디지털 포렌식 이론 (작성중)
※ 디지털 포렌식 2급을 준비하던 중 자주 나오는 것, 헷갈리는 것들 정리해봅니다.
문제가 될 시 삭제하겠습니다.
1. 디지털 포렌식 개론
1) 디지털 포렌식의 일반 원칙
- 정당성 : 입수 증거가 적법절차를 거쳐 얻어져야 함
- 재현 : 같은 조건에서 항상 같은 결과가 나와야 함
- 신속성 : 전 과정은 신속하게 진행되어야 함
- 연계보관성 : 증거물 획득 과정에서 담당자 및 책임자를 명확히 해야 함
- 무결성 : 수집 증거가 위 ˙ 변조되지 않았음을 증명
2) 디지털 포렌식의 기본 원칙
- 적법절차 준수
- 원본 x, 사본을 통해서 증거 분석 진행
- 압수˙수색 과정에서 관계자 또는 입회인을 모든 과정에 참석
- 원본증거 보전 및 무결성 확보
- 분석방법의 신뢰성 확보
- 진정성 유지를 위해 모든 과정을 기록
3) 디지털 포렌식 수행 과정
: 수사 준비 -> 증거 수집 -> 보관 및 이송 -> 분석 및 조사 -> 문서화
4) 전자적 증거 (디지털 증거)
- 전원이 꺼지면 사라지는 휘발성 증거
ex) 프로세스, 예약 작업, 인터넷 연결 정보, 네트워크 공유 정보, 메모리
- 전원이 꺼져도 잔존하는 비휘발성 증거
ex) 파일 및 파일 시스템, 운영체제, 로그 데이터, 설치된 소프트웨어
> 여기서 전문증거배제법칙(또는 전문법칙)에 따라 자동으로 생성되는 전자적 증거, 인위적으로 생성되는 전자적 증거로 구분한다. 그 이유는 전문증거는 원칙적으로 증거능력이 없으며, 성립의 진정이 있는 경우에 한하여 예외적으로 그 증거능력을 인정받기 때문이다.
- 자동으로 생성되는 전자적 증거 : 인터넷 사용기록, 방화벽 로그, 운영체제 이벤트 로그, 최근 사용한 파일
- 인위적으로 생성되는 전자적 증거 : 문서 파일, 전자 메일, 동영상, 사진, 소프트웨어, 암호 데이터
> 자동으로 생성되는 전자적 증거는 전문증거가 아니고 비진술 증거이므로 진정성만 인정되면 증거로 사용할 수 있지만 인위적으로 생성되는 전자적 증거의 경우에는 전문증거인지 따져야 함
※ 전문증거란? : 원본증거 외의 진술 즉, 원 진술자의 진술이 법원에 직접 보고되지 않은 채 타인이나 서면을 거쳐 간접적으로 보고하는 것 ex) 검사 작성의 피의자 신문조서는 검사가 작성하여 간접적으로 보고되는 것이므로 -> 전문증거
피의자가 자백하는 모습을 찍은 영상은 피의자가 직접적으로 진술하는 것이므로 -> 원본증거
+ 전문증거에 대해 더 자세히 알아보기 [Soy 블로그]
5) 전자적 증거의 특성
- 매체독립성 : 어떠한 정보든 내용이 같다면 어느 매체에 저장되어 있든지 동일한 가치를 지님 -> 사본과 원본의 구별이 불가능
- 비가시성, 비가독성 : 디지털 저장매체에 저장된 전자적 증거 그 자체는 사람의 지각으로 바로 인식이 불가능하므로 변환절차를 거쳐 모니터로 출력되거나 프린터를 통해 인쇄되었을 때 비로소 가시성과 가독성을 얻음
- 취약성 : 전자적 증거는 삭제 및 변경 등이 용이하므로 무결정 문제가 일어남
- 대량성 : 저장기술의 비약적 발전으로 방대한 분량의 정보를 하나의 저장 매체에 모두 저장 가능
- 전문성 : 전자적 증거의 압수 및 분석 등에 있어 포렌식 전문가의 도움이 필수적 -> 전문조사관의 증언 능력, 사용된 포렌식 도구의 신뢰성이 문제가 됨
- 네트워크 관련성 : 압수수색의 장소에 관한 특정의 문제가 있음 -> 정보를 한정된 범위에서 압수해야 함
2. 디지털 포렌식 기초실무
1) 디지털 포렌식 도구의 종류
- FTK
- EnCase
- MFT
- Autopsy
- X-ways Forensics
2) 전자적 증거의 수집 기술
- 활성시스템 조사 : 시스템의 전원을 차단하면 수집할 수 없는 휘발성 데이터와 신속한 조사에 필요한 비휘발성 데이터를 선별해서 수집
- GUI 방식의 도구를 사용하는 것보다 CLI 도구를 사용할 것을 권장
- 휘발성이 높은 것부터 수집
: 레지스터 및 캐시 > 라우팅 테이블 > 임시 파일 > 하드 디스크 > 로그 데이터 > 외부 데이터
- 디스크 이미징 : 원본 저장매체의 사본을 만듦
- 원본의 훼손을 방지하기 위해 쓰기 방지 장치를 이용
+) 활성시스템(Live System) 조사
- 침해사고의 경우, 시스템의 현재 상태가 매우 필요하므로 활성시스템 조사가 중요
- 서버와 같이 시스템을 끄지 않고 조사를 수행해야 할 때 활성시스템 조사가 중요
- Bit Locker와 같이 시스템을 자동 암호화하는 경우에 활성시스템 조사가 중요
- 활성시스템 조사를 위한 도구들은 쓰기 방지 기능을 사용하여 원본을 보호해야 함
- 조사 도구는 읽기만 가능한 매체에 저장하여 실행해야 함
- GUI(Graphic User Interface)의 사용보다는 CLI(Command Line Interface)의 사용을 권장
3) 전자적 증거의 분석 기술
- 디스크 브라우징 : 저장매체 또는 하드디스크 이미지의 내부 구조와 파일 시스템을 확인하고, 파일시스템 내부에 존재하는 파일에 대응되는 응용 프로그램의 구동 없이 쉽고 빠르게 분석할 수 있도록 하는 기법
- 데이터 뷰잉 : 파일 포맷이 있는 데이터를 가시적으로 확인할 수 있도록, 디지털 데이터의 구조를 파악해서 시각적으로 정보를 출력하는 기술
- 데이터 검색 : 디지털 포렌식 조사 및 분석은 연속되는 검색의 반복 따라서 잘 알려진 파일은 검색 대상에서 제외하고, 검색 범위를 축소하는 것이 중요함
- 타임라인 분석 : 디지털 데이터의 시간 정보는 범죄 사실을 규명하기 위해 매우 중요한 정보. 타임라인 (Timeline)을 구성함으로써 시스템 사용자의 행위를 추적할 수 있음
4) 강제수사 절차
a) 영장에 의한 압수 · 수색
- 압수할 물건이나 피의자를 발견하기 위해 사람의 신체, 물건 또는 주거 장소에 대한 강제처분을 함
- 범죄사실과의 관련성과 피의자에게 혐의가 있다고 인정되는 경우에 한함
- 증거물은 범죄수사와 공소유지에 중요하며 몰수 대상인 경우 판결 확정시까지 상당한 조치를 해야 함
b) 영장에 의하지 않은 압수 · 수색
- 구속현장, 범죄장소에서 긴급 체포된 자의 소유, 소지, 보관하는 컴퓨터 등 특수기록 매체에 대해서 가능
- 영장에 의하지 않은 압수 · 수색에는 사후에 영장을 받아야 하는 경우와 사후에도 영장이 필요 없는 경우가 있음
- 피의자가 범죄현장에 놓고 간 유류물이나 임의 제출물의 영치, 동의에 의한 압수 · 수색의 경우에는 사전 영장이 필요 없음
- 소지자 또는 보관자가 아닌 자로부터 임의제출을 받은 경우에는 그 압수물의 증거능력은 부정됨
5) 압수물의 보관과 환부
a) 압수물의 보관과 폐기
b) 압수물의 환부, 가환부
> 압수물 처리
- 긴급 체포할 경우 필요한 때에는 타인의 주거나 타인이 간수하는 가옥, 건조물, 항공기, 선차 내에서의 피의자 수사가 가능 또 체포 현장에서의 압수, 수색, 검증도 가능하다.
- 소유자의 동의가 없더라도 보관자가 임의 제출하는 물건은 압수 가능하다.
- 소유자 등의 청구가 있으면 환부 또는 가환부하여야 한다.
- 압수, 수색에 착수하여 압수, 수색을 종료한 이상, 압수하지 못한 물건이 있다고 하더라도 동일 영장에 의해 재차 압수, 수색할 수 없다.
6) 압수하는 정보의 유형
- 전자적 저장매체에 기억된 정보는 복제하거나, 매체 그 자체를 압수하는 수밖에 없음
- 휘발성 증거는 매체 자체의 압수는 의미가 없고, 영장범죄사실과 관련된 정보만을 선별적으로 압수
- 휘발성 정보를 압수하는 경우에 있어서는 현실적으로 '저장매체 자체의 압수'보다는 '출력·복제하여 압수'하는 방식이 우선적으로 고려됨
7) 압수 · 수색영장
- 압수·수색영장에는 압수·수색의 장소와 대상을 특정하여 기재
- 영장의 야간집행은 원칙적으로 허용 X, 필요한 경우 영장 청구 시 영장에 그 취지를 기재하여야 한다.
- 압수수색 영장은 처분을 받는 자에게 반드시 제시해야 한다. (형사소송법 제 118조)
- 영장은 법률상 원본제시가 의무사항이 아니다.
8) 압수 · 수색의 구체적인 방법
- 전자적 증거가 기억된 특수매체의 경우 다량의 정보를 담고 있어서 원칙적으로 관련된 부분만을 복제하거나 출력하여 출력물을 압수
9) 전자적 증거의 압수 및 요령
- 경미사건의 경우 압수대상매체를 현장에서 수색 · 검증하고, 혐의사실과 관련된 전자정보만을 문서로 출력하거나 수사기관이 휴대한 저장매체에 복사하여 압수
- 법정에 증거로 제출할 때까지 변경 또는 훼손되지 않도록 무결성을 유지하고 그 과정을 기록하여 수사기록에 첨부
- 쓰기 방지 기능이 포함된 기기를 사용
- 피압수자 또는 참여인을 입회시키고 입회인의 확인 서명
- 압수 · 수색대상자가 네트워크로 접속하여 저장된 자료를 임의로 삭제할 우려가 있을 경우에는 네트워크 연결 케이블을 차단
- 증거물의 획득, 분석 및 보관까지의 일련의 과정을 거치는 증거물에는 꼬리표를 각각 달아 어떠한 과정을 거쳤는지 문서화
- 장기간 보관의 경우 전자적 증거 보관케이스에 넣고 복사본을 만들어둠으로써 손상에 대비
3. 디지털 포렌식 법률이론
1) 증거의 분류
- 직접증거 : 범인의 자백진술, 범행현장을 직접 목격한 목격증인의 증언이 해당
- 간접증거 : 범행현장에 남아 있는 지문
- 인적증거 : 살아 있는 사람이 증거방법이 되는 것
- 물적증거 : 물건의 존재, 상태, 내용 등이 증거가 되는 것
- 본증 : 거증책임을 지는 당사자가 제출하는 증거
- 반증 : 본증에 의하여 증명하려고 하는 사실의 존재를 부인하기 위하여 제출하는 증거
- 진술증거 : 사람의 진술을 증거로 하는 것
- 비진술증거 : 사람의 진술을 내용으로 하지 않는 증거
- 실질증거 : 주요사실의 존부를 직접 · 간접으로 증명하기 위하여 사용되는 증거
- 보조증거 : 실질증거의 증명력을 다투기 위하여 사용되는 증거
- 증강증거 : 증명력을 증강하기 위한 증거
- 탄핵증거 : 증명력을 감쇄하기 위한 증거
2) 증명의 3원칙
① 증거재판주의
- 민사소송절차에서는 당사자가 자백한 사실에 대해서는 증명을 요하지 않음
- 형사소송절차에 있어서는 자백한 사실일지라도 그 사실의 인정은 증거에 의하지 아니하면 인정할 수 없음
② 검사의 거증책임
- 요증사실의 존부에 대하여 증명이 불충분한 경우에 불이익을 받을 당사자의 법적 지위를 말함
③ 자유심증주의
- 증거의 증명력을 적극적 또는 소극적으로 법정하지 아니하고 법관의 자유로운 판단에 맡기는 주의
3) 증거개시
- 원칙적으로는 모든 증거에 대한 개시가 가능하며 예외적으로 열거된 제한사유에 따라 증거개시를 제한할 수 있도록 하는 것이 바람직
4) 위법수집증거배제법칙
- 위법한 절차에 의하여 수집된 증거는 증거로서 사용할 수 없음
> 이익형량의 원칙 : 사인이 위법하게 수집한 증거능력은 공익과 사익을 비교형량하여, 전자가 우월한 경우에는 증거로 사용 가능하다.
5) 전문법칙
- 전문증거는 원칙적으로 증거능력이 없다는 원칙
6) 자백배제법칙
- 피고인의 자백이 고문, 폭행, 협박, 신체구속의 부당한 장기화 또는 기망 기타의 방법으로 임의로 진술한 것이 아니라고 의심할 만한 이유가 있는 때에는 이를 유죄의 증거로 하지 못함
> 자백
- 피의자 자백의 임의성은 검사가 입증하여야 하지만 소송법적인 사실이므로 법관의 자유로운 증명으로 족하다.
- 직접증거가 아닌 간접증거나 정황증거도 자백의 보강증거가 될 수 있다.
7) 증거의 동의
- 검사와 피고인의 증거로 할 수 있음을 동의한 서류 또는 물건은 진정한 것으로 인정한 때에는 증거로 할 수 있음
- 동의는 원칙적으로 증거조사 전에 해야 함
- 단순한 절차를 위반한 것이 아니라 중대한 절차위배가 있는 경우 당사자가 동의하더라도 증거로 사용할 수 없음
8) 전자적 증거의 증거능력
> 별건정보가 증거능력을 인정받기 위해서는 디지털 저장매체에 대한 "압수 · 수색이 종료되기 전"에 혐의사실과 관련된 정보를 적법하게 탐색하는 과정 이어야 한다. 따라서 이미 압수 · 수색이 종료되어, 압수목록이 교부된 상태라면 별건정보의 증거능력이 인정되지 않는다.
ex) 영장 집행 후 압수목록이 교부된 후, 분석 과정에서 또 다른 문서파일을 우연히 발견하였다면 증거능력이 인정되지 않음. 따라서 압수 · 수색 영장을 발부받아야 하고 피압수자에게 참여권을 보장시킨 뒤 새로이 압수목록을 교부해야 한다. 이때 범죄 사실과 관련성이 있는 부분에 대해서만 압수 가능하다.
9) 과학적 증거
① Frye
② Daubert
10) 전자적 증거의 압수 · 수색 방법
- 압수의 목적물의 정보저장매체인 경우 범위를 정하여 출력 or 복제하여 압수, 그것이 불가능하거나 곤란한 때에는 정보저장매체 자체를 압수 가능
- 원칙적으로 선별 압수, 예외적으로 전체를 이미징 하거나 매체를 압수
- 압수새대상은 피의사실과 관계가 있다고 인정할 수 있는 것에 한정하여 증거물 또는 몰수할 것으로 사료하는 물건을 압수 가능
- 전자적 증거의 경우 매체자체 또는 전체를 이미징 한 다음 수사기관에서 관련 정보를 수색하는 것은 압수 · 수색집행의 연장이라는 이유로 피의자 또는 변호인에게 미리 집행의 일시와 장소를 사전통지하고 당사자의 참여를 요구
- 검사, 피고인 또는 변호인은 압수 · 수색영장의 집행에 참여 가능
- 압수 · 수색영장을 집행함에는 미리 집행의 일시와 장소를 통지
- 전조에 규정한 자가 참여하지 아니한다는 의사를 명시한 때 또는 급속을 요하는 때에는 예외
- 압수 · 수색영장은 처분을 받는 자에게 반드시 제시
- 영장제시는 현장에서 여러 명인 경우에는 피압수자 전원에게 개별적으로 제시
- 원본과 사본의 구분이 어려운 전자적 증거에 대해 원본과 사본의 동일성을 인정하는 규정이 없음
- 압수 · 수색의 장소가 여러 장소인 경우 사실상 사본으로 제시
> 전자적 증거물의 봉인방법
- 봉인 및 봉인해제, 재봉인의 전 과정으로 녹화
- 압수, 수색의 피처분자를 봉인 및 봉인해제, 재봉인 작업에 참여시켜야 한다.
- 압수물인 각 원본 디지털 저장매체는 압수된 후 그 자리에서 봉인되어야 한다.
- 수사기관은 압수물의 봉인 및 봉인해제, 재봉인시에 항상 대상자들로부터 확인서를 받는다.
스스로 궁금한 것
메타데이터 vs 레지스트리
| 메타데이터 | 레지스트리 |
| - 자동적으로 생성되는 전자적 증거 - 비휘발성 증거 |
- 시스템 및 응용 프로그램 정보와 사용자 활동 정보를 알 수 있음 |
형사소송법 상 강제처분
강제수사
영장에 의한 압수, 영장에 의하지 않은 압수
전자정보의 압수수색 및 증거능력
증거법과 증거능력
형사소송법상 증거법의 기본원칙
- 증거재판주의
- 자유심증주의
- 자백의 증거능력 및 증명력 제한
- 전문법칙의 기본원칙
전자적 증거의 증명력을 강화하기 위한 방법
전자증거의 증거능력의 테스트
과학증거
frye, daubert
형사소송법상 증거능력을 인정하는 요건
증거개시제도
감정
검증
통신비밀보호법
통신사실확인자료
통신제한조치
감청
정보통신망법위반
- 통신수단의 완전성 침해
- 통신수단의 건정성 침해
민사소송절차의 증거 (feat. 형사소송절차와의 비교)
사문서, 공문서, 처분문서
참고문헌 : http://www.parkjonghyuk.net/lecture/2015-2nd-lecture/Computer%20Security/computersecurity.htm