표준규정과 판례 비교를 통한 디지털 포렌식의 법적 증거능력 인증기준

정진효,이창무 한국디지털포렌식학회 2017 디지털 포렌식 연구 Vol.11 No.3

The number of digital forensic implementations has been increasing and the scope of application diversifying as well. Digital forensics for securing concrete evidence in criminal investigations has been becoming critical and related technologies developing rapidly. However, the legal system in Korea has been focused heavily on physical evidence with little emphasis on digital evidence for digital forensic. For digital evidence derived from digital forensics to be recognized, integrity, originality, and reliability must be proven. In Korea, digital forensics is mainly used in crime investigation work by the prosecution and the police. In this process, standard guidelines written by each organization are used to acquire integrity, identity and credibility of digital forensic. There is a controversy that the defendant's complaint about the use of digital forensics is raised or that the technology can not be admitted because the guideline is not based on legislation. It is the most obvious way to revise the law, but it will take a long time to come up with laws that can encompass various electronic devices and digital forensic technologies that have been quickly developing. Therefore, supplementing and refining the existing standard guidelines will be more helpful in expanding the scope of digital forensics. To this end, this paper compares domestic and US digital forensic standard guidelines and precedents to analyze the actual standards for obtaining integrity, originality, and reliability. Through the comparison, it is possible to identify the proof standard of the digital forensic objectively, and to identify the factors for developing the Korean standard guidelines. 해가 지나갈수록 디지털 포렌식 실시 횟수는 증가하고 있으며 적용 대상 역시 다양해지고 있다. 범죄수사 과정에서 구체적 증거를 확보하기 위한 디지털 포렌식은 나날이 중요해지고 있으며 관련 기술들 역시 빠르게 발전하고 있다. 하지만 이를 뒷받침해줄 법률체계는 여전히 물리적인 증거에 집중되어 있으며 디지털 포렌식을 뒷받침하기에는 아직 보완해야할 부분들이 산재해 있다. 디지털 포렌식이 도출한 디지털 증거가 공인되기 위해서는 무결성, 동일성, 신뢰성이 입증되어야 한다. 국내에서 디지털 포렌식은 검찰과 경찰의 범죄수사 업무에 주로 사용되며 이 과정에서 무결성, 동일성, 신뢰성을 획득하기 위해 각 조직이 만든 표준규정이 활용되고 있다. 해당 표준규정이 법적인 지위를 획득한 것이 아니기에 디지털 포렌식 사용에 관한 피고측의 불만이 제기되거나 해당 기술을 인정할 수 없다는 반론이 나오곤 한다. 법률을 개정하는 것이 가장 확실한 방법이지만 빠르게 발전하고 있는 각종 전자기기와 디지털 포렌식 기술을 포괄할 수 있는 법이 나오기까지는 오랜 시간이 걸릴 수밖에 없다. 따라서 현재 활용되고 있는 표준 규정을 보완하고 구체화하는 것이 디지털 포렌식의 활용범위를 넓히는데 더 큰 도움이 될 것으로 보인다. 이를 위해 본 논문은 국내와 미국의 디지털 포렌식관련 표준 규정들과 판례들을 비교하여 무결성, 동일성, 신뢰성을 획득하기 위한 실질적 기준이 무엇인지 분석했다. 비교결과를 통해 현재 통용되고 있는 디지털 포렌식의 입증기준을 객관적으로 파악하고 국내 표준규정을 발전시키기 위한 요소들이 무엇인지 확인할 수 있었다.

철도사고 디지털포렌식 사례분석 및 법제도적 개선방안

박승준,김기범 한국디지털포렌식학회 2025 디지털 포렌식 연구 Vol.19 No.1

현대 철도는 중요한 대량 교통수단이지만, 철도사고는 증가하는 추세이고 안전 관리의 큰 과제로 남아 있다. 철도사고 분석을 위해 디지털포렌식의 중요성이 커지고 있지만, 현재 대응 체계에서는 충분히 활용되지 못하고 있다. 따라서 실제 철도사고 포렌식 사례를 분석하여 기술적, 제도적 한계를 살펴보고 철도사고 대응을 위한 디지털포렌식 발전방안을 제시 하였다. 본 연구에서는 시뮬레이션 환경 구축을 통한 철도사고 재구성, 디지털포렌식 데이터 통합 분석 시스템 도입, 철도 사고 데이터 분석을 통한 예방 정책, 철도 시스템과 디지털포렌식 연계 방안, 철도사고에 대한 디지털포렌식 대응 모델 등 을 제안하였다. 디지털포렌식은 철도사고 대응에 필수적인 요소이기에, 이 연구가 철도사고 원인 규명을 위한 디지털포렌 식 발전에 기여하기를 기대하고 철도 시스템의 안전성과 신뢰성을 강화하는 밑거름이 되기를 희망한다. Modern railways serve as a crucial means of mass transportation, yet railway accidents are on the rise and remain a significant challenge for safety management. While the importance of digital forensics in railway accident analysis is increasing, it is not yet fully utilized in the current response framework. Therefore, this study analyzes actual railway accident forensic cases to examine the technical and institutional limitations and proposes advancements in digital forensic applications for railway accident response. Key proposals include the establishment of simulation environments for railway accident reconstruction, the introduction of an integrated digital forensic data analysis system, the development of preventive policies through railway accident data analysis, the integration of railway systems with digital forensics, and a digital forensic response model for railway accidents. As digital forensics is an essential component of railway accident response, this study aims to contribute to its advancement in identifying accident causes and serve as a foundation for enhancing the safety and reliability of railway systems.

사회연결망분석기법을 이용한 디지털포렌식 연구동향 분석

이연주,박희원,이성진,김기범 한국디지털포렌식학회 2023 디지털 포렌식 연구 Vol.17 No.1

Although digital forensics is an area of speciality that requires both technology and legislation, it has tended to be recognized only as a technology research field. Digital forensics is growing as a field of study, but there is a lack of research on evaluation and problem of the development of digital forensics. For the purpose of finding digital forensic research trends and future research topics, we used a social network analysis approach focusing on research keywords and author information among bibliographic information of papers on digital forensics. According to the analysis result, first, digital forensics has a convergence of technology and legal practice. Second, we confirmed the quantitative growth of research from the increasing number of papers, and third, research topics are gradually subdivided and deepened compared to earlier studies. Fourth, it shows that a few research subjects and researchers have high network centrality and influence on the academic world. In digital forensics, the research for new technologies is relatively lacking, so more research is needed in the future. Recently, technology-oriented papers are more published than the legal practice, so convergence research should be encouraged more and more. It is also necessary to consider policy considerations for research promotion, human resource training, and budget input at the national level for areas that show limitations in the practice of digital investigation. 디지털포렌식은 기술과 법제의 융합 영역임에도 그간 기술 중심의 연구분야로만 인식되는 경향이 있다. 디지털포렌식은 학문의 한 분야로 성장하고 있으나 디지털포렌식의 발전에 대한 평가와 문제점에 대한 연구가 부족한 실정이다. 디지털포렌식 연구동향 및 향후 연구주제 발굴에 사용하기 위한 목적으로 디지털포렌식을 주제로 한 논문의 서지정보 중 연구 키워드와 저자 정보를 중심으로 사회연결망분석기법을 수행하였다. 분석결과에 의하면 첫째, 디지털포렌식은 기술과 법제의 융합적 성격을 띄고 있으며, 둘째, 논문 수의 증가 추세로 보아 학문의 양적인 성장이 확인되고, 셋째, 초기 연구에 비해 연구주제가 점차 세분화되고 심화되고 있으며, 넷째, 소수의 연구주제와 연구자가 높은 네트워크 중심성을 가지며 학계에 높은 영향력을 가지고 있다는 것을 확인할 수 있었다. 디지털포렌식 분야에서는 신기술을 적용한 연구가 상대적으로 부족한 실정이므로 향후 더 많은 연구가 필요하며, 학계에서는 기술 중심의 논문이 법제 분야보다 많이 연구되고 있으므로 융합적인 관점에서의 연구도 장려되어야 할 것이다. 디지털수사 실무에서 한계를 보이는 분야에 대한 국가차원의 연구장려, 인력양성, 예산투입에 대한 정책적인 고려도 필요하다.

디지털포렌식 숙련도시험운영기관 발전방안디지털포렌식 숙련도시험운영기관 발전방안

신수민,이은지,나보미,이승용,황현욱,김기범 한국디지털포렌식학회 2024 디지털 포렌식 연구 Vol.18 No.4

디지털 전환에 따라 시험인증 분야 또한 환경 변화가 이뤄지고 있으며, 디지털증거분석실에 대한 시험기관 인증 수요도 증가하고 있다. 디지털증거분석실 시험기관 인증은 증거의 연계보관성, 무결성, 신뢰성을 보증하기 위한 요소로서 중요한 의미를 갖는다. 시험기관 인정은 숙련도시험을 통해 수행 분야 능력과 품질을 지속적으로 유지하는 것을 전제한다. 시험 결과의 정확성과 능력을 제고할 뿐만 아니라 방법·절차의 입증, 직원 교육, 고객 신뢰도 향상 등의 효과를 가져온다. 디지털포렌식 시험기관은 대부분 해외에서 제공하는 숙련도시험을 실시하고 있으며, 국내 숙련도시험운영기관의 디지털증거에 대한 숙련도시험 운영은 2024년에 국가보안연구소에서 처음으로 시작하였다. 따라서 본 논문에서는 디지털포렌식 숙련도시험운영기관 발전방안을 도출하고자 한다. 연구 방법으로 문헌연구, 시험·숙련도시험 운영기관 현장 방문과 심층 인터뷰, 해외 숙련도시험(CTS, ISFCE, Forensic foundations) 참가를 수행하였다. 그 결과 측정불확도 적용 가능성, 숙련도시험아이템의 안정성과 균질성에 대한 고찰, 숙련도시험 운영 시 제시된 문항의 해석 문제, 외부 컨설팅 및 자문 필요성에 대한 쟁점을 도출하였고 숙련도시험운영기관 활용방안 다각화, 숙련도시험을 위한 예산, 인력 확충, 의무화 규정 신설 등을 제안하였다. 본 논문이 디지털포렌식 숙련도시험운영기관 발전을 위한 초석이자 관련 연구의 시발점이 될 수 있기를 기대한다. As digital transformation progresses, changes are also occurring in the testing and certification field, with an increasing demand for the certification of digital forensic laboratories. The certification of testing laboratories for digital forensic laboratories holds significant importance as it ensures the chain of custody, integrity, and reliability of evidence. Accreditation of testing laboratories ensures the continuous maintenance of competence and quality in their respective fields through proficiency testing, which not only enhances the accuracy and capabilities of test results but also contributes to the validation of methods and procedures, staff training, and the improvement of customer trust. Most digital forensic testing laboratories conduct proficiency tests offered by international organizations. In South Korea, the National Security Research Institute initiated the first proficiency test for digital evidence in 2024. This study aims to propose development strategies for digital forensic proficiency testing providers. The research methods included a literature review, site visits and in-depth interviews with testing laboratories and proficiency testing providers, and participation in international proficiency tests (CTS, ISFCE, Forensic Foundations). The study identifies issues such as the applicability of measurement uncertainty, the stability and homogeneity of proficiency test items, interpretation problems of questions presented during proficiency testing, and the need for external consulting and advisory services. As development strategies, the paper suggests diversifying the utilization of proficiency test providers, increasing budgets and personnel for proficiency testing, and introducing mandatory regulations. It is hoped that this study will serve as a cornerstone for the development of digital forensic proficiency testing providers and a starting point for related research.

컨테이너 기반 가상화에 대한 Artifact 조사 및 분석: Linux 환경 Docker를 중심으로

이진근,손태식 한국디지털포렌식학회 2024 디지털 포렌식 연구 Vol.18 No.2

본 연구는 리눅스 환경에서 Docker 컨테이너를 실행하고, 이 컨테이너의 파일 시스템을 overlay2로 관찰하며, 해당 환경에서 생성되는 artifact를 조사하고 디지털 포렌식 연구의 관점에서 이러한 데이터를 어떻게 수사할 수 있는지에 대한 중요한 측면을 다루고자 한다. Docker 컨테이너는 가상화 기술을 사용하여 응용 프로그램 및 모든 종속성을 격리된 환경으로 패키징하며, overlay2는 이러한 컨테이너의 파일 시스템을 관리하는 중요한 부분이다. overlay2는 기반 이미지와 변경 사항을 적용하는 방식으로 작동하며, 이 과정에서 생성되는 artifact는 디지털 포렌식 조사에 중요한 정보를 제공하려 한다.본 연구에서는 Docker 컨테이너가 실행 중에 생성되는 파일 및 메타데이터를 분석하고 이러한 artifact를 수집하며, 디지털 포렌식 도구 및 방법론을 사용하여 이러한 정보를 조사하는 방법을 탐구한다. 또한, overlay2 파일시스템에서의 Docker 내 컨테이너에서 어떻게 보여지는지 데이터 출력과 삭제된 파일 복구 및 변조 등의 매커니즘에 대한 연구를 수행하려 한다. 디지털포렌식은 사건 조사 및 데이터 복구 분야에서 핵심 역할을 제시한다. 이 연구는 리눅스 환경에서 컨테이너 기반의 가상화인 Docker의 artifact를 이해하고 분석할 수 있도록 설명한다. This study focused to investigate the artifact generated in a Linux environment while running Docker containers, focusing on how such data can be investigated from the perspective of digital forensics research. Docker containers package applications and all dependencies into isolated environments using virtualization technology, with overlay2 playing a crucial role in managing the file system of these containers. Operating by applying changes on top of base images, overlay2 generates artifacts during this process, which can provide valuable information for digital forensic investigations. In this research, we analyze files and metadata generated during the execution of Docker containers and collect such artifacts, exploring methods to investigate this information using digital forensic tools and methodologies. Additionally, we aim to study the mechanisms of data output, file recovery, and tampering within Docker containers in the overlay2 file system. Digital forensics plays a vital role in incident investigation and data recovery. This study elucidates how to understand and analyze artifacts of Docker, a container-based virtualization in a Linux environment.

디지털 증거로서의 패킷 수집에 관한 연구

이병길,박태형,이상진 한국디지털포렌식학회 2012 디지털 포렌식 연구 Vol.6 No.1

The Significant of digital evidence in criminal proceedings increase, and ability of the evidence is required strictly. Nevertheless, for the acquisition procedures of digital evidence and collection tools is a slow improvement. Digital evidence must be carefully collected and Contents of Evidence must be guaranteed by collector. Certification Authority is required in order to ensuring integrity. In this paper has designed packet collection tool on network for confidentiality, integrity and authenticity. If further research, in addition to this study, has been done to improve its legal status of the integrity of digital evidence, widespread recognition on the technical basis of the integrity of digital evidence will be established. 형사소송절차에서 디지털 증거의 비중은 크게 증가하고 있으며 증거능력은 엄격하게 요구되고 있음에도 불구하고 디지털 증거의 취득 절차와 수집도구에 대한 개선은 더디기만 하다. 디지털 증거는 수집부터 수집자 신분과 독립적으로 안전하게 관리되어야 하며 증거로서 필요한 내용의 진정이 성립되어야 한다, 더불어 언제든지 무결성을 보장할 수 있는 인증기관과 수집도구와의 연계가 필요하다. 본 논문에서는 전송중인 디지털 증거의 수집시 수집자와 참관자의 관계, 기밀성, 무결성, 진정성의 확보와 이를 보장하는 인증 기관의 필요성을 고려하여 수집도구를 설계하였으며 수집도구와 인증기관과의 연계 절차를 제시한 뒤 이를 구현하여 개선된 점을 검증하였다. 제시한 수집도구에 대하여 처리 속도와 인증기관과의 연계를 보강한다면 증거 수집시부터 법정 현출시 까지의 절차를 간소화 함과 더불어 디지털 증거의 법적 위치를 공고히 하는 기술적 기반을 마련할 수 있을 것이다.

대표 이미지 생성을 통한 레이아웃 기반 유사 문서 검색: MS 파워포인트 사례를 중심으로

김시윤,김준호,박정흠 한국디지털포렌식학회 2023 디지털 포렌식 연구 Vol.17 No.1

With the recent development of technology, the work environment is all digitized, and digital documents are utilized in most of the work. For digital forensic investigators who need to quickly select documents related to a case, numerous digital documents cause a lot of difficulties in investigations. In particular, in eDiscovery, it is important to find meaningful digital evidence by analyzing associations between many documents and files within a limited time. In the case of digital forensic investigation, if documents with similar types are selected among numerous documents by identifying the types of digital documents, only documents created by a specific organization can be grouped. In this paper, we present a method of generating an image that can represent a document among images stored as many as the number of pages of a document for searching similar documents, and a method of searching similar documents using an image hash for similarity analysis between representative images. About 50,000 Microsoft PowerPoint files in the Govdocs1 data set and about 6,000 Microsoft PowerPoint files in the NapierOne data set demonstrate the practicality of the method presented in this paper. 최근 기술이 발전함에 따라 업무 환경이 모두 디지털화되어 업무 대부분에서 디지털 문서를 활용한다. 사건과 관련된 문서를 빠르게 선별해야 하는 디지털 포렌식 수사관들에게 수많은 디지털 문서들은 수사에 많은 어려움을 준다. 특히 전자증거개시제도(eDiscovery)에서는 한정된 시간 내에 많은 문서 및 파일 간의 연관성을 분석하여 의미 있는 디지털 증거를 찾는 것이 중요하다. 디지털 포렌식 수사 시 디지털 문서들의 양식을 식별하여 수많은 문서 중 비슷한 형태를 지닌 문서들을 선별한다면, 특정 조직에서 작성한 문서들만을 그룹화할 수 있다.

해양 선박 사고 조사를 위한 Forensic Data 추출 연구

박대우 한국디지털포렌식학회 2008 디지털 포렌식 연구 Vol.2 No.1

In this paper, i studied on extracted digital data regarding a ship of ensure legal proof to clarify responsibility regarding a sea disaster accident of a fatal ship to environmental pollution, and to utilize to forensic data. I watched device of a digital ship and structure and regular procedures for marine digital forensic in related study for forensic study of a digital ship. I looked into necessity of forensic study and the current present situation analysis, and presentation did the forensic procedures that described procedures of confiscation search along ship hardware device and ship network storage at forensic procedures of a digital ship, and i was standardized in forensic study of a digital ship. I looked into necessity of forensic study and the current present situation analysis, and presentation did the forensic procedures that described procedures of confiscation search along ship hardware device and ship network storage at forensic procedures of a digital ship, and standardized in forensic study of a digital ship. I proposed storages of a little mounting and forensic data mandatory of an international standardization plan and digital equipment to problems for forensic of a too currently marine digital forensic and solutions, and derivation did a conclusion. 본 논문은, 최근 대형화되고 환경오염에 치명적인 해양 선박의 해난사고에 대한 책임을 명확히 하는 법률적인 증거를 확보하기 위하여, 선박에서 디지털 데이터를 추출하여 포렌식자료로 활용하는 방안과 절차를 연구하였다. 관련연구에서 선박의 자동화 장치와 구조 및 해상 선박 디지털 포렌식을 위한 규칙과 절차를 살펴보았다. 선박의 디지털 데이터 추출 연구에서는 선박의 사고에 대비한 포렌식 기술 연구의 필요성과 현재의 상황을 분석하고, 선박의 포렌식 절차에서는 선박 하드웨어 장치와 선박 네트워크 저장장치에 따른 압수 수색의 절차들을 기술하여 표준화된 포렌식 절차들을 제시하였다. 또한 현재 해상 선박의 포렌식을 위한 문제점들과 해결 방안들로 국제 표준화 방안과 디지털 장비들의 의무적인 장착과 포렌식 데이터의 저장들ㅇ르 제안하고 결론을 도출하였다.

Android 진단 로그 포렌식 분석 및 정규화 방안 연구

권혁철,정병찬,최근영,박정흠 한국디지털포렌식학회 2023 디지털 포렌식 연구 Vol.17 No.3

모바일 기기의 보안성이 강화되면서 디지털포렌식 분야에서 기기 내 데이터를 수집하는데 어려움이 가중되고 있다. 이를 극복하기 위한 방법으로 모바일 기기나 운영체제에서 공식적으로 제공하는 도구가 많이 활용되고 있는데, 안드로이드 운영체제의 경우 대표적으로 Android Debug Bridge(이하 ADB)가 있다. ADB는 개발자를 위해서 제공된 디버깅용 도구이며, 관리자 권한 없이 셸에 접근하여 쉽게 안드로이드 로그 정보를 획득할 수 있게 해준다. 하지만, ADB로 추출된 로그는 내용이 장황하고 방대하여 실제 디지털포렌식 수사에서 활용하기가 쉽지 않다. 따라서, 본 연구에서는 ADB로 추출된 로그 중 디지털포렌식 수사에 활용 가능한 로그를 선별 및 분석하고, 이를 효율적으로 사용 가능토록 데이터를 정규화할 수 있는 방안을 제시한다. As the security of mobile devices has been strengthened, challenges in collecting data from the devices in the field of digital forensics have intensified. To overcome these challenges, many tools officially provided by mobile devices or operating systems are being utilized. Notably, the Android operating system offers the Android Debug Bridge (ADB). ADB, designed for developers, is a debugging tool that allows easy access to the shell without administrative privileges, facilitating the acquisition of Android log information. However, logs extracted via ADB tend to be verbose and voluminous, making them challenging to use in actual digital forensic investigations. Therefore, this study aims to select and analyze logs from ADB that can be beneficial for digital forensic investigations and proposes a method to normalize the data for efficient use.

클러스터 맵을 활용한 삭제 파일 복구율 향상 기법 연구 : FAT32 파일시스템을 예제로

정난,박정흠 한국디지털포렌식학회 2024 디지털 포렌식 연구 Vol.18 No.2

디지털 데이터의 확산으로 디지털증거 수집의 중요성이 커지면서 디지털포렌식 기술이 진화하고 있다. 그러나 파일이 삭제되거나 반복해서 덮어쓰게 되거나 포맷되는 경우, 파일을 완벽히 복구하기는 여전히 어려운 과제이다. 본 논문에서는 이동식 디스크, 메모리 카드, 블랙박스 등에서 주로 사용되는 FAT32 파일시스템을 대상으로 유의미한 디지털증거를 확보할 수 있는 파일 복구 방법을 제안한다. 먼저 FAT32 파일시스템의 구조를 분석한 후 클러스터 맵을 활용하여 여러 번 파일을 생성 및 삭제함으로써 단편화된 파일시스템에서 복구 방법을 연구한다. 또한, 자체 제작한 데이터세트를 이용한 실험 결과를 바탕으로 기존 상용 복구프로그램과 비교하여 본 방법이 삭제된 파일을 더 효율적으로 복구할 수 있는지 실험을 진행하였다. 실험 결과, 기존의 상용 복구프로그램보다 더 많은 삭제된 파일을 복구할 수 있었다. 본 논문에서는 다양한 저장장치에서 사용되는 FAT32를 예로 들어 기존의 상용 복구프로그램보다 더 유의미한 데이터를 획득함으로써 디지털포렌식 증거 수집에서 큰 효율을 기대한다. As the proliferation of digital data increases the importance of collecting digital evidence, digital forensics technology continues to evolve. However, perfectly recovering files that have been deleted, repeatedly overwritten, or formatted remains a challenging task. This paper proposes a method for recovering significant digital evidence using the FAT32 file system, which is commonly used in removable disks, memory cards, and black boxes. First, the structure of the FAT32 file system is analyzed. Then, by repeatedly creating and deleting files, this study explores recovery methods in a fragmented file system using the cluster map. Furthermore, experiments using a custom-made data-set were conducted to compare this method with existing commercial recovery programs to determine its efficiency in recovering deleted files. The results show that our method was able to recover more deleted files than the existing commercial recovery programs. This paper demonstrates that by using the FAT32 file system, commonly utilized in various storage devices, as a model, more significant data can be retrieved, greatly enhancing the efficiency of digital forensics evidence collection.