Chain of Custody / 디지털포렌식의 절차, 5원칙 / 메모리 포렌식 / 볼타틸리티

사전 준비 :
1. 사건이 발생하기 전에 행해지는 활동으로, 도구의 준비, 검증, 분석 교육 등의 활동.
증거 수집 단계 :
1. 사건과 관련된 디지털 기기에서 디지털 데이터를 수집하는 과정으로, 수집 과정에서 데이터가 변조되지 않아야 한다.
포장 및 이송 단계 :
1. 수집된 데이터를 포장하여 분석실로 이송하는 과정으로, 외부의 요인에 의해 변조되지 않도록 해야 한다.
조사 분석 단계 :
1. 수집한 디지털 데이터를 분석하는 과정으로, 다양한 디지털 포렌식 분석 기술이 사용된다.
2. 흔히, 디지털 포렌식은 이 분야의 연구를 지칭한다.
정밀 검토 단계 :
1. 분석되기까지의 각 단계의 검증을 비롯하여 분석 결과가 정확한지 검토하는 단계.
보고서 작성 단계 :
1. 정밀 검토를 마친 결과를 바탕으로 분석된 결과를 법정에 제출하기 위해 객관적인 보고서를 작성하는 단계.

디지털 포렌식 조건 5원칙
1. 정당성의 원칙 :
  1. 입수증거가 적법 절차를 거쳐 얻어져야 함.
2. 재현의 원칙 :
  1. 동일조건에서는 동일결과 도출.
3. 연계 보관성(Chain of Custody) :
  1. 증거물 획득, 이송, 분석, 보관, 법정제출의 각 단계에서 담당자 및 책임자가 명확해야 한다.
4. 무결성(Integrity)의 원칙 :
  1. 디지털 데이터는 위,변조와 훼손이 용이하기 때문에 수집 이후 변경되지 않았음을 입증할 수 있어야 한다.
5. 원본성(Originality)의 원칙 :
  1. 디지털 증거 자체는 가시성과 가독성이 없으며 매체독립적인 정보이기 때문에 법정 제출시, 가시성, 가독성이 있는 형태로 변환하여 제출하는데, 이러한 경우에 제출되는 증거 데이터가 원 매체에 있는 증거와 동일해야 함을 의미한다.

포렌식 도구를 이용하여 분석 대상 시스템의 물리 메모리에서 침해사고와 연관된 정보/증거자료를 획득하기 위한 분석 행위.
(기존의 디스크 포렌식과 달리) 메모리 포렌식은 용량은 작지만 많은 정보를 담고 있는 메모리 덤프 파일을 추출하여 조사한다.
컴퓨터의 하드웨어 중 주 기억장치(RAM)에 남아있는 데이터 흔적을 분석하는 기법.
- RAM은 휘발성이 강하지만 프로세스 정보, 네트워크 연결 정보, 악성코드 파일 정보 등 고유의 독특한 정보들이 남아있다.
- 메모리 덤프 파일에서 얻을 수 있는 정보는 하드 디스크에서 알 수 없는 현재 프로세스의 생성과 소멸 정보, 레지스트리 정보, 네트워크 연결 정보, 후킹 탐지 기능 등의 정보를 알아낼 수 있다.
볼타틸리티(Voltatility)는 이러한 정보들을 포함한 플러그인들이 존재한다.
- Voltatility 를 이용해 악성코드 감염이 의심되는 분석대상 시스템에서 생성한 메모리 덤프 파일을
- 다음과 같은 6단계의 절차를 이용해 분석한다.
  1. 운영체제 분석
  2. 프로세스 분석
  3. 네트워크 분석
  4. DLL 및 Thread 분석
  5. 문자열 분석
  6. 레지스트리 분석

728x90

all_about_IT - EunJo Blog