맨땅에 헤딩하기

작성자 : 투라 (extraman@boanin.com)

투랍니다..

포렌식 관련 두번재 포스팅입니다..

지난번 포스팅에서는 간단히 포렌식의 영역, 궁극적인 목표, 디지털증거, 우리나라에서의 디지털 증거가 인정된 계기, 조서 진술서의 증거 능력 인정 방법과 용어 정리를 해드렸습니다.

오늘 포스팅에서는 컴퓨터 포렌식이란 무엇인지, 컴퓨터 포렌식 웍칙 , 증거수집 원칙, 포렌식절차등에 대해서 알아보겠습니다.

컴퓨터 포렌식이란, 하드디스크등 컴퓨터 저장매체에 들어 있는 데이터를 대상으로 복구 검색 그리고 조사하는 기법을 말한다.

컴퓨터 범죄 수사에 입각한 정의는 “컴퓨터 관련 수사를 지원하며 디지털 자료가 증거로써 증명력을 같도록 과학적이고 논리적 절차와 방법을 연구하는 학문” 이다.

그렇다면 컴퓨터 포렌식의 기본 원칙이란 무엇인가?

1.     정당성(正當性)의 원칙

입수증거가 적법절차를 거쳐 얻어져야함, 위법수집증거 배제법칙, 독수독과이론

2.     재현(再現)의 원칙

피해직전과 같은 조건에서 현장 검증을 실시하였다면, 피해당시와 동일 결과가 나와야함

3.     신속성(迅速性)의 원칙

휘발성 정보수집은 지체없이 신속하게 진행되어야 함

4.     연계 보관성 ( chain of custody)

증거물 획득, 이송, 분석, 보관, 법정제출의 각단계에서 담당자 및 책임자 명확히

5.     무결성의 원칙

수집 증거가 위,변조 되지 않았음을 증명할수 있어야함

6.     동일성의 원칙

증거물은 증거물 입수단계와 동일 해야함

포렌식의 기본원칙을 보니, 증거에 대해서 언급을 하고 있습니다.

그렇다며 증거 수집은 어떻게 해야할까요..

증거물 수집의 기본 원칙에 대해 알아봅시다.

1.     적법절차의 준수

법규 지침에 규정된 일반적인 원칙과 절차를 준수하여 증거수집

2.     원본의 안전한 보존

증거 수집시 반드시 쓰기방지장치를 이용하여 무결성 유지

원본에 대한 이송 및 보관에 주의 하여 손상방지

3.     증거의 무결성 확보

증거수집시 디스크 or 파일에 대해 해시값 구한다.

해시값 출력후 입회인(대상자)의 서명 날인 받는다.

증거 원본에 대한 사본 생성후 이에 대한 해시값 비교하여 무결성 검증

증거분석은 해시값 비교한 사본으로 수행

증거물 수집에 대한 기본 원칙까지 알아봤습니다.

그렇다면 포렌식 절차에 대해 알아봐야할듯하네요..

< cissp협회 세미나중 사이버 포렌식 협회 이정남 사무국장님의 포렌식 기술소개자료중 발췌 >

포렌식의 절차는 준비-> 획득-> 이송-> 분석 -> 보관 -> 보고의 절차로 이뤄집니다.

준비단계는 출동장비 준비할 때 “쓰기방지 장치”를 챙기는 것을 잊지 말아야겠습니다.

획득단계는 상세 사진촬영, 휘발성 증거 수집, 별도 저장 후 네트워크를 분리, 컴퓨터 시간을 확인해서 
              표준시간(휴대폰시간)와의 편차 등을 상세 기록 해야 한다.

이송단계는 충격으로부터 보호하고, 전자파 영향 등에 유의해야 한다.

분석단계는 원본에 대한 사본 이미지 생성하여 수행하는 것을 원칙으로 하며, 재현 대비해 과정을 상세하고
              명확하게 기록하고 유지 해야 함

보관단계는 항온항습장치, 전자파차단, 증거물 DB 구축하여 운영하며, 증거물 반출입 내역을 기록한다.

보고단계는 결과 보고서를 쉽게 이해할 수 있는 용어로 정확하고 간결하게 논리 정연하게 작성하며
              분석 및 처리 과정을 사진 or 화면 캡처 등으로 첨부한다.

이것으로 이번 포스팅을 마무리 하려고합니다..

다음에는 윈도우 파일시스템 및 윈도우 포렌식 관련으로 이어 갈까 합니다.

어느새, 토요일 저녁이네요…한주가 너무 바쁘게 지나갑니다…^^;

이런저런 사정으로 꽃놀이도 못가고..그렇습니다..흑…

투랍니다..

원래 법관련 포스팅을 하려고 했는데, 시간이 많이 나지 않아서..

현재 저녁에 수강중인 포렌식 관련 내용으로 포스팅을 당분간 하겠습니다..

내용은 대부분 현재 수강중인 “사이버포렌식 조사 전문가 과정” 교육 내용을 정리한 것입니다.

자..이제 두번째네요..

BCP에 이어서 오늘은 DRP (Disaster Recovery Plan,재난복구계획) 입니다.

그러면 재난(Disaster)는 무엇인가..

재난(災難) : 뜻밖에 일어난 재앙과 고난 (네이버국어사전)

NIST에서는 ‘컴퓨터 운영 붕괴로 조직의 정상적 기능이 파괴되는 비상사태’라고 정의한다네요.

BCP는 비상상황에서 핵심적인 사업 기능이 유지되도록 보장하는 계획인 반면,

DRP는 재해에 대한 준비도 포함되지만, 그로 인해 손실이 발생 중이거나 발생 후 수반되는 절차나 계획을 말합니다.

그러면 DRP Process는 어떻게 되는가..

1.     Data Processing Continuity Planing ( DPCP)

-       재난에 대한 계획, 대처 방법

2.     Data Recovery Plan Maintenance

-       계획을 최선의 것으로 유지 필요  

그중 DPCP에 대해서 좀더 자세히 살펴 본다.

가상의 환경을 생각해보자..(BCP에서 메일서버 얘기가 나와서 메일서버로 정하자)

A라는 회사의 본사(서울,영업조직)에 전산실에 메일서버가 위치하고 있다.

B라는 회사는 A회사 본사 옆 건물 사무실을 사용한다.

A라는 회사의 연구소(분당,개발조직)가 물리적으로 다른 위치에 있다.

-       연구소 전산실로 여분의 서버로 매일 Data backup 하고 있음

A라는 회사의 지점(영업조직)이 부산,광주지역에 산재해 있다.

-       부산지역에는 서버실이 있으나 광주지역은 서버실 공간은 있으나 창고로 활용

A회사에 인위적으로 재난을 일으켜보자..

A회사가 위치한 건물이 부실공사의 여파로 무너졌다. A 회사는 졸지에 메일을 사용 못하는 상황이 발생했다.

그렇다면…여기서 어떤 방법으로 DPCP를 구현 할 수 있는지 알아보자.

1.     상호협정

-       A회사와 B회사간에 서로 상호협정을 맺어 재난시 상대방의 시설물 사용을 동의 하는것을 말한다. 즉 B회사의 메일서버를 공유해서 사용하는 것.

-       장점 : 저렴한 비용

-       단점 : 계약 이행의 강제성이 없음, 호환성 문제등이 제기 됨

Ex) 호환성 A회사는 sendmail 사용 , B회사는 exchange 사용..

2.     H/W 백업

1)    Hot Site

-       A기업의 연구소(분당,개발조직)에 Data backup용으로 동일 메일서버가 구축되어 있어

24시간내 복구 가능함, 신속한 대처가 가능하나 고비용 및 보안적 이슈가 발생한다.

2)    Warm Site

-       A기업의 부산지점 전산실에 메일서버 구축한다.

-       장비가 pc급 서버였으므로, 서버급으로 교체 구매가 필요하다.

-       1주일정도의 복구 time이 걸린다.

3)    Cold Site

A기업의 광주지점에 Network 설치부터 메일서버 구축까지 약 1달정도 소요된다.

비용은 저렴하나, 대응이 느리다.

3.     Multiple site

4.     대행업체

ð  외부 메일 호스팅 받는다.

DPCP를 세웠으니 Test가 필요할듯하다..

Test 방법에도 여러 가지가 있는데 그 중 가장 흔한 방법이이 CheckList이다.

또, Structured Walk through 이 있다. 이것은 각 부서장들이 모여서 계획을 상세히 검토한다.

그외, Simulation test, Parallel test가 있으며 마지막으로 Full interruption TEST가 있다.

간단하게 재해복구 과정을 기술하면 Plan -> Test -> Response -> recovery -> continue 이런식이될것이다.

이것으로 BCP에 이어, DRP도 마무리 하겠습니다.

주말 잘 보내세요…

다음 포스팅 예상 후보군은 다음과 같습니다.

1.     포렌식 ( 쩝..야간에 교육중이라..)

2.     개인정보보호 (업무연관성?)

3.     법 ?

4.     물리적 보안…

어떤거할지는 아직 미정입니다. 일욜날 좀 쉬면서 결정 해보죠..