안티포렌식 (Anti-Forensics)
쉽게 풀면
안티포렌식은 범죄 현장에서 지문을 지우고 증거를 없애는 행위를 디지털 세계에서 하는 것과 같습니다. 로그를 삭제하거나, 파일의 시간 정보를 조작하거나, 데이터를 암호화해 조사관이 흔적을 찾지 못하게 만드는 모든 시도를 포함합니다. 공격자는 침투 후 자신의 흔적을 지우기 위해 이러한 기법을 사용합니다. 포렌식 조사관 입장에서는 이런 방해 공작을 뚫고 진실을 찾아내야 하는 과제가 생깁니다.
왜 중요한가
정보보안학에서는 공격자의 은폐 기술이 정교해질수록 포렌식 분석의 신뢰도가 떨어지기 때문에, 안티포렌식 기법을 이해하는 것이 곧 더 나은 탐지 및 대응 방법을 개발하는 출발점이 됩니다. 이 때문에 공격 기법과 방어 기법이 함께 연구되는 경우가 많습니다. 법정에서 디지털 증거의 신뢰성이 다투어질 때 안티포렌식 흔적 자체가 조작 의도를 입증하는 정황 증거로 활용될 수 있어, 법과학 실무에서도 중요하게 다뤄집니다. 디지털 포렌식 조사관이 안티포렌식 기법의 흔적 자체를 별도의 수사 단서로 활용할 수 있다는 점도 함께 강조되며, 흔적을 지우려는 시도 자체가 역설적으로 의심 정황이 되기도 합니다.
논문에서는 이렇게 쓰입니다
흔적 지우기 수법이 실제로 탐지될 수 있는지 실험으로 확인했다는 뜻입니다.
악성코드가 자신을 숨기기 위해 쓴 은폐 기법을 분석해 밝혀냈다는 의미입니다.
조금 더 깊게 보면
대표적인 안티포렌식 기법으로는 로그 및 파일 삭제, 데이터 은닉(스테가노그래피), 암호화, 타임스탬프 조작, 가상화나 메모리 전용 실행을 통한 흔적 최소화 등이 있습니다. 이에 대응하기 위해 포렌식 연구자들은 삭제된 데이터의 잔여 흔적을 복구하거나 다중 소스를 교차 검증하는 방법을 개발하고 있습니다. 안티포렌식은 실행 파일을 메모리에서만 구동시켜 디스크에 흔적을 남기지 않는 파일리스(fileless) 기법이나, 저장 매체의 빈 공간을 반복 덮어써 복구 가능성을 없애는 완전삭제 기법으로도 구현됩니다. 방어 측에서는 여러 로그 소스와 네트워크 기록을 교차 검증해 단일 소스 조작만으로는 은폐가 완성되지 않도록 대응합니다.
주의할 점
안티포렌식 기법이 존재한다고 해서 모든 조작이 완벽히 은폐되는 것은 아니며, 여러 데이터 소스를 함께 대조하면 조작 흔적이 드러나는 경우가 많습니다.