켜져있는 장치에 대한 이미징 관련 질문사항입니다.

작성한 질문수 2

0

안녕하세요 yhoon047님!

말씀하신것처럼 증거의 수집시 환경에 대해서 크게 2가지로 나눠볼수가 있을것 같습니다.

1) pc의 전원이 꺼져있는 경우

2) PC의 전원이 켜져있는 경우

1)의 경우는 우리가 시험에서도 흔히 다루는 꺼져있는 시스템에서 저장장치를 복제하여 이미지로 생성하는 경우가 대표적이죠. 이 경우 원본 SSD(HDD)와 이미징한 파일의 hash값의 비교가 가장 확실한 동일성 판단 여부일것 입니다.

다만 2)의 경우처럼 시스템이 켜져있는 상태의 경우에는 조금 달라집니다.

이렇게 pc의 전원이 켜져있는 경우 바로 전원을 차단하면 안됩니다.

그렇게 하는 가장 중요한 이유는 전원을 차단하면 RAM 등에 남아있는 휘발성 데이터가 바로 사라지고 복구가 불가능 하기때문입니다.

그래서 이런 경우에는

1) 주변 환경 촬영
- 컴퓨터에 실행된 프로그램, 네트워크 연결 정보 등 컴퓨터의 화면에 나와있는 정보들과 함께

컴퓨터의 본체에 연결된 여러 기기들의 정보등을 사진이나 동영상으로 심도있게 촬영을 해서 기록합니다.

2) 휘발성 데이터 수집
- RAM, 프로세스, 네트워크 등의 휘발성 데이터를 전문 프로그램을 이용하여 수집

3) 비휘발성 데이터 수집
- SSD or HDD등의 비휘발성 데이터 수집
- 전원이 켜진 상태에서의 라이브 수집 or 전원을 끈 후 수집

이런 순서로 진행을 하게 되는데 중요한점은 이게 절대적이지 않고 상황에 따라서 달라진다는 점입니다.

예를들어서 특정 볼륨이 Bitlocker등으로 암호화되어있고, 현재 전원이 켜진 컴퓨터의 상황이 비트라커로 암호화된 볼륨이 복호화되어 접근 가능한 상태인 경우에는 휘발성 데이터 수집과 함께 전원이 켜진 상태에서 해당 볼륨의 이미징을 진행해야합니다. 전원을 끄고 SSD를 이미징 장치에 연결해서 이미징을 하려는 경우 암호화되어있던 볼륨에는 접근 할수 없기때문입니다.

이렇게 활성 상태에서 (라이브) 이미징을 할 경우 이미징후의 원본과 이미징한 파일의 동일성이 사실상 동일하기가 어렵습니다. 라이브인 만큼 실시간으로 데이터가 변할수 있기때문이죠.

그래서 이때 가장 염려되는 부분이 말씀해주신것처럼 동일성을 담보할수 있느냐에 문제일텐데

다행히도 법정에서는 이렇게 수집한 파일의 증거능력에 대해서 단순하게 hash값이 동일하느냐만을
보고 판단하지 않습니다. 물론 일반적인 이미지 파일과 마찬가지로 hash값을 참고 하기도 하겠지만 그와 더불어 수집 당시의 상황과 그렇게 수집할수 밖에 없었던 이유, 그 과정에 대한 상세한 기록 등을 전반적으로 확인해서 증거능력을 부여하기때문입니다.

라이브 포렌식은 정해진 순서나 방법이 있다기보다는 상황에 따라서 순서나 방법이 얼마든지 달라질수 있다 정도만 기억을 해주시고, 단순히 hash값뿐만 아니라 상황과 그에 따른 기록 등을 전반적으로 참고해서 증거능력을 부여한다 정도로 기억해주세요~