모바일 포렌식 절차와 규정

 

모바일포렌식은 스마트폰, 태블릿, 스마트워치 등에 대한 디지털 포렌식을 의미한다.
모바일포렌식을 하기 위한 절차는 컴퓨터 포렌식에서 유래한 것이며,
새로운 기기, 새로운 OS가 나오기 때문에 지속적으로 절차는 갱신되고 업데이트된다.
 
모바일 포렌식 절차와 관련된 대표적인 국제 표준문서는
미국 NIST의 SP 800-101 Revision1, “Guidelines on Mobile Device Forensics(모바일 디바이스 포렌식 가이드라인)”가 있다. 이 가이드라인은 2006년에 발표되어 보안 및 수정되고 있다.
가이드라인에서는 모바일 포렌식의 수행 절차를
Preservation, Acquisition, Examination and Analysis, Reporting 4단계로 나눈다.
참고로, ISO/IEC 27043, “Information technology – Security techniques – Incident investigation principles and process”에서도 모바일 포렌식 절차가 명시되어 있다.

---

Preservation 단계
ㄴ 현장에서 모바일기기를 발견했을 때 전파 및 네트워크 차단 등의 대응 방법에 대한 내용
Acquisition 단계
ㄴ 모바일 기기의 모델명 등을 통해 해당 기기를 식별 및 확보하고
ㄴ 모바일 포렌식 도구를 사용하여 내부 데이터를 수집하는 방법에 대한 내용
Examination and Analysis 단계
ㄴ수집된 모바일 기기 데이터에서 분석 대상 데이터들의 종류를 나열하고,
ㄴ모바일 포렌식 분석 도구를 사용하여 데이터를 분석하는 것에 대한 내용
Reporting 단계
ㄴ 모바일 포렌식 전체적인 수행 결과에 대한 보고서 작성과 관련된 내용

---

 
국내 표준문서는 2007년 발표된 한국 TTA표준인 “이동 전화 포렌식 가이드라인”이 있다.
해당 문서에서는 이동 전화 포렌식 절차를 크게
사전 준비, 초기 대응, 증거 수집, 이동 전화 포장 운송 및 보관, 조사 및 분석, 보고서 작성 5단계로 나눈다.
하지만 이 문서는 발표 당시 스마트폰이 대중화 되지 않은 시점이라 현재 시점의 모바일 포렌식에 적용하기에는
많은 한계가 있다.
 
국내 대검찰청, 경찰청 등의 수사기관은 내부적으로 각 기관의 특성에 맞는 모바일 포렌식 절차를
예규 또는 가이드라인 등으로 규정하여 사용하고 있다. 
 

모바일기기 데이터 수집

 
모바일기기의 데이터는 기기 내부의 메인보드에 부착되어 있는
플래시메모리, 물리메모리와 사용자가 추가적으로 기기에 삽입하여 사용하는 microSD 카드, USIM 카드 등에 저장된다.
 
플래시 메모리 :: 필수 수집항목
물리적 메모리 :: (안드로이드의 경우) 선택적 수집
마이크로 SD 카드 :: 존재할 경우 수집
USIM 카드 :: 존재할 경우 수집
 
 

플래시 메모리 수집 방법

 
 
 
1. Chip-Off 
 
Chip-off는 모바일기기의 메인보드에 부착되어 있는 플래시메모리를 물리적으로 분리한 후
별도의 하드웨어 리더기 장비를 사용하여 내부 데이터를 이미징하는 방법이다.
플래시메모리를 분리하는 과정에서 핀이 손상될 수 있기 때문에 필요시 리볼링(rebolling)과정을 통해
손상된 핀을 복원한 뒤 리더기를 사용한다.
Chip-off를 통해 메인보드에서 분리된 플래시메모리는 다시 복원을 하는 것이 어렵게 때문에
주로 수집 대상 모바일기기가 파손 등으로 사용할 수 없는 경우에 사용한다.
 
2. JTAG
 
JTAG은 모바일기기 메인보드에 있는 PCB(Printed Circuit Board)의 JTAG 포트를
하드웨어 디버깅장비와 연결하여 플래시메모리 데이터를 이미징하는 방법이다.
이 방법은 안드로이드와 iOS 모바일기기 모두 사용할 수 있지만,
삼성 갤럭시S3와 애플 아이폰4부터는 기기 출하 시 메인보드의 JTAG 포트를 없애기 때문에
현재 시점에서는 이 방법을 사용할 수 있는 모바일기기가 한정적이다.
 
(계속)
 
https://bit.ly/3IZCxuY

이정욱 : 네이버 검색