안티포렌식 기법 (Anti-Forensic Techniques)
쉽게 풀면
범죄자가 증거를 남기지 않으려고 사용하는 여러 가지 꼼수를 통틀어 안티포렌식이라고 부릅니다. 파일을 완전히 지우거나, 데이터를 암호화하거나, 시간 기록을 조작하는 것 등이 모두 여기에 해당합니다. 마치 범죄 현장을 청소하고 지문을 닦아내며 알리바이를 조작하는 것을 디지털 세계에 옮겨놓은 것과 비슷합니다. 포렌식 수사관 입장에서는 이런 기법들을 미리 이해하고 있어야 대응이 가능합니다.
왜 중요한가
수사관이 증거를 확보하는 기술이 발전하는 만큼 이를 회피하려는 기법도 함께 발전하기 때문에, 안티포렌식 기법에 대한 이해는 효과적인 디지털 포렌식 수행의 전제조건이 됩니다. 법과학 논문에서는 안티포렌식 흔적을 역으로 탐지하는 대응 기법 연구가 활발히 이루어집니다.
핵심 정리
- 안티포렌식은 디지털 증거의 발견·수집·분석을 방해하거나 무력화하려는 기술 일반을 가리키며, 하나의 합의된 정의가 없어 정의와 통제 문제가 논의됩니다(Harris, 2006).
- 가장 이른 상세한 소개 가운데 하나인 2002년 Phrack의 설명은 안티포렌식을 포렌식 조사의 효과를 줄이려는 증거의 제거 또는 은닉으로 정의했습니다.
- 분류 체계의 하나로 로저스의 네 범주가 널리 받아들여집니다. 데이터 은닉, 흔적 삭제(artifact wiping), 흔적 위장(trail obfuscation), 포렌식 절차·도구에 대한 공격입니다.
- 이후 Conlan 등(2016)은 확장된 세분 분류를 제안했습니다.
예시로 보기
| 범주 | 의미(개념 수준) |
|---|---|
| 데이터 은닉 | 데이터를 접근 가능한 상태로 두되 찾기 어렵게 만드는 것 |
| 흔적 삭제 | 특정 파일이나 파일 시스템을 영구히 없애는 것 |
| 흔적 위장 | 남은 흔적을 혼동시키거나 오도하는 것(세부 정의는 문헌마다 다름) |
| 도구·절차 공격 | 포렌식 도구와 절차 자체를 겨냥하는 것(카운터포렌식이라고도 함) |
이 사전은 개념과 연구 동향을 다루며, 기법의 구체적 수행 방법은 다루지 않습니다. 연구는 주로 도구 사용 흔적 자체를 탐지하거나 여러 로그를 교차 검증해 조작을 판별하는 대응 쪽에서 이루어집니다.
자주 하는 오해
| 흔한 오해·논점 | 바로잡기 |
|---|---|
| 안티포렌식 도구는 오직 악의적 목적이다. | 통념은 그렇지만, 포렌식 절차·도구·교육의 허점을 드러내는 데 쓰여야 한다고 보는 시각도 있습니다. |
| 흔적이 발견되면 곧 의도를 입증한 것이다. | 흔적의 발견은 정황일 뿐이므로 조사 과정에서 별도로 기록하고 다른 근거와 함께 평가해야 합니다. |
| 분류는 하나뿐이다. | 로저스의 네 범주 외에도 확장 분류가 제안되어 있으므로 논문마다 쓰는 분류를 확인해야 합니다. |
논문에서는 이렇게 쓰입니다
실제 논문에서
이 용어를 직접 쓴 국내 논문 문장을 아직 수집하지 못했습니다. 수집되는 대로 출처와 함께 싣겠습니다.
예시 문장
아래는 용어의 쓰임을 보여 주려고 만든 예시로, 실제 논문에서 가져온 문장이 아닙니다.
증거인멸 시도를 역으로 탐지하는 방법을 다뤘다는 뜻입니다.
조작 시도가 있었음에도 다른 근거로 실제 사실관계를 밝혀냈다는 의미입니다.
조금 더 깊게 보면
대표적인 안티포렌식 기법으로는 데이터를 반복 덮어써 복구를 불가능하게 만드는 완전삭제(wiping), 파일 내용을 암호화하는 방법, 타임스탬프를 조작하는 타임스탬핑(timestomping), 데이터를 다른 파일 속에 숨기는 스테가노그래피 등이 있습니다. 이에 대응하는 포렌식 기법은 도구 사용 흔적 자체를 찾거나, 여러 시스템 로그를 교차검증해 조작 여부를 판별하는 방식으로 발전하고 있습니다. 대표적인 안티포렌식 기법으로는 데이터를 반복 덮어써 복구를 불가능하게 만드는 완전삭제(wiping), 파일 내용을 암호화하는 방법, 타임스탬프를 조작하는 타임스탬핑(timestomping), 데이터를 다른 파일 속에 숨기는 스테가노그래피 등이 있습니다. 이에 대응하는 포렌식 기법은 도구 사용 흔적 자체를 찾거나, 여러 시스템 로그를 교차검증해 조작 여부를 판별하는 방식으로 발전하고 있으며, 파일시스템의 저널 로그와 실제 메타데이터 간 불일치를 살펴 타임스탬프 조작을 역추적하기도 합니다.
주의할 점
안티포렌식 흔적이 발견되었다는 사실 자체가 오히려 의도적 증거인멸 정황으로 해석될 수 있으므로, 조사 과정에서 이를 별도로 기록해 둘 필요가 있습니다.
헷갈리기 쉬운 용어
참고 문헌
- Harris, R. (2006). Arriving at an anti-forensics consensus: Examining how to define and control the anti-forensics problem. Digital Investigation, 3, 44–49.
- Conlan, K., Baggili, I., & Breitinger, F. (2016). Anti-forensics: Furthering digital forensic science through a new extended, granular taxonomy. Digital Investigation, 18, S66–S75.
- Shin, W. (2014). Countermeasures against anti-forensics by analyzing anti-forensics techniques. Journal of Security Engineering, 11(6), 605–614.
표의 기준값은 위 문헌에 근거한 관례이며, 분야·학술지마다 다른 기준을 쓸 수 있습니다.