디지털포렌식 5단계 절차

디지털포렌식은 단순히 디지털기기에서 파일을 복구하는 것만이 아닌 사건의 발생원인 및 증거를 추적하기 위해 진행되는 세밀한 절차입니다. 증거수집, 보존, 분석, 보고서 작성, 법적 제출의 단계로 진행됩니다.

1. 01
   사전준비단계사건의뢰 및 대상확인: 사건의뢰 후 사건의 개요를 분석하여 포렌식 작업을 시작하고, 사건과 관련된 정보, 증거의 성격 및 중요도를 파악합니다. 대상 디지털매체 확인: PC, 서버, 클라우드서비스, 모바일기기 등 포렌식 대상 디지털매체를 파악합니다. 법적요건 검토: 영장 또는 동의서를 확보해야 하며, 법적절차에 따른 작업이 필수입니다. 증거보존 및 보호: 수집된 증거는 훼손되지 않도록 '쓰기방지장치'를 사용하여 보호하며, 해시값을 생성하고 검증하여 데이터의 무결성을 확보합니다.
2. 02
   증거수집단계 (Acquisition)수집대상은 컴퓨터 및 서버(하드디스크, SSD, 외장하드디스크, USB 드라이브), 모바일기기(스마트폰, 태블릿), 클라우드 서비스(Google Drive, Dropbox, iCloud 등), 네트워크 데이터(라우터 로그, 서버 로그, 이메일서버 데이터), IoT 기기(스마트홈기기, CCTV 등)입니다. 수집방법은 저장장치를 직접 복제하는 물리적 수집(Physical Acquisition), 운영체제에 접근하여 파일 및 디렉토리 구조를 추출하는 논리적 수집(Logical Acquisition), 운영 중인 시스템의 RAM 및 활동 중인 프로세스를 실시간으로 분석하는 라이브포렌식(Live Forensics)이 있습니다. 수집된 데이터는 해시값을 생성하고 검증하여 변조 여부를 확인합니다.
3. 03
   증거분석단계 (Analysis)파일시스템 분석으로 사건과 관련된 중요한 파일을 식별하고, 시스템로그·웹서버로그·이메일로그 등의 로그 분석으로 사건발생의 원인 및 시간대를 추적합니다. 네트워크 패킷 분석으로 불법적인 활동이나 외부와의 통신을 추적하고, 파일의 생성·수정·삭제 시간 등을 바탕으로 한 타임라인 분석으로 사건 발생시점을 추적하며, 악성코드 분석으로 해킹의 원인 및 경로를 추적합니다.
4. 04
   증거보관 및 법적절차디지털증거보관: 원본 데이터를 안전하게 보관하며, 보존하는 동안 어떠한 변경도 일어나지 않도록 보호합니다. 데이터파기: 사건이 종결된 후 의뢰인에게 전달된 데이터를 안전하게 파기하되, 파기과정이 법적으로 문제가 되지 않도록 주의합니다.
5. 05
   법원제출 및 전문가 증언포렌식 보고서를 작성하고 법원에 제출합니다. 이때 전문가 증언을 통해 포렌식 결과가 신뢰할 수 있음을 입증합니다.