메타데이터 예시

디지털 포렌식은 형법과 민간 조사 모두에서 흔히 사용된다. 전통적으로는 법정에서 가설을 지지하거나 반박하기 위해 증거를 수집하는 형법과 관련이 있어 왔다. 다른 법과학 분야와 마찬가지로 이는 종종 여러 학문에 걸친 광범위한 조사의 일부가 된다. 어떤 경우에는 수집된 증거가 법정 절차 이외의 목적(예: 다른 범죄의 위치 파악, 식별 또는 중단)을 위한 정보 수집의 형태로 사용되기도 한다. 결과적으로 정보 수집은 때때로 덜 엄격한 포렌식 기준을 적용받기도 한다.

민사 소송이나 기업 문제에서 디지털 포렌식은 전자 디스커버리(eDiscovery) 프로세스의 일부를 형성한다. 포렌식 절차는 형사 조사에서 사용되는 것과 유사하지만, 종종 다른 법적 요구 사항과 제한 사항이 따른다. 법정 밖에서 디지털 포렌식은 기업 내부 조사의 일부가 될 수 있다.

일반적인 예로 무단 네트워크 침입 이후를 들 수 있다. 공격의 성격과 범위를 파악하기 위한 전문적인 포렌식 검사는 침입 범위를 확정하고 공격자를 식별하기 위한 피해 최소화 조치로서 수행된다. 이러한 공격은 1980년대에는 주로 전화선을 통해 이루어졌으나, 현대에는 보통 인터넷을 통해 전파된다.

디지털 포렌식 조사의 주된 초점은 범죄 활동의 객관적 증거(법률 용어로 actus reus)를 복구하는 것이다. 그러나 디지털 장치에 보관된 다양한 범위의 데이터는 다른 조사 분야에도 도움이 될 수 있다.

 속성 부여(Attribution)
 메타데이터와 기타 로그를 사용하여 특정 개인에게 행동을 귀속시킬 수 있다. 예를 들어, 컴퓨터 드라이브의 개인 문서는 그 소유자를 식별해 줄 수 있다.
 알리바이와 진술
 관련자들이 제공한 정보는 디지털 증거와 대조 확인될 수 있다. 예를 들어, 소함 살인 사건 조사 당시 피의자의 알리바이는 그가 함께 있었다고 주장한 인물의 휴대폰 기록을 통해 그녀가 당시 시외에 있었음이 밝혀지면서 허위로 판명되었다.
 의도(Intent)
 범죄가 저질러졌다는 객관적 증거를 찾는 것뿐만 아니라, 조사는 의도(mens rea라는 법률 용어로 알려짐)를 증명하는 데에도 사용될 수 있다. 예를 들어, 살인범으로 유죄 판결을 받은 닐 엔트위슬의 인터넷 기록에는 '사람을 죽이는 방법'을 논의하는 사이트에 접속한 기록이 포함되어 있었다.
 출처 평가
 파일 아티팩트와 메타데이터는 특정 데이터 조각의 기원을 식별하는 데 사용될 수 있다. 예를 들어, 구버전 마이크로소프트 워드는 파일을 생성한 컴퓨터를 식별하는 전역 고유 식별자(GUID)를 파일에 포함했다. 파일이 검사 중인 디지털 장치에서 생성되었는지 아니면 다른 곳(예: 인터넷)에서 얻은 것인지 증명하는 것은 매우 중요할 수 있다.
 문서 인증
 "출처 평가"와 관련하여, 디지털 문서와 관련된 메타데이터는 쉽게 수정될 수 있다(예: 컴퓨터 시계를 변경하여 파일 생성 날짜에 영향을 줄 수 있음). 문서 인증은 이러한 세부 사항의 위조를 탐지하고 식별하는 것과 관련이 있다.

 제한 사항 
포렌식 조사의 큰 제한 사항 중 하나는 암호화의 사용이다. 이는 키워드를 사용하여 관련 증거를 찾을 수 있는 초기 검사를 방해한다. 개인에게 암호화 키를 공개하도록 강제하는 법률은 여전히 비교적 새롭고 논란의 여지가 있다. 그러나 스마트폰이나 PC에서 부트로더 기술을 이용해 장치 콘텐츠를 먼저 획득한 후 비밀번호나 암호화 키를 찾기 위해 나중에 강제하는 등 비밀번호를 무차별 대입하거나 암호화를 우회하는 솔루션이 점점 더 빈번하게 등장하고 있다. 암호화된 장치가 포함된 사건의 약 60%는 잠재적 증거에 접근할 방법이 없어 처리되지 못하는 것으로 추정된다.

 법적 고려 사항 
디지털 매체의 검사는 국가 및 국제 법률의 적용을 받는다. 특히 민사 조사의 경우, 법률이 분석가의 조사 수행 능력을 제한할 수 있다. 네트워크 모니터링이나 개인 통신 내용 읽기에 대한 제한이 흔히 존재한다. 형사 조사 중에는 국가 법률에 따라 압수할 수 있는 정보의 양이 제한된다. 예를 들어, 영국에서 법집행기관의 증거 압수는 PACE 법의 적용을 받는다. 이 분야의 초기 단계에 존재했던 "국제 컴퓨터 증거 기구"(IOCE)는 증거 압수에 대한 호환 가능한 국제 표준을 수립하기 위해 노력한 기관 중 하나였다.

영국에서는 컴퓨터 범죄를 다루는 동일한 법률이 포렌식 조사관에게도 영향을 미칠 수 있다. 1990년 컴퓨터 남용법은 컴퓨터 자료에 대한 무단 접근을 법으로 금지하고 있다. 이는 법집행기관보다 더 많은 제약을 받는 민간 조사관들에게 특히 우려되는 부분이다.

개인의 프라이버시권은 디지털 포렌식 분야에서 법정에 의해 여전히 명확히 결정되지 않은 영역 중 하나이다. 미국의 전자통신비밀보호법(ECPA)은 법집행기관이나 민간 조사관이 증거를 가로채고 접근하는 능력에 제한을 둔다. 이 법은 저장된 통신(예: 이메일 아카이브)과 전송 중인 통신(예: VOIP)을 구분한다. 후자는 프라이버시 침해가 더 큰 것으로 간주되어 영장을 얻기가 더 어렵다. ECPA는 또한 회사가 직원의 컴퓨터와 통신을 조사하는 능력에도 영향을 미치며, 회사가 그러한 모니터링을 어느 정도까지 수행할 수 있는지에 대해서는 여전히 논의 중이다.

유럽 인권 협약 제5조는 ECPA와 유사한 프라이버시 제한을 주장하며, EU 내부 및 외부 국가와의 개인 데이터 처리 및 공유를 제한한다. 영국 법집행기관의 디지털 포렌식 조사 수행 능력은 2000년 수사권한 규제법에 의해 법제화되어 있다.

 디지털 증거 
섬네일|right|디지털 증거는 여러 형태로 나타날 수 있다

법정에서 사용될 때, 디지털 증거는 다른 형태의 증거와 동일한 법적 가이드라인을 따르며, 법원은 대개 더 엄격한 가이드라인을 요구하지 않는다. 미국에서는 디지털 증거의 증거능력을 평가하기 위해 연방증거법이 사용된다. 영국의 PACE 및 민사증거법(Civil Evidence acts)도 유사한 가이드라인을 가지고 있으며, 다른 많은 국가들도 자체적인 법률을 보유하고 있다. 미국의 연방법은 압수 대상을 명백한 증거 가치가 있는 항목으로만 제한한다. 이는 조사를 수행하기 전에는 디지털 매체에서 항상 확립 가능한 것은 아니라고 인정된다.

디지털 증거를 다루는 법률은 두 가지 문제에 관심을 둔다.

 무결성(Integrity) - 디지털 매체를 압수하고 획득하는 행위가 증거(원본 또는 사본)를 수정하지 않도록 보장하는 것이다.
 진정성(Authenticity) - 정보의 무결성을 확인할 수 있는 능력을 말하며, 예를 들어 이미징된 매체가 원본 증거와 일치하는지 여부이다.

디지털 매체는 수정이 용이하기 때문에, 범죄현장에서 분석을 거쳐 최종적으로 법정에 이르기까지의 관리 연속성(일종의 감사용 기록)을 문서화하는 것이 증거의 진정성을 확립하는 데 중요하다.

변호인들은 디지털 증거가 이론적으로 변경될 수 있기 때문에 증거의 신뢰성이 훼손된다고 주장해 왔다. 미국 판사들은 이 이론을 기각하기 시작했는데, US v. Bonallo 사건에서 법원은 "컴퓨터에 포함된 데이터가 변경 가능하다는 사실만으로는 신뢰할 수 없음을 입증하기에 명백히 부족하다"라고 판결했다. 영국에서는 증거의 진정성과 무결성을 문서화하는 데 도움이 되도록 경찰청장협의회(ACPO)에서 발행한 것과 같은 가이드라인을 따른다.

디지털 조사관은 특히 형사 조사에서 결론이 사실적 증거와 본인의 전문가적 지식에 근거하도록 보장해야 한다. 예를 들어 미국의 연방증거법은 자격을 갖춘 전문가가 다음과 같은 경우에 "의견 또는 다른 형태"로 증언할 수 있다고 규정한다.

디지털 포렌식의 세부 분야들은 조사 수행과 증거 처리에 관해 각기 구체적인 가이드라인을 가질 수 있다. 예를 들어, 휴대폰은 추가적인 무선 트래픽이 유입되는 것을 방지하기 위해 압수나 획득 과정 동안 패러데이 차폐 안에 보관되어야 할 수도 있다. 영국에서 형사 사건의 컴퓨터 포렌식 검사는 ACPO 가이드라인의 적용을 받는다. 또한 디지털 증거를 다루는 방법에 대한 가이드를 제공하는 국제적인 접근 방식도 있다. 유럽 평의회의 "전자 증거 가이드"는 전자 증거의 식별 및 처리에 관한 자체 가이드라인을 수립하거나 강화하려는 국가의 법집행기관 및 사법 당국을 위한 프레임워크를 제공한다.

 조사 도구 

디지털 증거의 증거능력은 그것을 추출하는 데 사용된 도구에 달려 있다. 미국에서 포렌식 도구는 도버트 기준을 따르며, 판사는 사용된 프로세스와 소프트웨어가 수용 가능한지 보장할 책임이 있다.

2003년 논문에서 브라이언 캐리어는 도버트 가이드라인이 포렌식 도구의 코드가 공개되고 동료 검토(peer review)를 거칠 것을 요구한다고 주장했다. 그는 "오픈 소스 도구가 폐쇄형 소스 도구보다 가이드라인 요구 사항을 더 명확하고 포괄적으로 충족할 수 있다"라고 결론지었다.

2011년 조시 브런티는 디지털 포렌식 검사 수행과 관련된 기술 및 소프트웨어의 과학적 검증이 모든 실험실 프로세스에 중요하다고 언급했다. 그는 "디지털 포렌식 과학은 반복 가능한 프로세스와 양질의 증거 원칙에 기반하므로, 법정에서 자신의 방법을 방어하기 위해 우수한 검증 프로세스를 설계하고 적절히 유지하는 방법을 아는 것은 모든 디지털 포렌식 조사관에게 핵심적인 요구 사항이다"라고 주장했다.

포렌식 도구 검증과 관련된 주요 이슈 중 하나는 도구 테스트/평가를 위한 '기준점(baseline)' 또는 참조점을 결정하는 것이다. NIST에서 개발한 컴퓨터 포렌식 도구 테스트(CFTT) 프로그램과 같이 포렌식 도구의 기능을 테스트하기 위한 환경을 제공하려는 수많은 시도가 있었다.

실무자들이 활동하는 다양한 환경을 고려하여 테스트/평가 환경을 맞춤화하기 위한 프레임워크를 만들려는 시도도 많았다.https://www.researchgate.net/publication/236681282_On-scene_Triage_open_source_forensic_tool_chests_Are_they_effective ? 이러한 자원들은 단일 또는 제한된 수의 대상 시스템에 초점을 맞춘다. 그러나 수년간 조사에서 더 흔해진 대규모 네트워크나 클라우드용으로 설계된 도구를 테스트/평가하려고 할 때는 확장성이 떨어진다. 2025년 현재 분산 처리/수집을 위해 포렌식 도구가 원격 에이전트를 사용하는 것을 다루는 유일한 프레임워크는 아담스에 의해 개발된 것이다.

 분야 
디지털 포렌식 조사는 범죄자들이 법을 위반하고 소형 디지털 장치(예: 태블릿, 스마트폰, 플래시 드라이브)를 이제 광범위하게 사용함에 따라 단순히 컴퓨터에서 데이터를 추출하는 것에 국한되지 않는다. 이러한 장치 중 일부는 휘발성 메모리를 가지고 있고 일부는 비휘발성 메모리를 가지고 있다. 휘발성 메모리에서 데이터를 추출하기 위한 충분한 방법론은 사용 가능하지만, 비휘발성 메모리 소스에서 데이터를 추출하기 위한 상세한 방법론이나 프레임워크는 부족한 실정이다. 장치, 매체 또는 아티팩트의 유형에 따라 디지털 포렌식 조사는 다양한 유형으로 나뉜다.

 컴퓨터 포렌식 

섬네일|현장에서 포렌식 검사를 위해 하드 드라이브를 이미징하고 있는 민간 조사관 및 인증 디지털 포렌식 조사관.

컴퓨터 포렌식의 목표는 컴퓨터 시스템, 저장 매체 또는 전자 문서와 같은 디지털 아티팩트의 현재 상태를 설명하는 것이다. 이 분야는 일반적으로 컴퓨터, 임베디드 시스템(기초적인 계산 능력과 온보드 메모리를 가진 디지털 장치) 및 정적 메모리(USB 펜 드라이브 등)를 다룬다.

컴퓨터 포렌식은 로그(인터넷 기록 등)부터 드라이브의 실제 파일에 이르기까지 광범위한 정보를 다룰 수 있다. 2007년 검찰은 조셉 에드워드 던컨의 컴퓨터에서 복구한 스프레드시트를 사용하여 계획적인 살인을 입증하고 사형 판결을 끌어냈다. 샤론 로파트카의 살해범은 고문과 죽음에 관한 환상을 상세히 기록한 그가 보낸 이메일 메시지가 그녀의 컴퓨터에서 발견된 후 2006년에 식별되었다.

 모바일 장치 포렌식 

섬네일|right|220px|영국의 증거물 봉투에 담긴 휴대폰들

모바일 장치 포렌식은 모바일 장치로부터 디지털 증거 또는 데이터를 복구하는 것과 관련된 디지털 포렌식의 세부 분야이다. 이는 모바일 장치가 내장된 통신 시스템(예: GSM)과 대개 독자적인 저장 매커니즘을 가지고 있다는 점에서 컴퓨터 포렌식과 다르다. 조사는 주로 삭제된 데이터의 심층적인 복구보다는 통화 데이터 및 통신(단문 메시지 서비스/이메일)과 같은 단순한 데이터에 집중한다. 모바일 장치 조사에서 나온 SMS 데이터는 메러디스 커처 살인 사건에서 패트릭 루뭄바의 무죄를 입증하는 데 도움이 되었다.

모바일 장치는 내장된 GPS/위치 추적 또는 해당 범위 내의 장치를 추적하는 기지국 로그를 통해 위치 정보를 제공하는 데에도 유용하다. 이러한 정보는 2006년 토마소 오노프리의 납치범들을 추적하는 데 사용되었다.

 네트워크 포렌식 

네트워크 포렌식은 정보 수집, 증거 수집 또는 침입 탐지를 목적으로 로컬 및 WAN/인터넷을 포함한 컴퓨터 망 트래픽을 모니터링하고 분석하는 것과 관련이 있다.Gary Palmer, A Road Map for Digital Forensic Research, Report from DFRWS 2001, First Digital Forensic Research Workshop, Utica, New York, 7–8 August 2001,  Page(s) 27–30 트래픽은 보통 패킷 레벨에서 가로채지며, 나중에 분석하기 위해 저장되거나 실시간으로 필터링된다. 디지털 포렌식의 다른 분야와 달리 네트워크 데이터는 종종 휘발성이고 기록이 남는 경우가 드물어, 이 학문은 종종 사후 반응적인 성격을 띤다.

2000년에 FBI는 컴퓨터 해커인 알렉세이 이바노프와 고르쉬코프를 가짜 구인 면접을 구실로 미국으로 유인했다. 두 사람의 컴퓨터에서 발생하는 네트워크 트래픽을 모니터링함으로써 FBI는 비밀번호를 알아냈고, 이를 통해 러시아에 있는 컴퓨터에서 직접 증거를 수집할 수 있었다.

 포렌식 데이터 분석 

포렌식 데이터 분석은 디지털 포렌식의 한 분야이다. 이는 금융 범죄로 인한 사기 활동의 패턴을 발견하고 분석할 목적으로 구조화된 데이터를 검사한다.

 디지털 이미지 포렌식 
디지털 이미지 포렌식(또는 포렌식 이미지 분석)은 이미지의 진위와 내용을 검사하고 확인하는 디지털 포렌식의 한 분야이다. 이는 스탈린 시대의 수정된 사진부터 정교한 딥페이크 영상에 이르기까지 다양하다. 이는 광범위한 범죄, 민사 및 형사 재판에서 제시된 정보의 타당성 판단, 그리고 뉴스나 소셜 미디어를 통해 유포되는 이미지 및 정보의 검증에 광범위한 시사점을 준다.

 다크 웹 포렌식 

다크 웹 포렌식은 디지털 포렌식 및 사이버 범죄 조사의 하위 분야로, 다크 웹 및 기타 다크넷(Tor, I2P 및 사설 P2P 네트워크와 같은 오버레이 네트워크)에서의 활동과 기원하거나 관련된 디지털 증거의 식별, 수집, 보존, 분석 및 보고에 중점을 둔다.

 데이터베이스 포렌식 

데이터베이스 포렌식은 데이터베이스와 그 메타데이터에 대한 포렌식 연구와 관련된 디지털 포렌식의 한 분야이다. 조사는 데이터베이스 콘텐츠, 로그 파일 및 RAM 데이터를 사용하여 타임라인을 구축하거나 관련 정보를 복구한다.

 사물인터넷 포렌식 

사물인터넷(IoT) 포렌식은 잠재적인 증거 소스로서 포렌식 조사에 사용될 사물인터넷 분야에 속하는 장치들로부터 디지털 정보를 식별하고 추출하는 것을 목표로 하는 디지털 포렌식의 한 분야이다.

 같이 보기 
 사이버 범죄
 데이터 복구
 암호학
 정보 보안
 파일 시스템

 각주 

 외부 링크 


분류:컴퓨터 보안
분류:법과학
분류:수사