Yum_Yum

[Digital Forensic] 악성코드 포렌식 (Malware Forensics)

 

---

(1) 악성코드 포렌식(Malware Forensics)이란?

• 디지털 포렌식은 크게 두 가지로 나누게 되면 침해사고 포렌식과 법정 증거를 수집하여 분석하는 법정 포렌식으로 나눌 수 있음

• 일상적으로 이야기하는 디지털 포렌식은 법정 증거를 수집하여 분석하는 법정 포렌식이므로 정확하게 구분지어 이해해야 함

악성코드 포렌식은 침해사고 포렌식에 속하는 분야라고 할 수 있다.

 

적법 절차를 거쳐 증거를 수집한 후 여러 무결성 조치를 취해 증거를 보존하며 분석 해 법정에 제출하는 것이 주 목적이 아닌 침해사고의 원인과 침해 정도, 침해에 알맞은 대응, 침해 시스템에서 흔적을 수집 및 분석하여 침해사고를 일으킨 장본인을 추적하는 분야이다.

 

다음 내용은 일상적으로 악성코드 포렌식을 수행할 때의 일반적인 수행 과정이다.

 

---

1-1. 침해 시스템 발견

• 침해 시스템은 대부분 눈으로 보이는 피해를 가지고 있기도 하지만, 눈으로 보이지 않는 피해를 가지고 있기도 함

• 그러므로 분석 전 여부는 침해 시스템의 소유주와의 인터뷰를 통해 결정하는 것이 좋은 방법

• 만약 침해 시스템으로 의심이 된다면 악성코드에 의한 침해인지, 해킹에 의한 침해인지 판단

• 악성코드에 의한 침해라면 [그림 1] 과 같은 수행 과정을 수행해야 함

 

1-1-1. 휘발성 데이터 수집 (메모리 덤프 포함)

• 침해 시스템이 활성 상태라면 당연히 휘발성 데이터를 수집해야 함

• 간혹 악성코드들은 난독화가 되어 있는 경우가 있음

• 이럴 때 메모리 덤프를 수집해 두면 추후에 난독화 되어 있지 않은 악성코드를 메모리에서 추출하여 손쉽게 악성코드 분석이 가능

1-1-2. 시그니처 기반 분류

• 침해 시스템에 있는 실행파일들을 시그니처 별로 분류하여야 함

• 이는 툴로 수행하는 과정으로 해시 셋 적용 과정을 수행하기 위한 준비 단계라고 볼 수 있음

---

1-2. 해시셋 적용

• 해시 셋은 화이트 리스트 해시(White List Hash)와 블랙 리스트 해시(Black List Hash)로 나뉨

• 화이트 리스트 해시는 알려진 정상 파일들에 대한 해시 데이티베이스

• 블랙 리스트 해시는 알려진 악성 파일들에 대한 해시 데이터베이스

• 대표적으로 미국 국립표준원(NIST)에서 진행하고 있는 NSRL 프로젝트가 있으며, NSRL 프로젝트는 화이트 리스트 해시 데이터베이스를 기반으로 계속해서 알려진 정상 파일들의 해시 추가와 데이터베이스 관리를 진행

• 배포는 RDS(Reference Data Set)을 활용하여 매년 4번(3월, 6월, 9월, 12월)에 진행하며, 각 운영체제와 패치별로 데이터베이스를 생성하여 배포

• 하지만 NSRL의 해시 셋을 우리나라에 적용하기에는 약간의 문제가 있으며, NSRL은 미국이 주도적으로 하고 있기 때문에 국내 파일들에 대한 해시가 추가되어 있지 않으며, 다국어 운영체제에 대한 지원이 아직까지 미흡하기 때문

• 그러므로 화이트 리스트 해시 또는 블랙 리스트 해시를 적용한 결과에서 아무런 결과도 얻지 못했다고 하여 해당 시스템이 침해 시스템이 아니라는 판단을 하는 것은 굉장히 위험한 판단

---

1-3. 1차 분석

• 해시 셋에서 만약 검색 결과를 얻지 못한다면, 이제는 침해 시스템 분석을 통해 침해사고를 일으킨 악성코드 파일을 찾아야 함

 

1-3-1. 아티팩트 수집 / 분석

• 악성코드 파일을 찾기 위하여 여러 가지 흔적들을 수집하는 과정

• 해당 과정에서 수집한 흔적과 침해 시스템의 소유주 또는 관리자의 인터뷰를 토대로 악성 파일을 추측 / 발견해 내야 함

 

1-3-2. 동적 분석

• 빠른 대응을 위하여 우선 동적 분석을 통해 악성 파일이 어떤 행위를 하는지 파악해야 함

• 대표적인 동적 분석으로는 파일 생성 / 삭제 감시, 레지스트리 변경, 네트워크 통신 등이 있음

 

1-3-3. IOC(침해지표)

• IOC(Indicator Of Compromise)는 한 문장으로 표현하면, "여러 침해사고의 흔적들을 일정한 포맷으로 정리해 놓은 문서 또는 파일"이라고 표현

• IOC 관련 표준으로는 대표적으로 CSIRTs(Computer Security Incident Response Teams)의 IODEF(The Incident Object Description Exchange Format, RFC 5070)이 있음

• 문서를 보면 여러 개의 그룹별로 엔트리를 나누어 해당 포맷을 작성하는 사람이나 보는 사람이 이해하기 편하도록 구성되어 있음

• 이와 같은 개념을 바탕으로 확장성을 겸비한 Mandiant사의 OpenIOC가 탄생했다고 볼 수 있음 

그렇다면 IOC, 즉 침해지표는 왜, 어디서, 어떻게 사용을 할까?

 

침해 지표의 이름 그대로 사용처는 대부분 침해사고 부분이다.

 

보통 침해사고는 악성코드에 의한 침해사고를 생각하기 쉬운데 OpenIOC의 프로젝트 목적을 보면 악성코드 침해사고는 물론 해커에 의한 침해사고에도 IOC가 적용되게끔 설계했다고 나와 있다.

 

그리고 IOC를 이용해 침해사고 PC에서 흔적을 찾아내는 것 뿐만이 아닌 해당 침해지표를 이용해 여러 방화벽이나 탐지 시스템, 차단 시스템의 룰을 정의할 수 있도록 포맷 자체를 간단히 OR, AND와 Item을 직관적으로 표현해 두었다.

 

IOC는 XML을 이용하여 작성할 수도 있고, Mandiant사에서 제공하는 IOC Editor를 이용해 작성할 수도 있다.

 

그렇다면 IOC 프로세스는 어떠할까?

 

 

다음 내용은 IOC의 LifeCycle이다.

 

 

IOC의 LifeCycle에 진입을 하게 되면 먼저 IOC를 생성하게 된다. (IOC Creation)

 

생성할 때의 내용은 기본적인 침해사고의 흔적들인데 흔적들로는 대표적으로 파일 해시 값, 네트워크 트래픽 또는 통신 서버의 주소(Domain or IP), 레지스트르 키 또는 값, 프로세스명 등을 예로 들 수 있다.

 

다음으로 생성한 IOC를 여러 기관들에게 배포하게 된다. (Deploy IOCs)

 

배포했을 때, IOC는 독립적으로 침해사고의 지표가 될 수 있지만, 기관의 성격에 따라 IOC를 근거로 침입 관련 시스템의 룰로 재생성 될 수 있다.

 

배포가 되었다고 끝이 나는 것이 아니다.

 

현대의 침해사고는 굉장히 많은 변형을 생산해 낸다.

 

그러므로 추가적인 침해가 의심되는 시스템을 분석해야 한다. (Identify Suspect Systems)

 

추가적으로 분석해야 할 시스템이 선정되면 침해사고와 관련된 흔적들을 수집한다. (Preserve / Collect Evidence)

 

마지막으로, 수집 된 증거들을 분석한다. (Analyze Data)

 

그리고 분석한 결과를 IOC 포맷으로 작성한다. (IOC Creation)

 

IOC는 한 번으로 끝나는 것이 아니라 계속해서 증거 수집과 분석을 통해 IOC 자체를 확장시켜야 한다.

 

그러므로 위와 같은 LifeCycle이 절대적으로 필요하며, 멈추어서는 안된다.

 

 

1-3-4. 백신 검사

 

백신 검사 단계를 의아하게 생각하는 사람도 있을 것이지만, 물론 침해 시스템이 백신이 설치되어 있었고 악성 파일을 탐지할 수 있었다면 침해사고가 일어나지 않았을 것이다.

 

백신이 탐지하지 못했기 때문에 침해사고가 일어난 것이 대부분인데 왜 백신 검사 과정이 포함되어 있을까?

 

이유는 실시간 분석은 대부분 악성 파일 데이터베이스 기반으로 하는 경우가 많다.

 

그러므로 백신에서 지원하는 휴리스틱 탐지 등을 이용해 악성 파일을 검사해보고 실제 악성 파일인지 확인해 보는 것이다.

---

1-4. 2차 분석

• 1차 분석 결과를 토대로 2차 분석을 수행하는데, 사실 흐름도에서는 표시가 되어 있지 않지만 이 부분에서 초기 대응이 이루어져도 좋음

• 2차 분석의 주요 목적은 침해 시스템의 손실 및 복구, 추적

• 요즘은 큰 사건의 경우 조직적으로 움직이는 단체에 의해 공격 받는 경우가 대부분이어서 실체를 추적한다 하여도 실체 파악까지만 가능하고, 실제 검거 등의 과정은 많은 어려움을 겪음

• 하지만 계속해서 이런 과정들의 절차가 간소화되고 추적 기술도 나날이 발전하고 있어 빠른 시일내에 침해사고 원인을 제공한 이들의 검거가 이루어질 것임

 

1-4-1. 파일 시스템 분석

• 침해 시스템에서 가장 많은 피해는 저장소

• 저장소에서는 다연히 파일 시스템이 존재하기 때문에 파일 시스템 조사를 통해 손상되거나 삭제된 파일이 있는지 파악하고 이러한 파일들에 대해서는 조금의 가능성이라도 있다면 당연히 복구 과정을 수행해야 함

• 또 사용자가 생성한 여러 파일들 말고 시스템이 생성한 로그 등의 유용한 정보가 저장된 파일들을 파괴했을 수도 있음

• 이러한 파일들도 사후 분석에 사용을 하기 위해 복구해야 함

• 해당 과정은 파일 시스템의 전반적 이해가 필요

 

1-4-2. 타임라인 분석

• 침해 시스템에 언제, 어떻게 악성 파일이 침투하여 침해사고를 일으켰는지 밝혀내야 함

• 이때 각 침해사고 단계를 정리하고 분석하여 시간별로 나열 하여 시간 별 악성 파일의 행동을 추적하고 문서화 해야 함

• 특히 큰 사건의 경우 타임라인 분석은 굉장히 중요

• 타임라인 분석에 따라 침해사고의 책임을 질 사람이 바뀔 수도 있고, 앞으로의 침해사고 전개를 잘못된 방향으로 이끌 수도 있기 때문

 

1-4-3. 정적 분석

• 이제부터는 정식 대응을 시작해야 함

• 그러기 위해서는 악성 파일이 정확히 어떻게 악성 행위를 하는지 밝혀내야 함

• 취약점으로 침해 시스템에 침투하고 장악한 것인지, 또 자신의 사본을 생성해 숨겨놓았는지 등에 대한 행위는 정적 분석을 통해 알아내는 것이 가장 정확

• 동적 분석으로도 이런 것들을 알아낼 수는 있지만, 동적 분석의 경우 시스템에서 동작하는 프로세스의 모든 활동을 감지하고 그 가운데 악성 파일의 행동을 추출해내야 하기 때문에 분석하는 사람이 놓치는 부분이 있을 수도 있음

---

1-5. 대응

• 지금까지 분석한 결과를 토대로 침해 시스템에 알맞는 대응을 해야 함

• 대응에는 여러 종류가 있으며, 공통적으로 대응하는 부분은 네트워크 통신 차단, 악성 파일의 서비스 등록 삭제, 원본 파일 삭제 등이 있음

• 만약 대응하는 기간 도중 변종이 침해 시스템에 침투한 것을 발견한다면 다시 해당 변종의 침해 여부와 침해 정도 등을 파악하고 대응하기 위해 1차 분석부터 다시 수행해야 함

• 해시셋 적용부터 하지 않는 이유는 변종이라는 것은 기존 악성 파일이 변형된 것이기 때문에 해시 셋에 등록되어 있지 않기 때문 

---

1-6. 종료

• 모든 대응이 끝나면 지금까지의 과정들은 문서화 되고, 보고 체계에 의해 보고 되어야 함

• 그 후에 악성코드 포렌식 수행을 종료

여기서 중요한 것은 과연 꼭 저러한 수행 과정을 통해 악성코드 포렌식을 수행해야 하는지이다.

 

아직까지 악성코드 포렌식의 수행 과정은 표준화 되지 않았고 악성코드 포렌식이라는 부분도 침해사고 대응과 많이 중복되는 부분이 있어 그 정립 자체가 불분명하다.

 

침해 시스템에 따라 [그림 1]과 같은 수행 과정을 수행할 수 있기도 하고 수행하지 못할 수도 있다.

 

그러므로 침해 시스템에 따라 수행 과정을 조금씩 변경하여 해당 침해 시스템에 적합한 수행 과정을 그릴 수 있는 능력을 길러야 한다.

 

그리고 꼭 "침해사고는 완전히 막을 수 없다"라고 생각하여아 하며, "침해사고를 완전히 막는다"라는 의미는 불현실성이 굉장히 많은 문장이며 사람의 보안 인식을 안일하게 만든다.

 

그러므로 매번 대응을 할 때마다 최선을 다하여 대응하고 추후에 있을 침해사고를 예측하고 예측 침해사고에 대한 대응 방안을 수립하는 자세를 가져야 한다.

---

(2) 악성코드 포렌식을 하기 위해 준비해야 할 것

2-1. 악성코드 포렌식을 수행하기 위한 환경

• 악성코드를 로컬에서 분석하는 분석가는 아마 없을 것이며, 요즘은 가상화 환경이 굉장히 구축이 잘 되어 있어 악성코드를 자신의 로컬 환경 내부의 가상화 환경에서 분석해도 무리가 전혀 따르지 않음

• 그러므로 자신의 분석 시스템에 적합한 가상화 환경을 구축하고 가상화 환경 내부에 여러 가지 도구들을 저장하여 분석 수행 시 빠르고 정확하게 분석할 수 있도록 평상시에 준비하고 있어야 함

• 간혹 가상화 환경을 탐지하여 실행되지 않는 악성코드가 있을 수도 있으니 가상화 환경에 대한 이해도 당연히 되어 있어야 함

• 그래야 악성코드가 탐지하는 가상화 환경의 특징을 변경해 악성코드이 가상화 환경 탐지를 우회할 수 있기 때문 

 

2-2. 리버스 엔지니어링 (리버싱)

• 리버스 엔지니어링이란, 완전한 소프트웨어 또는 문서를 역으로 분석하여 원래의 소스코드 또는 데이터를 얻는 기술을 말함

• 우리말로는 흔히 역공학이라고 하며 해당 기술을 익히기 위해서는 굉장히 많은 시스템 지식이 필요

• 대표적으로 어셈블리어, 운영체제, 파일 구조(PE, ELF 등), 프로그래밍 언어 등이 있음

• 악성코드 정적 분석 과정에서 리버스 엔지니어링 기술이 사용된다고 보면 됨

• 흔히 말하는 디버깅과는 개념에서 약간의 차이가 존재하므로 정확하게 이 둘을 구분하고 구사하는 것이 중요

 

2-3. 흔적(아티팩트) 수집 / 분석 능력

• 원본 악성코드를 찾고 해당 악성코드가 어떻게 생성되었는지 파악하기 위해서는 악성코드가 운영체제가 생성한 흔적을 찾을 수 있어야 함

• 악성코드의 대부분은 Windows 이므로 Windows에서 생성되는 여러 흔적들에 대해 알고 있어야 함

• 수집할 수 있는 능력과 분석할 수 있는 능력도 준비되어 있어야 함

 

2-4. 여러 가지 도구 사용법

• 디지털 포렌식 분야 자체가 시스템의 굉장히 낮은 레벨의 데이터들을 다루기 때문에 사람이 수동적으로 접근할 수 있는 부분에는 한계가 존재

• 악성코드 포렌식도 이와 마찬가지로 사람이 수동적으로 접근하거나 모니터링 할 수 있는 부분이 굉장히 극소수

• 그러므로 악성코드를 분석할 때에는 여러 기능들을 지원하는 도구들을 미리 사용해보고 그 방법을 숙지하고 있어야 함

• 악성코드 분석 툴이란 카테고리는 정해진 것이 없으므로 자신이 필요한 기능을 지원하는 도구들을 찾아 그 사용법을 익혀야 함

 

2-5. 여러 가지 보안 지식

• 분석을 할 수 있지만 그에 맞는 대응 방안을 수립하지 못한다면 완전한 악성코드 포렌식을 수행할 수 없음

• 그러므로 보안 뿐만이 아닌 IT 분야 전체의 기본이 되는 시스템, 네트워크 등의 지식을 갖추고 있어야 함

• 보안 대책 수립 방법(서버 설정, 네트워크 트래픽 설정, 장비 설정 등) 등에 대한 지식도 갖추고 있어야 함

 

지금까지 나열한 여러 가지 요소들 말고도 전반적으로 보안 분야와 IT 분야에 대한 지식이 많아야 한다.

 

악성코드는 꼭 우리가 생각하는 시스템, 네트워크만 공격하는 것이 아니기 때문에 언제 어떤 시스템이 공격당하고 우리가 그 시스템을 대응조치 해주어야 할지 모르기 때문에 평상시에 차근차근 준비해야 한다.

---

(3) 결론

 

악성코드 포렌식은 침해대응 업무에 거의 속하는 분야이기 때문에 꼭 디지털 포렌식을 전문으로 하는 사람이 아니더라도 관제, 침해대응, 악성코드 분석 등의 업무를 하는 사람도 모두 할 수 있는 극히 드문 포렌식 분야 중 하나이다.

 

디지털 포렌식 분야는 일전에도 언급하였지만, 디지털 포렌식 분야만의 새로운 기술은 많지 않다.

 

그렇기 때문에 누구나 관심을 갖고 공부만 한다면 누구나 디지털 포렌식을 수행할 수 있지만, 누구낙 디지털 포렌식을 수행한다고 하여 디지털 포렌식 전문가라고 할 수는 없다.

 

디지털 포렌식 전문가와 일반 보안 전문가의 차이는 숙달과 훈련, 지식의 차이에 있다.

 

모든 분야가 그렇겠지만, 디지털 포렌식은 특히나 더 그렇다.

 

숙달되지 않은 자가 어중간하게 디지털 포렌식을 수행한다면 수행하지 않은 것만 못하다.

 

악성코드 포렌식도 이러한 이유에서 침해대응이 아닌 악성코드 포렌식으로 따로 분류되는 것이며, 숙달되지 않은 자가 침해사고 시스템을 분석하면 실수로 중요한 원인 프로그램이나 유출 흔적 등을 훼손 시킬 수 있다.

 

그러므로 악성코드 포렌식이 어떤 전문가나 누구든지 할 수 있다고 하여 가볍게 생각하지 말고 정확하고 깊게 공부해야 한다.

---

# Reference

 

http://www.yes24.com/Product/Goods/8511539

[Digital Forensic] 이미지 포렌식

 

---

(1) 서론

• 디지털 포렌식은 많은 분야에 적용되어 왔지만, 모든 분야가 고루 관심을 받아 연구되어 온 것은 아님

• 대부분 컴퓨터, 모바일, 네트워크 중심의 디지털 포렌식이 주를 이루었는데, 그 외에도 관심을 가지고 연구해야 할 분야가 많음

• 예로 현재 주를 이루는 포렌식 분야를 제외한다면 우리가 관심 가져야 할 분야는 대표적으로 이미지, 음성 분야 등이 존재

• 요즘은 우리 일상 속에서 디지털 이미지를 손쉽게 볼 수 있고 접할 수 있음 

• 이런 이미지들은 우리들에게 직/간접적으로 영향을 줄 때도 있으며, 영향을 주는 이미지에 대해서는 그 진위 판별 여부가 중요

• 예로 한 시대를 담고 있는 사진이 역사적으로 가치가 높아 진이 여부를 판별했더니 진짜 이전 시대의 사진이 맞는다고 판명이 남

• 이런 경우 해당 사진을 기준으로 역사가 재해석 됨

그리고 계속해서 후세에 교육 되어져 오는데 만약 후세에 어떤 인물이 조금 더 발전 된 이미지 분석 기술과 논리적 증거로 해당 사진이 위조 되었다고 주장하게 되면 어찌 될까?

 

아마 많은 역사적 혼란이 초래되지 않을까?

 

예를 극단적인 예로 들었지만, 사실 충분히 있을 수 있는 일이다.

 

해당 글은 이미지 분석 기술과 이미지에서 얻을 수 있는 증거 등에 대한 내용이다.

 

컴퓨터 이미지는 사실 수학적 개념이 들어가야 하지만, 이 글에서는 수학적 개념은 되도록 들어가지 않는다.

 

예제를 통해 기술이 어떤 형태를 띄고 있는지 파악해 볼 것이다.

---

(2) 이미지 관련 법

• 사실 디지털 이미지 등의 이미지를 수정하는 것은 법에 저촉되는 행위가 아님

• 하지만, 수정 된 이미지가 배포되고 그 이미지로 인해 누군가가 피해를 입는다면 이런 경우 법을 위반하는 경우가 됨

• 대표적인 예로 명예훼손과 초상권침해가 있음

 

2-1. 명예훼손

• 형법상으로는 명예훼손죄, 민법상으로는 불법 행위가 성립되는 죄목

 

형법상에서 명예는 "사람의 인격적 가치에 대한 사회적 평가로 정의되고 있다."

 

세부적으로 나누면 외부적 명예(사람의 신분, 성격, 혈통, 용모, 지식, 능력, 직업, 건강, 품성, 덕행, 명성 등)와 내부적 명예(그 사람이 가지는 진가)가 있다.

 

이미지 수정으로 인한 명예훼손죄는 내부적 명예보다는 외부적 명예를 훼손했다고 볼 수 있으며, 사실 형법상에서도 내부적 명예는 관계가 없다.

 

형법상 명예훼손죄가 성립되려면 공연히 또는 불특정 다수인이 인지할 수 있는 상황에서 사실 또는 허위의 사실을 적시 해야 한다.

 

그러므로 이미지를 수정했을 때 자신만 보기 위해 배포하지 않고 있다면 형법상 명예훼손죄가 성립되지 않는다.

 

하지만 이미지 수정 후 배포하여 불특정 다수인이 그 이미지를 보게 된다면 명예훼손죄가 성립된다.

 

명예훼손죄는 반의사불론죄이며, 진실한 사실을 적시한 경우와 허위의 사실을 적시한 경우 처벌이 달라진다.

 

 

2-2. 초상권침해

• 초상권은 자신의 초상이 허가 없이 촬영되거나 그려졌을 때 공표되지 않을 권리

 

초상권침해는 형법상 처벌 대상은 아니지만, 민법상으로 피해 보상 등의 문제를 야기시킬 수 있다.

 

디지털 기기 등이 발전되기 전에는 초상권은 그림이나 조각으로 제작 된 초상에만 적용되어 왔었는데 19세기 후반부터 사진 기술이 발전되고 디지털 기기 등의 발전으로 인해 적용 범위가 많이 확대 되고 중요성이 이전보다 더 많이 부각되었다.

 

만약 인물 사진의 얼굴을 다른 사람의 얼굴로 바꾸는 등의 이미지 합성 및 수정을 하여 배포할 경우 초상권침해 죄에 해당 된다.

(이때 이미지 내용에 따라 명예훼손 죄도 같이 해당될 수 있다.)

 

그러나 희극적 패러디, 만평 등에 이미지가 사용되었다면 새로운 저작물 창작으로 인정되어 법적 처벌을 피할 수 있다.

 

 

2-3. 그 외 기타

• 그 외로 이미지 수정, 배포로 인해 사생활 침해, 저작권 침해 등 여러 가지 문제를 야기할 수 있음 

---

(3) 이미지 분석 방법 (접근법)

 

먼저 이미지를 분석하기 전, 분석가는 다음과 같은 여러 가지의 생각을 할 필요가 있다.

• 분석하려는 이미지는 과연 진짜일까? 가짜일까?

• 분석하려는 이미지가 진짜라면 언제, 누가, 왜, 어떻게, 무엇을, 어디서 생성 하였을까?

• 이미지가 가짜라면 어떤 방법으로(어느 부분이) 수정이 가해졌는가?

• 왜 이미지를 조작하였는가?

 

위와 같은 생각에 대한 해답을 찾기 위해 이미지를 분석할 때에는 대표적으로 다음과 같은 방법들을 이용해 이미지에 접근하고 분석을 시도한다.

 

 

3-1. 이미지 내용 속 관찰

• 가장 일반적이면서 쉬운 방법

• 이미지 내용 속에서 도움이 될 만한 것들을 찾는 것

• 가장 쉬운 방법이지만, 쉬운 만큼 정확성이나 진정성은 보장받지 못함

• 만약 조작된 이미지라면, 이미지 내용에 보이는 것 또한 조작 되었다는 가정이 성립되기 때문

예로 다음 이미지를 관찰해보자.

 

 

[그림 1]에서 분석가는 어떠한 정보를 얻을 수 있을까?

 

이미지 속 내용을 보면 '국립고궁박물관' 이라는 부분이 보이면서, 이 이미지는 '국립고궁박물관' 에서 생성되었을 가능성이 가장 높다.

(확정 짓는 것은 금물이며, 조작되었을 가능성이 있기 때문)

 

이 이미지가 생성되었던 날짜(기간)은 이미지 내용 속 광고를 기준으로 추측할 수 있다.

 

대략 2012년 12월 ~ 2013년 1월로 추정 가능하며, 날짜의 가정이 맞는다는 판단에 힘을 실어주는 사람의 복장 또한 분석가가 획득할 수 있는 정보로 볼 수 있다.

 

이렇게 이미지 속에서 이미지 별로 다르긴 하지만 여러 정보를 얻을 수 있다. (정확한 정보는 아님)

 

 

이미지 관찰 예시

• EXIF 라는 포맷에 여러 가지 메타데이터가 저장되며, 이 메타데이터에는 시간 정보를 포함하여 GPS 정보 등이 포함

• 그러나 이런 메타데이터 정보는 쉽게 수정이 가능하여 분석가에게 신빙성을 제공하지 못함

• 결국 분석가는 자력으로 이미지에 나타내져 있는 장소를 찾고 이미지가 생성 된 시간을 판별해야 함

• 이때 제일 좋은 분석 도구는 분석가의 눈이며, 부수적으로 인터넷과 여러 알고리즘이 필요

• 요즘은 Geo-Tag가 많이 발전하여 각 지역마다 Tag가 붙어 있고 Tag를 이용해 손쉽게 장소 이미지 찾기가 가능

• 대표적으로 Google Street View, flickr, Photobucket 등이 있으며, 우리나라의 경우에는 다음 로드뷰가 있음 

 

만약 자신이 아는 장소이거나 적어도 어느 국가인지 판단이 된다면 여러 스트리트 뷰를 통해 눈으로 해당 장소를 찾거나 그 범위를 좁힐 수 있다.

 

하지만 외국 등의 장소를 찾게 될 때는 앞서 소개 했던 여러 스트리트 뷰 또는 이미지 검색 엔진과 여러 알고리즘을 이용해 정확한 장소 이미지나 그 범위를 좁혀 볼 수 있다.

 

여러 알고리즘에는 Color Histograms, Texton Histograms, Line Features, Gist Descriptor+Color, Geometric Context 등 다양한 알고리즘이 존재한다.

 

 

이미지에 포함되어 있는 특정 물체 등을 보면 각 지역을 추측할 수 있는데 [그림 2]는 그 예시이다.

 

 

[그림 3]은 왼쪽 상단 위의 이미지 장소를 특정 알고리즘을 사용하여 찾은 이미지를 나열 해놓은 것이다.

 

오른쪽 상단의 지구 모양은 실제 육지에서의 장소를 나타낸 것이며, 아래에는 가장 흡사한 장소들을 나열 해둔 것이다.

 

 

3-2. 이미지 퀄리티 향상 기법

• 요즘은 카메라 화질이 좋아져서 이미지가 흐리거나, 깨지는 일이 자주 발생하지 않음

• 하지만, 간혹 카메라 화질이 좋지 않거나 여러 번 수정되어 이미지의 화질이 손상되어 분석하기 어려운 이미지들이 존재

• 이런 이미지들을 분석할 때에는 기본적으로 이미지의 화질을 향상시킨 후 분석을 수행해야 함 

이미지 향상 기법에는 여러 가지 기법들이 있는데 하나씩 알아보도록 하자.

 

이미지 향상 기법의 대부분은 포토샵으로 가능한 기법들이지만, 기법들의 방법을 다루기에는 그 양이 굉장히 많다.

 

 

Motion Deblurring

• 해당 기술은 이미지를 생성하는 과정에서 사용자의 잘못된 기기 사용법이나 기기 자체의 문제로 인해 이미지가 흐릿하거나 흔들린 상태에서 생성된 이미지를 원래의 피사체와 동일하게끔 만드는 기술

• 이러한 기술은 Motion Deblurring이라 하며, 간단히 Deblurring 이라고도 함

 

[그림 4]는 현재 Blurring이 적용되어 있는 사진이다.

 

위 그림을 증거로 사용하기 위해 자동차의 번호판을 촬영하였거나, CCTV에서 용의자의 얼굴을 확인해야 하는데 이미지가 Blurring 되어 있으면, 굉장히 난감할 것이다.

 

이때 Motion Deblurring 기술을 사용하여 해당 이미지를 원본에 가깝게 복원할 수 있다.

 

 

[그림 5]가 [그림 4]보다는 좀 더 확연하게 우리가 확인하고자 하는 정보가 보인다.

 

 

좀 더 확실히 구분하기 위해 다음 예제를 살펴보자.

 

 

 

UnDistort

• 해당 기술은 렌즈로 인해 생기는 이미지의 왜곡 현상을 제거해주는 기술

• 왜곡으로 인해 식별이 불편했던 이미지 등에 적용하면 이미지 식별이 쉽거나 수월해 짐

 

다음 예제를 살펴보자.

 

 

[그림 7]에서 왼쪽이 렌즈 왜곡 현상이 있는 이미지이고, 오른쪽이 제거 된 이미지이다.

 

구분이 가지 않는다면, 체크판의 각 변들을 보면 조금은 이해가 갈 것이다.

 

왼쪽 그림을 보면 체크판의 왼쪽 변이 휘어져 있는 것을 볼 수 있다.

 

 

Periodic Noise Removal

• 해당 기술은 정규 패턴으로 이루어져 있는 노이즈를 이미지에서 지워주는 기술

• 대표적인 예로 우리가 쉽게 접하는 지폐에서 지문을 채취할 때 사용할 수 있음

 

다음 예제 이미지를 살펴보자.

 

 

세로로 이루어져 있는 물결 무늬가 보이며, 이 무늬는 우리 지폐에서 볼 수 있는 흔한 워터 마킹 중 하나이다.

 

하지만, 이 물결 무늬로 인해 지문이 잘 보이지 않는다.

 

이제 [그림 8]에 해당 기술을 적용해 보자.

 

 

[그림 9]에 빨간 박스로 강조해 놓은 영역을 보면 지문을 볼 수 있다.

 

약간 흐릿하지만 이 정도의 선명도로 지문 인식을 하는 데에는 문제 없다.

 

 

Rational Sharpening

• 이 기술은 각 컬러가 비슷한 부분을 동시에 강조해주는 부분

• 이 기술에서 필요한 값으로는 Strength, Attenuation, Iterations 가 있음

• 각 값은 이미지의 픽셀 값을 조정해 주는데 사용

 

그림 예제를 살펴보자.

 

 

[그림 10]에는 해당 기술을 적당히(세 가지 값을 이용) 적용하면, 다음과 같이 각 이미지의 요소들(사람, 가로등, 도로의 물고임 등)이 픽셀 별로 구분이 되는 것을 볼 수 있다.

 

 

만약 이 세 가지 값이 불균형을 이루게 되면 다음과 같이 이미지를 전혀 알아볼 수 없도록 픽셀들이 폭주하게 된다.

 

 

 

Contrast / Brightness

• 해당 기술은 이미지의 명암을 조절하는 기술

• 우리도 일상적으로 이미지를 꾸미거나 할 때 사용하는 기술

• Contrast는 컬러의 옅음과 짙음을 조절하는 것

• Brightness는 이미지 자체의 밝기를 조절하는 기술

 

그림 예제를 살펴보자.

 

 

[그림 13]에는 하늘은 밝지만, 이미 시간이 지나 밤으로 가고 있는 어슴푸르한 주변 빛 때문에 사람의 얼굴이 잘 보이지 않는다.

 

이때 해당 기술을 사용하면 사람의 얼굴을 확인할 수 있다.

 

 

[그림 14]를 보면 사람의 얼굴이 선명하게 보이는 것을 확인할 수 있다.

 

 

Line Shift

• 일부 비트가 옆으로 이동되어 정상적인 이미지가 아닐 때 정상적인 이미지로 복원하기 위해 사용하는 기술

 

설명 보다는 예제를 보는 것이 이해가 더 빠르니 예제를 살펴보자.

 

 

[그림 15]는 CCTV의 일부 화면이다.

 

가로로 비트 줄이 보이는데, 해당 비트 줄들이 주변 비트들과 울리지 않고 옆으로 이동되어 이미지 내용이 깨져 보이는 것을 볼 수 있다.

 

이런 이미지에 해당 기술을 사용하면 원본에 가까운 이미지를 얻을 수 있다.

 

 

 

3-3. 동영상 퀄리티 향상 기법

• 동영상 분석의 기본은 프레임 별 분석

 

프레임 별로 동영상을 나누어 분석을 수행하며, 이 프레임의 화질을 어떻게 향상 시켜 분석에 도움이 되게 하는지 알아보자.

 

 

Frame Averaging

• 동영상 프레임은 굉장히 짧은 시간의 장면을 나눈 단위로 생각할 수 있음

• 이런 프레임의 값이 각 프레임 별로 모두 다를 경우 사람이 동영상을 인지하는데 굉장히 어려움을 겪을 수 있음

 

이런 이유로 동영상의 프레임 평균을 구하여 모든 프레임이 적용시키면, 사람이 지속적으로 안정적인 프레임을 주시할 수 있기 때문에 화질이 좋지 않는 동영상에는 이 기술을 사용하면 어느 정도의 화질 향상 효과를 볼 수 있다.

 

 

[그림 17]은 해당 기술을 적용하기 전의 모습이다.

 

이미지의 노란색 박스에 무엇인가 적혀져 있는 듯 하지만, 그 내용을 정확히 파악하기에는 아직 어려운 상황이다.

 

[그림 17]에 해당 기술을 적용하면 어떻게 화질이 향상되는지 살펴보도록 하자.

 

 

[그림 18]을 보면, 노란색 박스에 어떤 글씨가 [그림 17]보다 좀 더 잘 보이는 것을 느낄 수 있다.

 

정확히는 아니지만, "525257", 또는 "526257" 로 보인다.

 

해당 이미지를 조금 더 정확히 파악하기 위해서는 다음 기술을 적용햐면 된다.

 

 

Histogram Equalization

• Histogram은 명암의 분포도를 파악하는 것

• 간혹 어떤 동영상이나 이미지의 경우 픽셀이 집중 포화되어 있는 영역이 존재

• 이럴 때 우리가 파악하려는 물체와 그 주변 물체들과 겹치거나 비슷한 색상이어서 구분이 잘 되지 않음

이럴 때 해당 기술을 사용하는데 해당 기술은 픽셀이 집중되어 있는 영역의 픽셀을 다시 골고루 재배치하여 영상의 화질을 향상시킨다.

 

이제 [그림 18]에 해당 기술을 적용 시켜 보자.

 

 

[그림 19]가 [그림 18]보다 조금 더 선명하게 보이면서, 해당 기술을 적용함으로써 노란 박스에 "526257" 이란 숫자가 적혀져 있다는 것을 정확하게 확인할 수 있다.

---

(4) 기타 이미지 분석 기술

 

위 절에서는 이미지, 동영상에 대한 화질 향상 기술에 대해서 알아보았다.

 

이미지(동영상)의 화질(퀄리티)를 향상 시킨다고 하여 합성 여부까지 판단할 수 있는 것은 아니다.

 

이 부분에서는 합성에 대한 이미지(동영상)에 대해 알아보고자 한다.

 

여기서 소개하는 기술들은 이미지와 동영상 모두에 해당하므로 구분 없이 생각하면 된다.

 

 

4-1. Vanishing Point

• 해당 기술은 4개의 포인트를 정하고, 정해진 포인트를 직선으로 이어 겹치는 중앙 원점을 찾음

• 그 원점을 기준으로 이미지를 이동시켜 측면의 이미지가 정면으로 오게끔 하여 사용자가 이미지를 정면에서 볼 수 있도록 해주는 기술

 

그림 예제를 살펴보자.

 

 

[그림 20]을 보면 자동차의 번호판이 측면에서 찍혀 정확히 번호판의 내용이 보이지 않는다.

 

하지만 번호판의 각 꼭지점을 직선으로 연결하면 번호판 중간에 중앙 원점이 만들어지는데 해당 원점을 기준으로 번호판을 이동시키면 된다.

 

 

번호판의 측면이 정면으로 바뀌면서 번호판의 내용을 확인할 수 있는 것을 [그림 21]에서 볼 수 있다.

 

이렇듯 해당 기술은 측면의 이미지를 정면의 이미지로 변경하여 이미지의 내용을 정확히 파악할 수 있도록 도와준다.

 

 

4-2. Measure

• 해당 기술은 이미지 내에 있는 물체의 길이를 재는 기술

• 이 기술의 결과는 수치로 그 수치의 오류율은 크지 않다.

• 따라서 이 기술은 용의자의 인상착의를 파악하는데 꽤 유용하게 작용

 

만약 다음과 같이 사람이 찍힌 이미지가 있다고 가정해보자.

 

 

[그림 22]만 보고 사람의 키를 가늠할 수 있을까?

 

발판 위에 올라가 있어 그 키를 가늠하기가 매우 어렵다.

 

[그림 22]에 해당 기술을 사용하여 조금 더 정확한 사람의 키를 알아보자.

 

 

기술을 적용시켜본 결과, 사람의 키는 178cm 인 것으로 파악이 되었다.

 

또 위 예제에서 사용된 기술은 Measure 3D 기술이고 Measure 1D, 2D 기술도 있다.

 

아래 예제에서 그 차이를 확인할 수 있다.

 

 

 

 

4-3. 이미지 파일 메타데이터

• 요즘 디지털 기기로 인해 생성되는 이미지 파일에는 EXIF라는 메타데이터 포맷이 존재

• EXIF 포맷에는 사진의 화질과 관련된 기본 정보부터 시작하여 이미지 파일을 생성한 디지털 기기의 명칭(모델명), 생성 날짜, 기기의 렌즈 종류, GPS 정보 등의 많은 정보들이 저장되어 있음

• EXIF 포맷은 간단한 툴로 확인이 가능하며, 확인할 때 사용하는 도구들은 셀 수 없이 많으므로 어떤 도구를 사용하는가는 전적으로 사용자 취향

 

다음 그림은 GUI 형태의 EXIFtool로 확인한 어떤 이미지 파일의 EXIF 메타데이터 정보이다.

 

 

한 눈에 봐도 굉장히 많은 정보가 보이지만, EXIF 메타데이터의 가장 큰 단점이 있다.

 

다른 곳에 존재하는 메타데이터처럼 수정이 쉽다는 점과 수정된 메타데이터는 복구가 불가능하다는 점이다.

 

메타데이터가 수정되었다는 것을 증명할 방법으로는, 확실한 방법은 아니지만 일반적인 방법으로 이미지 관찰 방법과 메타데이터 정보를 상호 분석하는 방법이 있다.

 

EXIF에서 가장 많이 변경되는 메타데이터가 GPS 정보와 시간 정보이다.

 

GPS 정보의 경우, 그 장소를 미리 인터뎃 등으로 검색하여 본 후 GPS 장소와 이미지에 찍힌 장소가 동일한지 비교하는 방법이 있다.

 

만약 다르다면 GPS 정보는 변경되었다고 할 수 있다.

 

그럼 이미지 분석에 있어 EXIF 메타데이터 정보는 쓸모 없는 정보일까? 라는 의구심이 들 수도 있다.

 

왜냐하면 수정이 쉽고 복구가 불가능하기 때문에 누군가 이미지의 픽셀이나 메타데이터 수정을 한번이라도 했다면 해당 이미지의 신뢰성은 보장되지 못하기 때문이다.

 

 

이제 메타데이터를 이용하여 누군가 이미지를 조작하였는지 판단할 수 있는 방법을 알아보도록 하자.

 

1) 수정 여부 판별 방법

• 처음 사진 파일을 접했을 때 그 누구도 어떠한 검증 방법을 거치지 않는 이상 그 사진 파일의 데이터가 수정 되지 않았다거나 수정되었다고는 확신할 수 없음

•  하지만 해당 방법을 통해 이미지 파일이 수정되었다는 것을 의심할 수 있고 그 의심을 증명할 수 있음

 

EXIF에는 3개의 타임스탬프 값이 저장된다.

 

• DataTime(Tag ID : 132) : 디지털 카메라 디바이스 내에서의 사진 파일 생성 시각을 나타냄

• DateTimeOriginal(Tag ID : 9003) : 사진을 찍힌 대상이 촬영 된 시각을 나타냄

• DateTimeDigitized(Tag ID : 9004) : 사진을 찍힌 대상이 디지털 이미지로 처리 된 시각을 나타냄

 

위 3개 필드의 타임스탬프 값은 기본적으로 동일한 시간 정보를 갖게 된다.

 

아래는 샘플 사진을 EXIF Viewer로 열어 각 정보를 확인해 본 모습이다.

 

 

빨간 박스로 하이라이트 되어 있는 부분들은 위에서 언급한 타임스탬프 필드들이며, 동일한 시간 값을 볼 수 있다.

 

EXIF 파일의 사진 정보를 수정하기 위해서는 첫 번째 단계로 자신의 PC나 또 어떠한 PC로 사진 파일을 이동하는 행위이다.

 

이 행위에서 이 시간 값들은 부동적이다.

 

첫 번째 단계를 진행하게 되면 NTFS에서는 사진 파일에 대한 MFT 엔트리를 생성하고 MFT 엔트리에 시간 정보를 저장하게 된다.

 

이때 수정 날짜만 EXIF 내에 저장되어 있는 시간 값을 따라 저장되고 나머지 시간 정보인 생성 시간과 접근 시간은 파일이 복사되거나 이동하는 시간을 참고해 저장되게 된다.

 

 

즉, EXIF 데이터가 들어있는 사진 파일을 컴퓨터로 이동해 사진 파일을 열어 보기만 하거나 수정을 하지 않는다면 사진 파일의 시간 정보는 수정 시간이 생성 시간과 접근 시간보다 무조건 몇 분이나 몇 시간 전이어야 하고, 생성 시간과 접근 시간이 동일하여야 한다.

 

현재 상태에서 사진 파일의 데이터를 조작하면 수정 시간만 업데이트 되게 된다.

 

 

다음은 사진 파일에 0x00이란 데이터를 추가 했을 때의 시간 정보이다.

(크기를 보면 918,977 바이트에서 918,978 바이트로 1바이트 추가된 것을 확인할 수 있음)

 

 

사진 파일 데이터가 조작 되었을 때에는 조작을 수행한 시간이 저장되는데 일단 이 정보를 EXIF에 저장된 정보와 비교를 하여 동일하지 않다면 해당 사진 파일이 수정되었다고 판단할 수 있다.

 

속성에서 보이는 시간 값은 MFT 메타데이터이기 때문에 업데이트가 되지만, EXIF의 시간 정보는 파일 구조에 저장되어 있는 값이기 때문에 인위적으로 조작하지 않는 이상 변하지 않는다.

 

그런데 EXIF 시간 값 자체가 수정 되었다면 어떻게 확인을 할 수 있을까? 사진을 수정한 사용자가 EXIF 구조를 알고 있어 모두 똑같은 임의의 시간으로 변경하였다면 매우 까다로운 조건이 걸리기 때문에 쉽사리 시간 값을 조작하지 못한다.

 

EXIF의 시간 값을 조작하면 계속해서 파일 시스템의 해당 파일의 메타데이터에 포함되어 있는 수정 시간이 업데이트 된다.

 

여기서 더 한번 사용자가 머리를 써 파일 시스템의 수정 시간을 예측해 EXIF 포맷의 시간 값을 파일 시스템의 수정 시간과 동일하게 수정한다면 이때는 MFT 엔트리에 FNA(File Name Attribute) 시간 값을 참고하면 된다.

 

그러나 파일 시스템의 수정 시간을 예측해 수정하는 방법에는 한 가지 문제점이 존재하며, 바로 자신의 알리바이이다.

 

자신의 알리바이 시간까지 고려해 수정을 해야만 파일의 수정하지 않았다는 것을 정확히 증명할 수 있다.

 

cron과 같은 예약 프로그램을 쓰면 되지 않을까? 라고 생각할 수 있지만, 프로그램을 사용하면 그 흔적 또한 남기 때문에 적절한 방법이 아니다.

 

만약 시간 값을 수정한 사용자는 어떠한 시간에 누구와 같이 있었거나 컴퓨터를 만지지 않았음에도 불구하고 파일의 시간이 그 때의 시간을 가리키고 있다면 이는 수정 된 시간으로 볼 수 있다.

 

즉 사용자는 시간을 수정하기 위해서는 여러 가지 제한 사항을 고려해야만 하기 때문에 섣불리 시간을 조작해서도 안되고 조작하더라도 여러 가지 난관에 부딪혀 결국 시간 조작에 실패하고 말 것이다.

 

 

정리를 해보면 사진 파일의 데이터가 수정 되지 않은 파일들의 시간적 특징은 다음과 같다.

(디지털 카메라 디바이스에서 NTFS 파일 시스템으로 파일을 복사하거나 이동했다고 가정 했을 때)

 

• EXIF 3개 필드 시간 값이 동일

• 파일 시스템의 파일 생성 시간과 접근 시간이 동일하며, 수정 시간은 EXIF의 3개 필드 시간 값과 동일

• 파일 시스템의 파일 생성 시간과 접근 시간이 수정 시간보다 느림 

 

위 3개의 조건이 공개된 지금 사진 파일 데이터를 수정하던 사용자는 위 조건에 맞는 시간 값을 생각해 파일 시스템과 EXIF의 시간 값도 수정하려고 할지 모른다.

 

하지만, 시간 값 수정에는 많은 조건이 따르기 때문에 자신의 상황을 생각해 수정하려 할 때 많은 생각을 하게 되며 섣불리 시간 값을 수정하지 못할 것이다.

 

또 수정한다고 하더라도 파일 시스템 메타데이터 시간 값이 존재하기 때문에 그 시간 값을 또 생각해야 하며 생각한 파일 시스템 메타데이터 시간 값을 수정하기 위해서는 파일 시스템 레벨의 도구를 사용해 수정해야만 한다.

 

하지만 이 또한 프리패치 등의 흔적으로 발견되며, 프리패치를 지운다고 하여도 복구가 가능하고 하기 때문에 여러 가지 면들을 생각한다면 결국 수정을 포기하게 되고 만다.

 

이러한 방법으로 사진 조작 여부를 판별하고 해당 사진의 분석을 진행할 것인지, 아니면 조작 되었으므로 분석을 진행하지 않거나 해당 파일의 조작 여부 자체를 증거로 제출한 것인지 판단할 수 있다.

 

 

4-4. Image Search

• 해당 내용은 기술보다는 이미지 분석을 수행하기 전에 간단한 방법으로 이미지 분석의 절차를 간소화하는 방법

• 이미지 분석에 있어 정말 정밀하게 조작된 이미지는 분석 결과가 정확하지 않을 수 있음

• 이런 경우 법원에 제출하여 증거로 채택 받는 것이 힘들어지는데, 혹시나 모를 이미지의 다른 조작 이미지를 찾게 된다면 조작 결과의 근거로 찾은 이미지를 제출할 수 있음 (미국의 경우이며, 우리나라는 아직 사례 없음)

• 이미 검색 기술이 발전하여 이미지만을 가지고 검색을 할 수 있게 되었으며, 대표적으로 Tineye와 Google 검색 엔진이 존재

 

그림 예시를 통해 한 번 살펴보자.

 

 

[그림 30]을 보면 하나의 이미지가 조작되고 합성되고 인용되는 것을 볼 수 있다.

 

만약 이런 결과물들을 검색 엔진을 통해 얻을 수만 있다면 정말 정밀하게 조작된 이미지라도 부정확한 분석 결과에 신빙성을 더해 줄 수 있게 된다.

 

 

4-5. Camera 기종에 따른 이미지 분석

• 요즘은 디지털 카메라가 보편화 되어 있다는 것을 누구나 알고 있지만, 분석가는 이런 시대적 현상이 달갑지만은 않음

• 이유는 디지털 카메라의 제작 규격이 표준화 되어 있지 않기 때문에 그 모양이 모두 다르기 때문

• 모양으로 인해 플래시 위치가 제각각 이어서 피사체의 그림자 위치가 모두 달라짐

• 그러므로 분석가는 각 렌즈 위치 별 그림자 위치를 모두 파악하고 있어야 이미지 분석에 있어 조금 더 정확하고 신빙성 있는 결과를 도출할 수 있음 

 

조금 더 직관적인 예를 들어보자면, 다음 그림은 동일한 위치에서 동일한 피사체를 촬영한다는 가정하에 제작된 3D 이미지이다.

 

 

[그림 32]를 보면 동일한 위치에서 촬영을 했음에도 불구하고 피사체의 그림자 위치가 다른 것을 확인할 수 있다.

 

왼쪽의 피사체의 그림자는 오른쪽으로 치우쳐져 있고 오른쪽 피사체의 그림자는 왼쪽으로 치우져져 있다.

 

 

다음 이미지를 본다면 왜 위치가 이렇게 달라지는지 한 눈에 파악할 수 있다.

 

 

왼쪽 피사체 그림자의 경우 왼쪽에 플래시가 위치한 디지털 카메라로 촬영 했다고 가정하에 이미지를 생성한 것이고, 오른쪽 피사체 그림자의 경우 오른쪽에 플래시가 위치한 디지털 카메라로 촬영 했다고 가정하고 이미지를 생성한 것을 알 수 있다.

 

빛의 시작 위치가 달라 그 빛을 받고 만들어지는 그림자의 위치가 달라지게 되는 것이다.

 

이런 이유로 카메라의 플래시 위치는 상당히 중요하다.

 

플래시 위치는 결국 빛의 시작 위치라고 말할 수 있기 때문이다.

 

 

4-6. Shadow Analysis

• 이미지 합성 여부를 가리는 가장 대표적인 방법으로 그림자 분석(Shadow Analysis) 기술이 있음

• 그림자는 아주 자연스러운 자연 현상으로, 모든 피사체가 빛을 만났을 때 피사체의 크기와 비슷하게 그늘이 지는 영역 또는 현상

• 대부분의 이미지 합성을 시도하는 자들은 그림자를 간과하게 됨

• 조금 신경을 쓴다고 하여 그림자를 삽입한다 하더라도 정확하게 자연 현상의 그림자를 표방하여 합성을 시도하기란 여간 쉬운 일이 아님

 

그림 예제를 통해 살펴보도록 하자.

 

 

 

얼핏 보면 동일한 두 예제는 자세히 보면 탁자에 올려져 있는 초록색 병의 그림자 방향이 다른 것을 알 수 있다.

 

여기서 두 예제에 대해서 합성 또는 조작 진위 여부를 생각한다면 우리는 총 네 가지의 경우의 수를 생각할 수 있다.

 

[그림 34]가 진짜이거나 [그림 35]가 진짜일 수도 있고, 둘 중 하나가 진짜일 수도 있다.

 

또, 두 개가 모두 가짜일 수도 있다.

 

하지만, 두 개 모두 진짜일 수는 없으며, 그림자는 하나의 자연 현상이므로 동일한 환경에서 두 가지의 그림자가 나타날 수는 없기 때문이다.

 

여기서 그림자의 특성을 생각해보면, 그림자는 빛에 의해 생겨나는 것으로 빛은 한 곳에서 분산되어 피사체에 비춰진다.

 

그러므로 여러 조명이 있지 않고 하나의 조명이 있거나 야외에서 찍힌 피사체의 이미지라고 생각한다면, 이미지에 표현되어 있는 그림자는 모두 한 곳에서 비추어지는 빛에 의해 생겨난 그림자라고 생각할 수 있다.

 

 

이런 논리를 통해 두 이미지의 빛의 발원지를 추적해 선으로 연결 해보면 다음과 같은 차이점을 발견할 수 있다.

 

 

 

선으로 각 그림자를 빛의 발원지로부터 이어보면 [그림 36, 37]처럼 확연히 차이가 나는 것을 볼 수 있다.

 

[그림 36]의 경우 정확하게 식탁 위 조명에서 빛이 발산되어 그림자를 생성한 것을 확인할 수 있는 반면, [그림 37]의 경우 초록색 병의 그림자가 초록색 병과 이었을 경우 빛의 발원지인 조명일 빗겨 간다는 것을 볼 수 있다.

 

즉, 초록색 병이 다른 이미지에서 잘려 현재 이미지와 합성되었다는 것을 입증하는 것이다.

 

여기서는 예제를 만들어 알아보았지만, 실제로 해당 기법을 통해 분석을 할 수 있는 합성 논란 이미지나 동영상은 많이 존재한다.

 

 

한 가지 실제 예를 살펴보도록 하자.

 

 

인터넷 포털 사이트에서 핫이슈로 네티즌들 사이에서 화제가 되었던 유튜브 동영상으로 독수리가 공원에서 놀고 있는 아기를 낚아 채 납치하는 동영상이다.

 

 

처음 공개가 되었을 때에는 동영상을 보고 네티즌들은 놀랍다는 반응이었지만, 시간이 지나자 일부 네티즌들은 합성을 제기하였다.

 

하지만 그 누구도 뚜렷한 합성의 논리적 근거를 밝히지는 못하였는데 해당 동영상은 간단한 분석으로 합성 여부를 판단할 수 있는 사례이다.

 

독수리가 아기를 낚아 챌 때 지면에 생기는 그림자를 포착하여 분석하면 위 [그림 39]와 같은 결과가 나오게 된다.

 

 

합성의 여지가 있는 독수리와 일반 사람들의 그림자를 대상으로 빛의 발원지를 추적하여 보면 독수리의 그림자와 사람들의 그림자가 서로 다른 빛을 받아 생겼다는 것을 확인할 수 있다.

 

어떤 피사체가 원본 피사체이고 원본 피사체에 합성된 피사체가 어떤 것인지는 정확히 판별할 수 없지만, 적어도 의심이 가는 일반 사람들 피사체 또는 독수리의 피사체는 같은 공간에서 찍히지 않았다는 것은 증명할 수 있는 셈이다.

---

(5) 이미지 분석 도구

• 아직까지 디지털 이미지 포렌식을 전문적으로 지원하는 도구는 그리 많지 않음

• 대표적으로 AmpedSoftware사에서 개발한 Amped Five가 디지털 이미지 포렌식 도구라고 할 수 있음

• 또, 전문적인 도구는 아니지만, Adobe사에서 개발한 PhotoShop이 있음

 

PhotoShop은 전문적인 디지털 포렌식 도구는 아니지만, 현재까지 연구되었던 대부분의 기술들이 집약되어 있는 도구이기 때문에 디지털 이미지 포렌식을 수행하는 데 큰 어려움이 없다.

---

(6) 결론

 

지금까지 디지털 이미지 포렌식에 대한 여러 기술들을 알아 보았다.

 

사실 위 기술들은 디지털 이미지 포렌식의 기술들이기 보다는 이미지 프로세싱에 포함되는 기술들이 대부분이다.

 

이미지 프로세싱에 대한 기술 연구는 외국뿐만 아니라 우리나라에서도 많이 연구되고 있는 한 분야로 우리나라의 기술 수준 또한 외국 기술 수준에 비해 전혀 뒤쳐지지 않는다.

 

하지만, 이런 기술 수준을 디지털 포렌식에 접목하는 시도는 아직까지 우리나라에서 찾아보기가 힘들다.

 

현재로서는 미국에서 이미지 프로세싱을 디지털 포렌식에 결합하여 연구하고 있는 것이 전부이며, 해당 연구원들은 이런 연구를 포토 포렌식(Photo Forensic)이라고 부르고 있기도 하다.

 

앞으로 이런 연구가 우리나라에서도 활발히 진행되어 우리나라의 독자적인 디지털 이미지 포렌식 기술과 도구가 나와야 하겠다.

---

# Reference

 

http://www.yes24.com/Product/Goods/8511539

[Digital Forensic] 클라우드 보안과 디지털 포렌식

 

---

(1) 클라우드 서비스

• 일반적으로 사용하는 전기, 수도, 공공서비스 등의 자원을 사용하는 것과 같음

• 이는 미국의 존 맥카시가 제안한 개념

• 네트워크로 연결된 컴퓨팅 환경에서 여러 컴퓨터 자원들을 현실에사 사용하는 전기, 수도 등의 자원처럼 사용하는 것

 

대부분의 사람들은 클라우드에 대해 얼핏 들어 클라우드 서비스와 클라우드 컴퓨티에 대해 혼동을 하곤 한다.

 

1) 클라우드 컴퓨팅

• 가상화와 분산 기술을 이용해 인터넷을 통해 사용자에게 IT 자원을 빌려주고 그 자원을 사용한 만큼 돈을 지불 받는 컴퓨팅 환경

2) 클라우드 서비스

• 사용자에게 클라우드 컴퓨팅 환경을 제공하는 주문형 IT 서비스

클라우드 서비스의 설명을 듣다 보면 우리가 일반적으로 사용하는 웹하드가 생각날 수 있다.

 

얼핏 보면 웹하드와 비슷한 점이 많지만, 웹하드와의 큰 차이는 분명히 존재한다.

 

클라우드 서비스 중 스토리지 제공 서비스와 웹하드를 혼동할 수 있는데 웹하드와 스토리지 서비의 차이는 다음 표와 같다.

 

 

[표 1] 클라우드와 기존 서비스의 차이

	웹하드	스토리지 제공 서비스
자원의 폐기	사용자	서비스 제공자
파일 보관 상태	단순 저장	여러 가지 단말기와의 동기화
파일 가공 주체	사용자 PC	서비스 제공 서버

 

위 차이점 말고도 몇 가지가 더 있지만, 큰 차이점을 바로 위 차이점들이다.

---

1-1. 클라우드 서비스 모델

 

 

1) IaaS(Infrastructure as a Service)

• 해당 모델은 사용자에게 서버, 스토리지 등의 하드웨어 자원 만을 제공하는 서비스

• 스토리지 제공 서비스 형태

• 우리가 잘 알고 있는 N드라이브나 i Cloud가 이 모델에 속함

 

2) PaaS(Platform as a Service)

• 해당 모델은 사용자에게 서버, 스토리지 등의 하드웨어 자원 뿐만이 아니라 응용 소프트웨어 개발에 필요한 여러 플랫폼도 같이 제공

• 해당 모델은 응용 프로그램 개발 환경 제공 서비스 형태

• 구글의 App Engine이 대표적인 예

 

3) SaaS(Software as a Service)

• 해당 모델은 IaaS, PaaS를 포함한 것에 응용 소프트웨어를 제공하는 모델

• 제공되는 소프트웨어는 당연히 사용자가 원하는 소프트웨어

• 대표적으로 구글 Docs가 있음

 

클라우드 서비스는 모델 뿐만이 아닌 사용자가 사용하려는 목적에 따라 서비스 성격을 다음과 같이 나눌 수 있다.

 

• Public(공공용) : 해당 성격은 불특정 다수로 서비스를 하는 사용자에게 적합한 서비스 성격

• Private(사설용) : 해당 성격은 서비스를 제공하고자 하는 사람에게만 제공하려는 사용자에게 적합한 서비스 성격

• Hybrid(혼합용) : 해당 성격은 Public + Private 성격의 서비스이며, 공개를 하되 일부 서비스는 공개하고 싶지 않을 때 적합한 서비스 성격

---

1-2. 클라우드 서비스 구조

 

 

클라우드 컴퓨팅 환경은 [그림 2]의 클라우드 서버들이 모여 있는 하나의 환경을 지칭하는 것이다.

 

여러 개의 클라우드 서버가 연결되어 클라우드 컴퓨팅 환경을 구성할 때에는 하이퍼 바이저가 서버마다 존재하는 것이 아니라 여러 서버들의 하드웨어 자원들을 통합적으로 관리하는 위치에 존재하게 된다.

 

그 후 그 위에 Host/Guest OS가 설치 되고 그 윗 단에 응용 프로그램이 존재하게 되는 것이다.

 

 

클라우드 컴퓨팅 환경은 그 환경으로 인해 다음과 같은 특징을 가지게 된다.

• 정보 위탁 특징 : 사용자 정보가 클라우드 서버에 위치하게 됨

• 자원 공유 특징 : 서로 다른 사용자 간에는 자원을 독립적으로 사용하는 것처럼 느껴지지만, 물리적 자원은 결국 공유함

• 단말 다양성 : 다양한 단말로부터 접속이 가능함

---

(2) 보안 측면에서의 클라우드

 

위 3가지 특징으로 인해 보안 위협이 발생하게 되는데, 여러 기관이나 단체에서 클라우드 위협에 대해 정리해 놓은 문건들이 존재한다.

 

 

다음 내용은 핵심적인 위협에 대한 내용이다.

 

1) 가상화 기반의 취약점

• 이전부터 가상화 기술은 IT 업계에서 계속 사용해 왔었음

• 이러한 역사가 말을 해주듯 가상화에 대한 취약점 또한 어느 정도 발표가 되어 있는 것이 현실

• 가상화 기술에 취약점이 발견되었고 공격을 당한다면 공격자는 특정 Guest OS에서 Host OS로 넘어갈 수 있을 것이고, Host OS에서 동일 하드웨어 자원을 사용하는 다른 Guest OS를 침범할 수 있을 것

• 이러한 경우 동일 하드웨어 자원을 사용하는 다른 사용자들은 모두 침해를 받는 위협에 놓이게 됨

 

2) 정보 위탁의 위험

• 정보 위탁 특징에서도 봤듯이 정보가 모두 클라우드 서버에 위치하게 됨

• 이는 서비스 제공자에게 정보를 모두 주는 형국을 뜻함

• 서비스를 제공하는 측의 내부자가 정보를 유출할 수도 있고, 악의적인 사용자가 서비스 제공자 측을 공격해 클라우드 서비스의 정보를 탈취해 갈 수도 있음

 

3) 동일한 물리적 자원 공유의 위험

• 논리적으로 자원을 독립적으로 사용한다고는 하지만 하드웨어 자원은 그렇지가 못함

• 따라서 하드웨어 자원에 문제가 생기면 해당 하드웨어 자원을 사용하는 여러 서비스 사용자들의 서비스 가용성을 보장하지 못 함

 

4) 다양한 단말기를 이용한 정보 유출

• 요즘은 스마트폰, 태블릿 PC 등이 보급화 되어 언제 어디서든지 클라우드 서비스가 제공하는 서비스를 이용할 수 있음

• 하지만 휴대성이 큰 만큼 분실성 또한 휴대성 못지 않게 큼

• 만약 휴대용 단말기를 분실할 경우 악의적인 사용자가 해당 단말기를 습득하여 클라우드 서비스에 접속하여 정보를 유출할 수 있게 됨

• 또 이러한 다양한 단말기들은 대부분 무선 통신

• MITM(Man In The Middle), 스니핑(Sniffing), 도청 등의 공격을 받아 사용자도 모르게 정보가 유출될 수 있음

 

5) 법 관련 문제

• 국외의 클라우드 서버를 사용할 시 어떻게 법을 적용해야 하는지 난감해 짐

• 클라우드 컴퓨팅 환경에서 사용자의 가상 환경은 동적으로 배치되기 때문에 보안 법규 적용 검토를 위한 감사 중적 문제가 발생할 수 있음

• 또 아직까지는 클라우드 서비스를 위한 보안 감사 항목과 제도가 존재하지 않음

 

이러한 위협들을 인지하고 여러 보안 업체나 IT 업체들은 클라우드 서비스와 컴퓨팅 환경에 대한 보안 제품을 개발 및 판매하고 있다.

 

여러 클라우드 보안을 위한 솔루션이 나왔다고는 하지만 아직까지 그 보안 위협이 완전히 사라진 것은 아니다.

 

모든 보안에서 제일 중요한 것은 바로 사람이다.

 

결국 클라우드도 서비스를 제공하는 제공자나 서비스를 이용하는 사용자가 제일 중요한 것이다.

---

(3) 디지털 포렌식 관점에서의 클라우드

 

보안 위협이 있다면 당연히 디지털 포렌식 측면도 생각해야 한다.

 

보안 사고가 발생하였다면 침해대응부터 포렌식까지 꼭 필요하기 때문이다.

 

그런데 클라우드 포렌식은 지금까지의 포렌식과는 그 형태가 다르다.

 

일반 디지털 포렌식은 증거를 수집하는 물리적인 위치나 논리적인 위치가 그다지 많지 않았다.

 

하지만 클라우드 포렌식에서는 증거를 얻는 그 위치가 물리적 / 논리적으로 다양하며, 또 사건 발생 시 클라우드 환경으로부터 포렌식에 필요한 데이터를 얻기가 어렵다.

 

즉, 기존의 덤프 파일처럼 bit-by-bit 형식으로 데이터를 얻을 수 없다.

 

다만 클라우드 서비스 제공자 측에서 제공하는 기능들 중 스냅샷 기능을 이용해 어느 정도의 데이터는 얻을 수 있다.

 

 

만약 국내 업체의 클라우드 서버가 침해를 당하였는데 침해 당한 클라우드 서버의 관할권이 다른 나라에 있다면 어떻게 해야 할까?

 

또 클라우드 환경의 로그와 클라이언트 환경의 로그를 서로 비교하였더니 시간이 일치하지 않는다면, 과연 이 데이터는 증거로 인정 받을 수 있을까?

 

이렇듯 위치가 다양함에 따라 따져봐야 할 점이 많아지면서 증거를 위한 데이터 수집과 증거로서의 인증 능력이 까다로워진다.

 

 

현재로서의 최선의 방법은 클라우드 환경에서 제공하는 스냅샷 기능을 이용한 데이터 수집과 클라우드 서비스를 사용한 클라이언트 시스템의 분석이다.

 

특히 클라이언트 분석 시 클라우드는 대부분 브라우저로 이용하기 때문에 브라우저를 중심으로 분석을 수행해야 한다.

 

 

다음 내용은 클라우드 서비스 모델에 따른 포렌식 특징이다.

 

1) IaaS

• 다른 서비스들에 비해 가장 많은 데이터를 얻을 수 있는 서비스 모델

• 서비스 사용자가 임대 받은 가상 머신의 보안을 담당하기 때문에 포렌식 준비와 수행을 할 수가 있음

• 또 스냅샷 기능을 이용해 메모리를 포함한 여러 데이터를 얻을 수 있다는 장점도 존재

• 또 해당 모델의 VMM(Virtual Machine Monitor)의 정보를 포렌식에 활용 할 수도 있음

• VMM은 가상머신 자원에 대한 모든 접근 권한을 가지고 있는데 고객 측면에서는 보안 위협으로 다가올 수 있지만 포렌식 관점에서는 아주 유용한 기능

• 비활성 / 활성 분석이 가능한 서비스 모델로 가장 일반적인 포렌식과 비슷한 분석을 할 수 있는 서비스 모델

 

2) PaaS

• 해당 서비스 모델은 사용자가 환경을 제어하는 권한을 가지지 못함

• 그러나 사용자가 개발한 프로그램이 시스템에 종속적인 데이터베이스나 스토리지와 상호 연동이 가능하도록 하는 권한은 사용자가 가지고 있음

• 그러므로 해당 시스템에서 제공되는 개발 플랫폼의 API를 이용해 시스템의 로그나 정보를 얻을 수 있음

 

3) SaaS

• 해당 서비스 모델은 다른 서비스 모델들에 비해 데이터가 가장 적게 수집되는 서비스 모델

• 해당 서비스 모델이 분석 대상이라면 해당 서비스 모델 분석보다는 이 서비스 모델을 사용한 클라이언트 시스템을 분석하는 것이 가장 효율적

아무리 스냅샷 기능이 좋아도, 기대 이상으로 포렌식 관점의 데이터를 수집한다 하여도 분석에 있어 그 데이터는 충분하지는 못할 수 있다.

 

포렌식을 위해서 클라우드의 환경을 고칠 수도 없으며, 이러한 이유로 가장 좋은 클라우드 포렌식 발전 방향은 클라이언트 시스템 분석이다.

 

해당 클라이언트가 클라우드 서비스를 사용함으로써 클라이언트 시스템에 어떠한 데이터가 남는지 알아내고 분석하는 것이 현재로서는 현실적인 발전 방향이다.

 

또 법적인 문제도 여러 가지 면으로 해결되어야 할 것이다.

---

# Reference

 

http://www.yes24.com/Product/Goods/8511539

[Digital Forensic] 디지털 포렌식 관련 법규

 

 

디지털 포렌식에서 법률은 매우 중요한 부분이며, 최근 디지털 포렌식의 관심과 연구가 늘어나고 또 인력에 대한 수요와 기술적 수요가 늘어나면서 디지털 포렌식에 관련된 법률 또한 신설되어 디지틸 포렌식과 관련된 법률 공부를 하지 않고서는 제대로 된 디지털 포렌식을 수행할 수 없다.

---

(1) Digital Forensic 관련 법규

 

디지털 포렌식과 관련된 법률은 다음과 같은 법률들이 존재한다. 

 

1-1. 디지털 증거 수집 및 분석 규정

 

1-2. 디지털 포렌식 수사관 인증심의위원회 운영 규정

 

1-3. 형사소송법

• 제 106조 (압수)

• 제 215조 (압수 / 수색 검증)

• 제 218조의 2조 (압수물의 환부, 가환부)

• 자유심증주의

• 위법수집증거배제원칙

• 전문증거배제법칙

 

1-4. 통신비밀보호법

• 제 9조의 3 (압수 / 수색 / 검증의 집행에 관한 통지)

• 제 13조 (범죄 수사를 위한 통신 사실 확인 자료 제공의 절차)

• 제 13조의 3 (범죄 수사를 위한 통신 사실 확인 자료 제공의 통지)

 

1-5. 정보통신망 이용촉진 및 정보보호 등에 관한 법률

 

1-6. 부정경쟁방지 및 영업비밀보호에 관한 법률

 

1-7. 산업기술의 유출방지 및 보호에 관한 법률

 

1-8. 신용정보의 이용 및 보호에 관한 법률

 

 

위에서 언급한 법률들 중 법률의 일부 조항만이 디지털 포렌식과 관련이 있는 법률도 있지만 대부분의 법률의 모든 조항들이 디지털 포렌식과 관련이 있어 이 책에서 모두 언급하지 못하였다.

---

(2) 법률 관련 용어

 

다음은 디지털 포렌식 법률에 관한 용어들에 대한 설명들이다.

 

 

2-1. 위법수집증거 배제원칙

• 위법한 절차에 의하여 수집된 증거에 대한 증거 능력을 배제(인정하지 않는) 법칙

• 형사소송법 제 308조 2에 의하여 적법한 절차에 따르지 아니하고 수집한 증거는 증거로 할 수 없음

• 미국에서 유래하였으며, 우리나라에서는 2007년 6월 1일 개정한 형사소송법에 이 법칙의 규정을 신설 

 

2-2. 독수독과이론 (독수과실이론)

• 위법하게 수집된 증거(독수)에 의하여 발견된 제 2차 증거(독과)의 증거 능력은 인정할 수 없다는 이론

• 위법수집증거배제법칙이 적용된 증거에서 파생되거나 추출한 제 2차 증거에도 증거 능력으로 인정 받을 수 없는데 이를 독수독과이론 또는 독수과실이론이라고 함

 

2-3. 자유심증주의

• 법정에 제출된 증거의 증거 능력을 법률을 근거로 판단하는 것이 아닌 법관의 자유 판단을 근거로 판단하는 주의

• 법정증거주의에 대한 것으로서 증거의 증명력을 적극적 또는 소극적으로 법정하지 아니하고 이를 법관의 자유로운 판단에 일임하는 주의

 

2-4. 진술거부권 고지

• 진술거부권 피고인, 피의자, 증인, 감정인 등이 질문 또는 심문에 대하여 진술을 거부할 수 있는 권리

• 다른 말로 묵비권이라 함

 

2-5. 법정증거주의

• 증거의 증명력에 관한 법칙을 법률로 정립하여, 사실의 인정에 있어 법관으로 하여금 반드시 이 법칙을 따르도록 하는 주의

 

2-6. 무죄추정의 원칙

• 피고인이 유죄로 판결이 확정될 때까지는 무죄로 추정한다는 원칙

 

2-7. 별건증거 (플래인뷰)

• 특정 범죄 혐의에 대해 영장을 발부 받아 압수수색한 휴대전화에서 다른 범죄의 증거가 나온 경우, 다른 범죄 증거에 대해 사후영장을 받지 않았다면 그 증거나 이에 기반한 관련자 진술은 증거 능력이 없다는 판결이 나옴

• 법원은 다만 검찰이 새롭게 드러난 별건의 범죄 혐의에 대해 2차 압수수색영장을 받았다면 절차적 위법성이 치유되어 증거 능력이 인정된다고 판단함

 

2-8. 이익형량

• 충돌하는 기본권의 법익을 비교 & 형량하여 결정하는 방법

• 공익 대 공익, 공익 대 사익 간에도 이익형량 법칙이 적용됨

 

2-9. 압수수색

• 증거물 또는 몰수할 것으로 예상되는 물건의 점유를 취득하여 유지하는 처분인 압수와 사람의 신체, 물건, 주거 기타의 장소에서 압수할 물건이나 사람을 발견하기 위해 이를 찾는 처분인 수색

• 많은 국가에서 압수 수색을 위해 영장을 요구하며, 불법적인 압수수색으로 부터 보호받을 헌법적 권리를 보장받고 있음

 

2-10. 참여권보장

• 수사기관은 압수수색한 저장매체에서 영장 혐의와 상관 없는 별도의 범죄 혐의와 관련된 전자 정보를 발견하더라도 피압수자 측에 적정한 참여권 등을 보장하지 않으면 적법하게 그 내용을 압수할 수 없음

• 또 압수한 전자 정보를 수사기관으로 가져와 복제하고 재복제하는 등 순차적인 압수수색 과정에서 한 차례라도 정보 소유자의 참여권을 보장하지 않았다면 해당 압수수색 전체가 위법하므로 이 과정에서 획득한 증거는 증거 능력을 인정받을 수 없음

 

2-11. 압수수색과 참여권

• 수사기관의 전자 정보에 대한 압수수색은 원칙적으로 영장 발부의 사유로 된 범죄 혐의사실과 관련된 부분만을 문서 출력물로 수집하거나 수사 기관이 휴대한 저장매체에 해당 파일을 복제하는 방식으로 이루어져야 함

• 저장매체 자체를 직접 반출하거나 복제본 형태로 수사기관 사무실 등 외부로 반출하는 방식은 현장의 사정이나 전자 정보의 대량성으로 관련 정보 획득에 긴 시간이 소요되거나 전문 인력에 의한 기술적 조치가 필요한 경우 등 범위를 정해 출력 또는 복제하는 방법이 불가능하거나 압수의 목적을 달성하기에 현저히 곤란하다고 인정되는 때에 한해 예외적으로 허용될 수 있음

• 저장매체 자체를 직접 반출하거나 복제본 형태로 이용하는 것이 허용되는 예외적인 경우에도 이를 수사기관 사무실 등에서 복제, 탐색, 출력하기 위해서는 피압수자나 그 변호인에게 참여 기회를 보장하고 혐의 사실과 무관한 전자 정보의 임의적인 복제 등을 막기 위한 적절한 조치를 취하는 등 영장주의 원칙과 적법절차를 준수해야 함

• 이와 같은 예외적인 경우에도 혐의 사실과 관련된 전자 정보 이외에 이와 무관한 전자 정보를 탐색 / 복제 / 출력하는 것은 원칙적으로 위법한 압수수색에 해당하므로 허용될 수 없음

 

2-12. 임의수사

• 강제력을 행사하지 않고, 상대방의 동의나 승낙을 받아서 행하는 수사

• 임의동행, 보호실 유치, 수색, 거짓말 탐지기, 마취 분석, 최면 수사 등이 포함

• 수사의 필요성과 상당성, 자유의사에 대한 승낙

• 상대방의 승낙을 매개로 강제수사에 대한 법적 규제를 회피하거나 탈법적으로 이용해서는 안 됨

 

2-13. 강제수사

• 강제 처분에 의한 수사

• 체포 (형사소송법 제 200조의 2)

• 피의자 구속 (형사소송법 제 201조의 2)

• 압수수색검증 (형사소송법 제 215조)

 

2-14. 영장주의

• 피의자 체포, 구속, 압수, 수색, 검증 등의 강제수사를 함에 있어 판사가 발부한 영장에 의하여야 한다는 원칙

 

임의수사로 볼 것인지 강제수사로 볼 것인지에 대한 새로운 수사 방법을 고려해야 한다. (비디오 촬영, CCTV, 음주 측정, 해혈, 채뇨, 체액이나 채모 채취, DNA 감정, 무인카메라 등)

 

 

2-15. 전문증거

• 원진술자가 공판 기일 또는 심문 기일에 행한 진술 이외의 진술로서 그 주장 사실이 진실임을 입증하기 위하여 제출된 것

• 경험 사실을 들은 타인이 전문한 사실을 법원에서 진술하는 경우, 경험자 자신이 경험 사실을 서면에 기재하는 경우 및 경험 사실을 들은 타인이 서면에 기재하는 경우가 포함

 

2-16. 전문증거배제법칙

• 전문증거는 사실 인정이라는 기초하에 경험자가 경험적 사실을 법원에 직접 보고하지 않고 다른 형태로 간접적으로 보고하는 것을 뜻함

• 이런 증거는 원천적으로 증거가 될 수 없다는 법칙이 전문증거배제법칙

• 현재 형사소송법 제 310조의 2에 명시, 규정 됨

 

2-17. 자백배제법칙

• 피고인의 자백 또는 그 피고인에게 불이익한 유일한 증거인 때는 유죄의 증거로 하지 못함

---

(3) 증거 인증 과정

 

디지털 포렌식에서 무결성은 굉장히 즁요하고, 무결성을 입증 하는데에는 여러 가지 절차와 해시 값 등이 사용된다고 언급하였다.

 

실제로 수사기관과 법원 사이의 증거 인증 과정은 다음과 같다.

 

 

먼저 수사기관에서는 획득할 증거를 구별하고 증거 수집에 있어 동의서 확인을 받은 후 증거를 획득하기 시작한다.

 

증거 획득 과정에서는 무결성을 입증하기 위해 해시 값을 생성하는데, 이때 생성된 해시 값은 수사기관에서 별도로 기록하여 관리하기도 하지만 법원에 이 해시 값이 전달된다.

 

법원에서는 전달 받은 해시 값을 자신들의 인증서로 전자서명 하여 전자증거 보관소에 저장한다.

 

그 후 추후에 수사시관에서 증거를 제출하면 법원은 전자증거 보관소에 저장되어 있는 해시 값과 수사기관이 제출한 증거의 현재 해시 값을 비교해 증거가 변조 또는 훼손되었는지 판단한다.

 

이때 당연히 해시 값이 일치하지 않다면 증거는 훼손되었다는 것이 입증되며 증거는 증거 효력을 가지지 못하게 된다.

 

 

이런 과정이 있기 때문에 증거를 획득하는데 있어 무결성을 위한 해시 값은 굉장히 중요하다.

 

또 해시 알고리즘 특성상 1bit만 변경되더라도 해시 알고리즘에 의해서 생성되는 값은 전혀 다른 값이기 때문에 증거의 훼손 정도 또한 판단할 수 없어 증거 효력을 잃게 된다.

 

그러므로 증거를 획득할 때에는 신중히 절차대로 증거를 수집해야 한다.

---

(4) 증거 효력

 

4가지의 증거력과 5가지의 디지털 포렌식 증거력으로 나눌 수 있으며 다음과 같다.

 

4-1. 증거력

1) 진정성(Authenticity)

• 해당 증거가 특정인이 특정 시간에 생성한 파일이 맞는지 여부

 

2) 무결성(Integrity)

• 원본으로부터 증거 처리 절차 과정동안 수정, 변경, 손상이 없어야 함

 

3) 원본성(Originality)

• 실제 법정에 제출되는 원본과 다른 사본 증거에 대한 증거 능력을 부여할 수 있는가?

 

4) 신뢰성(Relability)

• 증거의 분석 과정에서 증거가 위조 / 변조 되거나 의도하지 않은 오류를 포함해서는 안 됨

 

 

4-2. 디지털 포렌식 증거력

1) 정당성

• 적법절차에 의해 수집되었는가?

 

2) 재현성

• 같은 조건 상황에서 같은 결과를 가지는가?

 

3) 신속성

• 전 과정이 신속하게 진행되었는가?

 

4) 절차 연속성 (연계 보관성)

• 수집, 이동, 보관, 법정 제출의 각 단계에서 담당자 및 책임자가 명확한가?

 

5) 무결성

• 수집된 증거가 위조 / 변조 되지 않았는가?

---

(5) 추가 내용 정리

 

법정에서 유효한 증거가 되기 위해서는 디지털 증거가 증거 능력을 갖고 충분한 증명력을 갖는다는 것을 의미한다.

 

증거 능력은 증거가 엄격한 증명의 자료로 사용될 수 있는 법률상의 자격을 말하며, 조건은 다음과 같다.

 

5-1. 법정에서 유효한 디지털 증거

• 증거 능력 관점에서 유의하여 증거를 수집 / 분석 / 제출해야 함 (진정성, 무결성 보증)

• 판사에 의해 증거 능력이 인정 됨

• 위법수집증거배재원칙과 전문법칙에 따라 증거 능력 인정 여부가 결정 됨

• 증명력은 증거의 실질적 가치를 의미, 신빙성의 정도를 가리킴

• 재판을 통해 증명력을 평가 받음

• 자유심증주의에 근거하여 법관의 자유로운 판단에 의해 결정

 

5-2. 전문법칙의 예외

1) 전문법칙 예외

• 진술이 진실일 가능성이 큰 경우

• 잘못된 의미를 전달할 가능성보다 다른 요소가 더 큰 경우

• 전문가 증언의 경우 전문가들이 근거로 하는 자료

• 원진술자가 법정에서 증언할 수 없다는 것을 입증할 경우

 

2) 전문법칙 예외 기준

• 해당 진술의 진실성을 담보할 수 있는 구체적이고 외부적인 정황이 있음

• 전문증거이지만 동일한 가치의 증거를 얻는 것이 다른 방식으로는 불가능하여 이 증거라도 사용할 필요가 있을 경우

• 원 진술과 동일한 내용의 진술을 구하는 것이 불가능하거나 현저히 곤란하여 비록 전문증거라도 사용하여 실체적 진실을 규명할 필요가 있을 경우

 

3) 일반적인 전문법칙의 예외

• 법원 또는 법관의 면전조서

• 피의자 신문조서

• 진술조서 및 진술 기재서

• 진술서

• 검증조서

• 감정서

•  증거 능력이 있는 서류 등

 

4) 디지털 증거와 전문법칙의 관계

• 디지털 증거는 사람의 지각, 기억, 표현, 서술이라는 진술 과정을 거치지 않고 그것이 기계적으로 처리되어 작성된 것

• 전문법칙에 근거하여 컴퓨터에 저장되어 있는 디지털 자료는 전문증거로 판단되어 증거 능력을 인정할 수 없음

• 압수한 디지털 증거가 무결성 문제, 신뢰성 문제 및 원본성 문제를 모두 통과하여도 디지털 증거가 진술 증거로 인정되는 경우에는 전문법칙이 적용되어 증거 능력이 부정될 수 있음

• 디지털 증거는 프로그램을 이용, 사람이 표현하고자 하는 내용의 자료를 입력하여 처리, 생성된 부분이 존재

• 따라서 내용의 진실성 입증을 위해 전문 법칙의 관계에 유의하여 증거 능력에 대한 검토가 필요

• 디지털 증거도 적절한 조건을 갖출 경우 전문법칙의 예외로 적용

 

5) 전문법칙의 예외의 디지털 증거

• 주로 컴퓨터에 의해 생성된 증거 (생성 증거)

• 컴퓨터 시스템이 작동하면서 자동적으로 기록, 저장되는 디지털 증거들

• 시스템 로그 파일, 이벤트 기록 및 인터넷 웹 히스토리, 파일 등

• 이러한 디지털 데이터 자체가 증거로서 제출되는 경우에는 진술 증거가 아니므로 전문 법칙이 적용될 여지 없음

• 또한 진정성, 무결성, 신뢰성 등이 인정되면 일반적으로 증거 능력 인정

 

6) 진술 증거로서의 디지털 증거(전문 여부 판단 필요)

• 주로 컴퓨터에 저장된 증거 (보관 증거)

• 대부분 진술 증거로서 전문 법칙 적용

• 전자 문서로 된 비즈니스 기록은 진술 증거임에도 일정 요건이 만족되는 경우 전문 법칙의 예외로 인정

---

(6) 형사소송 절차

 

수사는 기본적으로 임의수사와 불구속수사를 원칙으로 하며, 수사기관은 법원의 영장을 전제로 강제수사를 할 수 있다.

 

 

6-1. 임의수사 절차

1) 강제처분법정주의

• 수사에 관해 그 목적 달성을 위해 필요한 조사를 할 수 있음

 

2) 임의 동행

• 수사기관이 피해자의 동의를 얻어 피의자와 수사기관까지 동행하는 것

 

3) 승낙 또는 동의에 의한 경우

• 일반적으로 임의수사는 상대방의 승낙을 전제로 포기 가능

 

4) 함정 수사

• 범죄의 실행에 필요한 기회를 제공하여 범죄 실행을 기다렸다가 체포

 

5) 피의자 신문

• 수사에 필요할 때 피의자 출석을 요구하여 진술을 들을 수 있음

 

6) 진술권의 고지

• 헌법 제 12조 제 2항은 '누구라도 자기에게 불리한 진술을 강요당하지 아니한다.'고 규정

 

7) 참고인 조사

• 수사에 필요한 때는 피의자가 아닌 출석을 요구하여 진술을 들을 수 있고 피의자가 아닌 자를 참고인이라 함

 

8) 감정, 통역, 번역의 위촉

 

9) 사실 조회

 

 

6-2. 강제 수사 절차

 

대물적 강제 처분 : 증거물을 수집하기 위한 강제 처분을 뜻함

 

 

1) 영장에 의한 압수 / 수색

• 압수 증거물이나 몰수가 예상되는 물건의 점유를 취득하는 것

• 강제적 점유인 압수

• 임의적 이전인 영치를 합하여 통칭 압수라 함

• 수색은 압수할 물건이다 피의자 발견을 위해 사람의 신체, 물건 또는 주거 기타 장소에 대한 강제 처분을 뜻함

• 일반적 / 탐색적인 압수 / 수색은 금지되고, 압수 / 수색에 대한 대상과 장소는 특정되어야 함

 

2) 영장에 의하지 않은 압수 / 수색

 

2-1) 사후 영장을 요하지 않은 경우

• 타인의 주거나 타인이 간수하는 가옥에서 피의자 수사, 유류물(남겨진 물건)이나 임의 제출물들의 영치, 동의에 의한 압수 수색

 

2-2) 사후 영장이 필요한 경우

• 체포 또는 구속 현장에서의 압수나 수색

• 범죄 장소에서의 압수, 수색, 검증

• 긴급 체포된 자의 소지 보관물

• 특수기록 매체 포함 (컴퓨터), 48시간 이내에 압수 / 수색 영장 청구해야 함

• 영장을 발부 받지 못한 때에는 즉시 반환해야 함

 

컴퓨터 등을 압수하는 과정에서 우연히 발견된 다른 죄의 증거임이 명백한 증거물에 대해서 피의자를 현행범으로 체포하면서 압수할 수 있다.

 

그리고 이 경우에는, 압수의 필요성이 있는 경우에는 당연히 사후 압수 / 수색 영장을 발부 받아야 한다.

 

 

3) 검증 / 감정

• 검증은 사실 확인을 위해 장소나 물건 또는 사람의 인체에 관해 오감을 통해 감지하는 강제 처분이며, 강제 처분이란 점에서 압수 수색과 같이 영장에 의해야 하고, 검증은 그 자체가 검증 조사

• 감정은 툭별한 지식, 경험을 가지고 있는 자로부터 구체적 사실에 적용하여 얻은 판단을 보고

---

(7) 증거 법칙

 

증거는 사실을 인정하기 위한 근거로서 정보를 전달해 주는 것이며, 증명의 3원칙은 다음과 같다.

 

 

1) 증거재판주의

• 형사소송법 제 307조는 '사실의 인정은 증거에 의하여야 한다.'라고 규정하여 증거재판주의를 선언

• 증거재판주의는 실체 진실을 발견하기 위한 증거법의 기본 원칙

• 민사 소송에 있어서는 당사자가 자백한 사실(다툼이 없는 사실)에 대해서는 증명을 요하지 않는다(민소법 제 261조)

• 그러나 실체진실주의가 적용되는 형사 소송에 있어서는 자백한 사실 일지라도 그 사실은 증거에 의하지 아니하면 인정할 수 없음

 

2) 검사의 거증 책임

• 공소가 제기된 범죄 사실에 대한 증명 책임은 검사에게 있음

 

3) 자유심증주의

• 증거의 증명력을 평가할 때 아무런 제한이나 구속력을 두지 않고 오로지 법관의 자유로운 판단에 맡기는 주의

---

(8) 과학적 증거의 허용성

 

과학적 증거의 허용성 인정을 위해서는 과학적 검사 기술의 타당성이 인정되어야 한다.

 

새로운 기술의 경우 당사자의 입증, 전문가의 증언에 의한 인정이 필요한 경우가 많다.

 

 

두 가지의 판결 기준이 있으며, 다음과 같다.

 

8-1. frye 기준

• 거짓말 탐지기 결과를 증거(과학 분석 결과)로 사용하지 않은 사례

• 특정 분야에 있어서 일반적인 승인을 얻은 충분히 확증된 것이어야 함

• 지문, DNA 검증과 같이 보편적인 승인을 얻어야 함

• 법원이 과학적 사실에 관하여 사실로 받아들이기 위한 요건으로는 적절하지만 기준이 너무 엄격

 

8-2. Daubert 기준

• 8인의 전문가를 통해 진행된 실험실 테스트 결과를 증거로 제시

• 이전까지 frye 기준을 사용하였지만, 어느 사건 이후로 frye를 폐기하고 새로운 기준 제시

 

Daubert 기준에 대한 판단 제시 사항은 다음과 같다.

 

1) 문제된 여론과 기술이 검증될 수 있고 검증된 바가 있는지 여부

 

2) 동료에 의해 평가되거나 출판된 적이 있는지

 

3) 잘 알려진 또는 잠재적 오류율이 있는지

 

4) 문제된 이론과 기술의 운용을 통제하는 기준의 존재 및 지속성 여부

 

5) 과학적 공동체 내에서 일반적 기법이나 이론을 수용하는지 여부

 

과학적 증거의 사용이 계속하여 전문적이고 새로워지는 현실에서 일반적 승인을 받기까지 기다리고만 있을 수 없기에 과학적 공동체 내에서 일반적으로 수용한다면 인정하는 기준이지만, 너무 완화해서 인정하는 것은 위험하다.

---

(9) 통신제한조치와 개인정보보호

9-1. 통신제한조치 

1) 우편물의 검열

• 당사자의 동의 없이 개봉하거나 기타 방법으로 내용을 알아내는 것

 

2) 감청

• 타인의 대화를 녹음하거나 전자 장치 또는 기계적 수단을 이용하여 청취하는 것

• 상대 동의 없이 녹음하는 것은 증거로 사용 가능

• 그러나 제 3자의 경우 통신하는 모두의 동의를 받지 않는 한 위법한 감청에 해당

 

9-2. 개인정보와 수집제한

1) 개인정보

• 개인에 관한 정보로 성명, 주민등록번호 뿐만 아니라 둘 이상의 정보로 개인을 특정할 수 있는 정보를 의미

• 개인정보처리자는 개인정보 수집할 경우 최소한의 개인정보를 수집해야 함

• 입증 책임은 개인정보 처리자가 부담

2) 민사절차상 전자적 증거

• 형사소송과 달리 자유심증주의를 채택하기에 원칙적으로 증거 능력의 제한은 없음

• 위법하게 수집한 증거는 원칙적으로 증거 능력이 없으나 민사소송에서는 법원의 재량에 맡김

---

# Reference

 

http://www.yes24.com/Product/Goods/8511539

 

https://blog.naver.com/PostView.nhn?blogId=bitnang&logNo=220692059829&parentCategoryNo=&categoryNo=38&viewDate=&isShowPopularPosts=true&from=search

[Digital Forensic] 디지털 포렌식 어카운팅

 

---

(1) 디지털 포렌식 어카운팅 정의

 

요즘은 컴퓨터가 발달하여 대부분의 회계 정보와 재무 정보 등의 자산 정보를 전산으로 처리하고 있어 디지털 포렌식의 확장 분야로 디지털 포렌식 어카운팅(Digital Forensic Accounting) 분야가 최근 들어 급속도로 발전하고 있다.

 

일반적으로 디지털 포렌식 어카운팅은 포렌식 어카운팅으로 줄여 부르는데 정확하게 포렌식 어카운팅이 무엇을 의미하는지 살펴보면, 제일 포렌식 어카운팅이 발달되어 있는 미국에서는 다음과 같이 정의한다.

 

• 기업에서 일어나는 일련의 회계부정 사건들에 대한 부정을 법정에서 증명하기 위해 적법한 절차에 따라 회계증거를 수집하고 분석하는 행위 또는 과정

위 정의에서 살펴보듯이 디지털 포렌식이 회계감사 부분에 적용되었다는 것을 쉽게 알 수 있다.

 

디지털 포렌식에서 알아야 할 전방위적 지식들과 회계감사에 필요한 지식들이 있어야만 포렌식 어카운팅을 수행할 수 있다.

---

(2) 부정의 정의

• 회계 분야에서 부정이란, 큰 의미로는 기업에서 자산을 관리할 때 의도적으로 기업의 자산을 절취하거나 횡령하는 것을 의미

• 세부적으로 보면, 재무제표를 작성할 시에 고의로 재무제표를 수정하거나 기입하지 않는 행위를 의미

 

부정은 다음과 같이 크게  두 가지의 형태로 나눌 수 있다.

• 첫 번째로는 기업의 자산을 절취하거나 횡령하여 부정을 저지른 형태

• 두 번째로는 제무 허위보고가 있으며, 제무 보고 시 이를 허위로 보고하여 주가 상승 등의 효과를 노려 자신이 직 / 간접적으로 이익을 추구하려 부정을 저지르는 형태

첫 번째의 경우, 부정을 저지르는 자는 부정의 목적인 돈을 위하여 재무제표를 의도적으로 수정하여 수정 된 돈을 절취하려 한다.

 

또는 이미 기업의 돈을 횡령하고 그 사실을 들키지 않기 위해 재무제표를 의도적으로 수정할 수도 있다.

 

두 번째의 경우, 부정은 내부 직원에 의해서 또는 외부인에 의해서 일어날 수 있는 행위 중 하나이다.

 

이러한 행위는 기업 입장에 있어 역시 좋지 않은 결과를 가져다 줄 수 있고, 기업은 이런 부정이 일어났을 시 기업 이미지 등을 고려해 사회에 노출되지 않도록 하는 성격도 가지고 있다.

 

이런 이유로 우리가 알고 있는 여러 부정들은 빙산 일각에 불과하다는 것을 반드시 기억하고 있어야 한다.

---

(3) 포렌식 어카운팅 필요 능력

 

1) 재무제표에서의 문제점 파악 능력 필요

 

2) 수사에 대한 지식 필요

 

3) 증거 개념 지식 필요

 

4) 수집한 증거를 분석하기 위한 회계 지식 필요

 

5) 보고를 쉽게 하는 능력 필요

 

 

다섯 가지의 능력에 대한 이유는 다음과 같다.

 

첫 번째는, 포렌식 어카운팅을 수행하는 자는 재무제표에서 재무적 이슈가 무엇인지 신속하고 명확하게 파악하는 능력을 구비하고 있어야 하는데, 이 능력은 경험적 감각이 가장 필요 시 되며 부수적으로 해당 기업의 실상 파악 능력 등이 필요하다.

 

두 번째는, 재무제표에서 재무적 이슈를 파악했다면 당연히 수사를 진행해야 하며, 이때 수사에 대한 기본 지식(증거 수집 등)이 없다면 수사는 진행될 수 없다.

 

세 번째는, 법정에서 재무적 이슈에 대한 증거는 어떠한 증거가 있는지, 이런 증거들의 수집 방법은 어떻게 되는지 등에 대한 것들을 알고 있어야 한다.

 

네 번째는, 수집한 회계 데이터에서 부정을 적발하기 위해서는 회계 지식이 반드시 필요하며, 회계 부정 사건의 경우 한 가지의 시선만을 가지고 바라봐서는 절대로 사건을 전체적으로 파악할 수 없다.

 

그리고 여러 가지 관점에서 보려면 회계 지식을 이용해 회계 분야의 관점으로 회계 데이터들을 바라보고 그 데이터들에서 부정의 흔적을 찾아내야 한다.

 

다섯 번째는, 이 부분은 일반 디지털 포렌식과 동일하다고 볼 수 있으며, 디지털 포렌식에서도 보고서를 작성할 시에 최대한 누구나 쉽게 이해할 수 있도록 작성해야 하는데, 포렌식 어카운팅에서도 이 부분은 동일하게 적용된다.

---

(4) 포렌식 어카운팅 기술

 

포렌식 어카운팅 기술은 디지털 포렌식의 여러 기술들이 근간이 되어 획득 된 회계 데이터를 분석하는 기술로 대표적으로 4자기 기술로 나눌 수 있으며, 여러 상용 포렌식 어카운팅 분석 툴에서도 해당 기술들을 지원하고 있다.

 

1) 회기 분석(Regression Analysis)

• 수학적 근거의 모델을 이용해 어떤 현상에서 변수들의 종속 관계를 설명하는 분석 기법 

2) 상관 분석(Correlation Analysis)

• 회기 분석에서 설명된 변수들만이 가지고 있는 밀접한 정보를 분석하는 기술로 통계적 분석 방법에 속하는 분석 기법

3) 분포 분석(Dispersion Analysis) 

• 변수들이 가지고 있는 알려진 정보들을 이용해 가치있는 정보와 내용의 특성 등을 분석하기 위해 사용하는 통계 기법 중 하나

4) 벤포드 법칙(Benford's Law)

• 이론적인 확률 값과 실제 분석한 결과 값이 불일치 하다는 것을 보여줄 때 사용하는 통계 기법

 

특히 벤포드 법칙은 회계 데이터의 샘플링을 수행할 시 가장 적절한 방법 중 하나이며, 샘플링은 회계 데이터를 일부 추출하여 검증하는 작업을 말한다.

 

이때 샘플링이 잘못 수행되면 부정을 적발하지 못하게 된다.

 

이런 이유로 샘플링을 수행할 때에는 벤포드 법칙을 사용해 샘플링을 수행하면 된다.

 

벤포드 법칙은 간단히 설명하면, 숫자의 자리 중 특정 자리에 특정 숫자가 위치하는 것을 예측 가능하다는 법칙이다.

---

# Reference

 

http://www.yes24.com/Product/Goods/8511539

[Digital Forensic] 디지털 포렌식 준비도

 

---

(1) 디지털 포렌식 준비도

• 2009년 영국에서 제도화하면서 알려지기 시작 (이론의 역사는 길지 않음)

• 2001년 Tan의 Forensic Readiness에서 처음 그 개념이 소개

Tan은 Forensic Readiness 문서에서 포렌식 준비도의 개념을 다음과 같이 정의하였다.

 

1) 신뢰할 수 있는 증거 수집 환경의 능력을 최대화하고

 

2) 사고 대응 비용을 최소화 하도록 도와준다.

 

 

위와 같은 개념을 바탕으로 여러 학자들은 자신만의 포렌식 준비도 개념을 정의하여 왔다.

 

하지만 공통적으로 신뢰성 있는 증거에 대한 수집 환경 능력은 극대화시키는 것을 말하고 있다.

 

즉, 포렌식 준비도는 다음과 같이 정의할 수 있다.

 

• 법적 증거 능력을 가지는 증거 데이터를 수집하고 분석하기 위한 환경을 갖추고 디지털 포렌식 수행 비용 최소화

• 디지털 포렌식에 맞는 환경이 얼마나 잘 갖추어져 있는지에 대한 지표이기도 한 계획적 시스템

• 디지털 포렌식 인력 준비 및 충원에 대한 제도

 

포렌식 준비도에 대한 오해는 이러한 정의들에 애매모호한 이해에서부터 출발한다.

 

포렌식 준비도에 대한 완전한 이해가 없는 몇몇 사람들은 포렌식 준비도를 로그 데이터 시스템 설치 및 로그 보존 정도로 이해하거나 포렌식 전문 인력의 의무고용 정책처럼 이해하여 많은 비용이 드는 것으로 착각한다.

 

하지만 정의에서도 보았듯이 포렌식 준비도의 개념 및 최종 목적은 디지털 포렌식 수행 비용 최소화, 침해 대응 초기에 디지털 포렌식 수행이 얼마나 매끄럽게 진행되는지에 대한 지표로 사용되는 것이다.

 

 

포렌식 준비도의 개념이 정의되고 나서 얼마 후 대부분의 디지털 포렌식 가이드라인에서 언급하는 디지털 포렌식 프로세스 중 처음 단계인 디지털 포렌식 준비 단계에 포렌식 준비도를 포함시키고 있다.

 

모든 가이드라인이 포렌식 준비도를 디지털 포렌식 프로세스에 추가한 것은 아니지만 대부분의 디지털 포렌식 프로세스를 보면 준비 단계에 포렌식 준비도가 포함되어 있다.

---

(2) 포렌식 준비도의 특징

 

포렌식 준비도의 개념 및 목적을 살펴보면 침해사고가 발생한 후 디지털 포렌식을 수행할 때 그 과정을 지원하는 제도라고 생각이 들 것이다.

 

 

1) 포렌식 준비도는 침해사고 이후에 진행되는 디지털 포렌식을 지원 또는 보충해준다.

• 디지털 포렌식은 침해사고를 기준으로 침해사고 이전에 이루어지는 사전적 포렌식, 침해사고 당시에 이루어지는 라이브 포렌식, 침해사고 이후에 이루어지는 사후적 포렌식으로 분류 가능

• 포렌식 준비도는 사전적 포렌식에 속하며, 우리가 흔히 알고 있는 하드 디스크 이미지 덤프 파일 분석, 로그 분석 등의 업무가 사후적 포렌식에 속함

• 포렌식 준비도는 이런 침해사고 이후 이루어지는 디지털 포렌식 업무에 여러 가지 필요한 부분들은 보충하고 지원하여 업무 진행이 성공적으로 끝나도록 하는 역할 담당

 

2) 포렌식 준비도와 일반 정보보호 정책은 그 요구사항이 많이 겹친다.

• 일반적인 정보보호 정책은 법적 증거 능력을 중점으로 데이터를 보존하는 것이 아니고 정보를 보호하기 위한 사고대응에 초점이 맞추어져 있기 때문에 로그의 불완전한 상태, 변조 / 삭제 등과 같은 데이터 훼손으로 인해 실질적인 범죄자를 검거하지 못하는 한계가 존재

• 하지만 포렌식 준비도는 범죄자를 검거하기 위해 데이터에 대한 법적 증거 능력을 중점으로 데이터를 보존하기 때문에 본질적으로 정보보호정책과는 그 성격이 다름

 

3) 포렌식 준비도는 공격과 방어 비용에 관한 불균형을 해소해 줄 수 있다.

• 현재의 상황에서는 공격자는 몇 시간만에 시스템을 공격해 자신이 원하는 정보를 탈취해 가지만 공격 당한 시스템 쪽에서는 사건의 원인 규명과 대응책을 마련하기 위해 공격자가 공격에 들인 시간과 비용보다 몇 배 많은 시간과 비용이 필요

• 이러한 불균형이 지속된다면 계속해서 꼬리잡기 형국뿐이 되지 않을 것

• 방어자 입장에서 시간을 줄이고 공격자를 빠른 시간 내에 추적 및 검거하려면 우선적으로 증거가 효율적으로 빠른 시간 내에 습득 및 분석되어야 함

이에 필요한 것이 평상시에 도입해야 할 포렌식 준비도이다.

---

(3) 포렌식 준비도 절차

 

Tan이 처음으로 포렌식 준비도 개념을 정의하여 발표한 후 2004년에 Jeker Danielsson과 Ingvar Tjoskheim이 Tan의 포렌식 준비도 개념과 자신들이 재정립한 포렌식 준비도 개념을 이용해 포렌식 준비도에 최소한 다음과 같은 철차가 들어가야 한다고 하였다.

 

1) 디지털 증거 수집 및 잠재적 보존에 관한 관련 법률 맥락의 요구 사항과 제한 사항을 분석해야 한다.

 

2) 디지털 증거에 대한 조직의 필요성을 분석해야 한다.

 

3) 잠재적인 디지털 증거 소스 활용을 위해 기술과 프로세스를 열거 / 식별하고 분류해야 한다.

 

4) 디지털 증거 보존에 관한 디지털 증거 보존 절차 및 프로세스, 기술, 솔루션 등을 사용할 수 있도록 가이드라인을 작성해야 한다.

 

5) 관계 당국에 사건을 보고할 때에는 보고서는 표준 형식을 포함해야 하며, 관계 기간과의 상호작용 또한 포함되어 있어야 하고 언제 어떻게 등의 항목도 포함되어 있어야 한다.

 

 

위에서 언급한 포렌식 준비도 절차 말고도 여러 학자들이 정립한 포렌식 준비도 절차를 보면 대부분 다른 것 같으면서도 비슷한 절차를 제시하고 있는데, 이는 동일한 개념과 동일한 절차, 그리고 기존에 있던 정보보호 정책을 기준으로 정립되었기 때문이다.

 

 

여러 포렌식 준비도 절차의 공통점을 이용해 정리하면 다음과 같다.

 

1) 포렌식 준비도를 도입하는 조직은 조직 내의 가치있는 자산을 식별

 

2) 식별한 자산에 대해서 잠재적 위험을 평가

 

3) 식별된 위험 관련 자산에 관한 디지털 증거 데이터들을 식별하고, 식별한 디지털 증거 데이터 저장 및 보존에 대한 요구사항과 제한 사항을 포함해 포렌식 준비도 정책을 수립 (소프트웨어적 하드웨어적 환경도 같이 구성)

 

4) 포렌식 준비도를 강제적으로 수행시키기 위한 제도적 장치 등을 수립

 

5) 수립된 포렌식 준비도 정책에 관한 검증 및 평가를 수행

 

하지만 이와 같은 절차들은 표준일 뿐 조직 상황에 맞게 수정되어야 한다.

 

각 조직 상황에 맞는 포렌식 준비도가 도입되어야만 제대로 된 포렌식 준비도의 효과를 조직 입장에서 느낄 수 있다.

---

# Reference

 

http://www.yes24.com/Product/Goods/8511539