디지털 포렌식

최신 사고의 디지털 포렌식

노트북에서 중요한 문서가 유출됩니다.
서버가 밤에 이상한 프로세스를 실행합니다.
직원이 퇴사 직전에 중요한 파일을 삭제합니다.

각 경우에 누군가는 세 가지 질문에 답해야 합니다: 무슨 일이 일어났는지, 언제, 누가 관여했는지.
디지털 포렌식은 디지털 증거를 수집, 보존, 분석하는 구조화된 프로세스를 제공하여 기술적으로나 필요한 경우 법적으로도 그 해답을 찾을 수 있도록 합니다.

디지털 포렌식이 실제로 다루는 내용

디지털 포렌식은 복구뿐 아니라 증거에 중점을 둡니다.
목표는 저장된 데이터에서 이벤트를 재구성하는 것입니다:

• 워크스테이션 및 노트북

• 서버 및 가상 머신

• 스마트폰 및 태블릿

• 로그, 백업 및 클라우드 서비스

• 방화벽 및 라우터와 같은 네트워크 장치

클래식 데이터 복구 디지털 포렌식의 목표는 “파일을 빠르게 되찾는 것”입니다. 신뢰할 수 있는 타임라인, 어트리뷰션 및 무결성.
모든 단계는 문서화되고, 반복 가능하며, 방어할 수 있어야 합니다.

일반적인 디지털 포렌식 프로세스

대부분의 조사는 체계적인 순서를 따릅니다. 이름은 다양하지만 논리는 비슷하게 유지됩니다.

식별 및 범위 지정

팀이 먼저 식별합니다:

• 관련 증거를 보관할 수 있는 시스템

• 중요한 계정, 시간 범위 및 데이터 유형

• 적용되는 법적 또는 규제 제약 사항

적절한 범위 설정은 개인 정보를 보호하고 소음을 줄이면서 중요한 정보를 보존합니다.

보존

분석가는 데이터가 변경되기 전에 데이터를 보존합니다. 그들:

• 필요한 경우 영향을 받는 시스템을 네트워크에서 격리합니다.

• 정당한 경우 휘발성 데이터(RAM, 실행 중인 프로세스, 네트워크 연결)를 캡처합니다.

• 쓰기 차단 기능을 사용하여 디스크의 포렌식 이미지 촬영하기

보존은 원본 미디어를 보호하고 명확한 소유권을 유지합니다.

수집 및 검증

팀은 디스크, 파티션 또는 모바일 스토리지의 비트 수준 복사본을 생성합니다.
원본과 사본의 해시(예: SHA-256)를 계산하여 일치하는지 확인합니다.
이 시점부터 대부분의 작업은 라이브 시스템이 아닌 사본에서 이루어집니다.

분석

분석에는 다양한 기술이 결합되어 있습니다:

• 파일 시스템 및 타임라인 분석

• 시스템 간 로그 상관관계

• 삭제된 파일 및 폴더 복구

• 멀웨어 및 아티팩트 검사

• 네트워크 흐름 재구성

여기에서 다음과 같은 기존 도구는 WinHex 그리고 데이터 복구 소프트웨어 전문 포렌식 제품군과 함께 작업하세요.
다음과 같은 도구 Amagicsoft 데이터 복구 는 광범위한 분석의 일부로 이미지 또는 첨부된 드라이브에서 삭제되거나 손상된 파일을 복구하는 데 도움을 줄 수 있습니다.

보고 및 프레젠테이션

마지막으로 분석가는 구조화된 보고서를 작성합니다:

• 사용 범위, 도구 및 방법을 설명합니다.

• 시간순으로 결과를 표시합니다.

• 기술 개념을 쉬운 언어로 설명합니다.

• 사실과 해석을 구분합니다.

이 보고서는 내부 의사 결정, 법적 조치 또는 규제 기관과의 커뮤니케이션을 지원합니다.