반드시 잡힌다, 디지털 포렌식!

 

▶디지털 포렌식의 개념:

디지털 포렌식(digital forensics)은 컴퓨터나 모바일 기기, 네트워크 장비 등 디지털 기기에서 발생한 데이터를 분석해 법적 증거를 확보하는 수사 기법입니다. 사이버 범죄와 같은 디지털 환경에서 발생하는 각종 범죄는 흔적이 남기기 쉽지 않지만, 디지털 포렌식은 삭제된 파일이나 비밀번호 보호된 데이터를 복구해 범죄와 관련된 디지털 증거를 확보하는 데 필수적인 역할을 합니다. 포렌식 과정은 데이터 수집, 분석, 보존, 그리고 법정 제출을 위한 문서화 과정을 포함하며, 데이터의 무결성과 법적 증거의 신뢰성을 보장하기 위해 매우 엄격한 절차를 거칩니다.

디지털범죄 이미지 from. 지티티코리아

▶지운 파일 복구 방법:

지운 파일은 운영 체제가 파일의 물리적 위치를 삭제하기보다는 해당 파일을 '사용 가능' 상태로 표시하면서 삭제됩니다. 파일이 저장된 영역이 새로운 데이터로 덮어 쓰이지 않았다면 복구 프로그램을 사용하여 데이터를 추출할 수 있습니다. 복구를 위한 주요 방법은 다음과 같습니다:

▶ 소프트웨어 복구 도구: 데이터 복구 소프트웨어는 사용자가 실수로 삭제하거나 손상된 파일을 복원할 수 있는 가장 기본적인 도구입니다. 예로는 EnCase, FTK, X-Ways Forensics와 같은 상용 소프트웨어와 TestDisk, Recuva 같은 무료 소프트웨어가 있습니다.

▶ 디스크 이미징: 디스크 이미징 기법은 원본 데이터의 변조 가능성을 방지하기 위해 원본 디스크의 전체 복사본을 생성하여 분석하는 방법입니다. 원본 데이터는 그대로 보존하고, 복사본을 이용해 분석과 복구를 진행하여 데이터 무결성을 지킵니다.

▶파일 할당 테이블 분석: 파일 할당 테이블(FAT)이나 마스터 파일 테이블(MFT) 등을 분석하여 기존의 파일 위치와 구조 정보를 복원하는 방식입니다. 이는 파일 시스템 자체의 구조를 이용해 파일 복구 가능성을 높입니다.

증가하는 디지털 범죄 디지털 포렌식으로 from. 아시아경제

▶완전히 복구할 수 없는 파일:

파일이 완전히 복구되지 않는 경우는 데이터가 여러 번 덮어쓰기 되었거나 심각한 손상이 발생한 경우입니다. 특히 데이터가 보안 삭제 도구에 의해 여러 번 덮어쓰기가 수행된 경우, 자력이나 전자기장으로 데이터 흔적을 감지해 복구하는 것은 거의 불가능합니다. 또한, 데이터가 SSD와 같은 플래시 메모리 장치에 저장된 경우 특성상 데이터 복구가 어렵습니다. SSD는 TRIM 기능을 통해 삭제된 데이터를 곧바로 삭제하도록 설계되어 있기 때문에 기존 데이터를 복구할 수 없도록 합니다.

▶특수 장비와 고도 기술을 사용할 수 있는 나라:

디지털 포렌식 기술은 고도로 전문화된 분야로, 일부 선진국은 특수 장비와 고급 기술을 확보하고 있습니다. 특히 미국, 영국, 독일, 일본 등의 국가에서는 정부 기관이 고도로 정밀한 포렌식 장비와 기술을 운영합니다. 예를 들어, 미국 연방수사국(FBI)과 영국의 국립범죄청(NCA) 등은 범죄 수사를 위한 고급 포렌식 장비와 데이터 복구 기술을 보유하고 있으며, 군이나 정보기관에서 사용하는 비상업적 기술과 장비를 통해 복구할 수 없는 데이터를 복원하려는 연구도 진행하고 있습니다.

특수 장비와 고도 기술 사용 시 심하게 훼손된 원본 데이터 복구 수준:

특수 장비와 고도 기술을 사용하여 심하게 훼손된 데이터를 복구할 경우, 데이터 복구 수준은 상당히 향상될 수 있습니다. 자성을 활용한 분석이나 전자현미경으로 손상된 데이터를 추출하는 방식으로 일부 파편화된 정보나 덮어쓰기 된 데이터도 복원할 수 있습니다. 예를 들어, 덮어쓰기 된 자성 데이터를 읽기 위한 자력 현미경이나 스캐닝 전자 현미경(SEM) 등의 장비를 통해, 실험실 환경에서 데이터 복구가 가능합니다. 그러나 이런 고도 기술과 장비가 실제 수사에서 사용되기 위해서는 비용과 시간문제가 크며, 복구 가능성은 데이터 손상 정도에 따라 제한적일 수 있습니다.

즉, 디지털 포렌식 기술을 통해 일부 덮어 쓰이거나 손상된 데이터도 복원할 수 있지만, 이러한 데이터 복구는 손상 상태에 따라 그 한계가 존재합니다.