[Mobile Forensics] 모바일 포렌식 수행 과정 (1)

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 모바일 포렌식 수행 과정에 대해 알아 봅니다. 모두 화이팅 하세요!!!

 

The mobile phone evidence extraction process

모바일 포렌식 분야에 잘 정립된 표준 프로세스가 별로 없습니다.

입수(Intake) --> 식별(Identification) --> 준비(Preparation) --> 격리(Isolation) --> 처리(Processing) --> 검증(Verification) --> 문서화(Documentation) --> 보고(Reporting) --> 보존(Archiving)

 

https://subscription.packtpub.com/book/security/9781788839198/1/ch01lvl1sec12/the-mobile-phone-evidence-extraction-process

 

 

The evidence intake phase

요청서(request form)와 서류 작업을 통해서 디바이스의 소유자에 관한 정보와 사건의 유형을 문서화 합니다.

의뢰인의 요구사항에 관한 정보와 분석대상 데이터의 유형을 파악합니다.

조사의 목적을 명확히 설정합니다.

압수할 때 디바이스의 모든 데이터가 수정되지 않도록 주의해야 합니다.

압수할 때 디바이스가 잠겨져 있지 않은 상태라면 바로 볼 수 있는 그 기회를 놓치지 않도록 하고, 패스코드를 비활성화하도록 조치하는 것이 좋습니다.

 

The identification Phase 

다음의 세부사항을 확인하여야 합니다.

 

- 법적인 권한 (The legal authority)

디바이스의 획득과 조사에 관한 법적 권한이 존재하는지, 디바이스에 대한 조사 이전에 해당 미디어에 존재하는 어떤 기술적 이슈가 존재하는지 여부를 확인하고 이를 문서화 해야 합니다.

 

- 조사의 목적 (The goals of the examination)

조사자는 심층 조사(in-depth examination)가 필요한 상황인지 여부를 확인해야 합니다.

조사의 목적에 따라 도구와 기술의 선택이 달라질 수 있습니다.

조사과정의 효율성(the efficiency of the examination process)을 높일 수 있습니다.

 

- 디바이스의 제조사, 모델명, 기타 정보 (The make, model, and identifying information for the device)

해당 폰에 어떤 도구를 쓸 것인지 결정하는데 참고 됩니다.

 

- 이동식 외부 데이터 저장매체 (Removable and external data storage)

전통적인 디지털 포렌식 기술을 이용하여 처리합니다.

 

- 잠재적 증거의 기타 원천 (Other sources of potential evidence)

모바일 폰은 지문 또는 다른 생물학적 증거의 좋은 소스가 되기도 합니다.

모바일 폰에 대한 조사를 시작하기 이전에 수집하는 것이 좋습니다.

 

The preparation phase

조사 대상 특정 모바일 폰에 관하여 연구를 미리 하고 적절한 방법론을 알아보며 이미징과 조사에 사용될 도구를 찾는 단계입니다.

 

모바일 분석용 도구 결정을 위한 4요소

- 조사의 목적 (the goal of the examination)

- 가용 가능 자원 (resources available)

- 조사대상 셀룰러폰의 유형 (the type of cellular phone to be examined)

- 외부 저장 장치의 존재 (the presence of any external storage capabilities.)

 

The isolation phase

휴대폰을 네트워크에 연결하면, 새로운 데이터가 폰에 추가되고, 이때 폰 안의 증거에 대한 변경이 일어날 수 있습니다.

디바이스에 대한 이미징과 분석 전에 네트워크 등 통신장비와 디바이스 간의 격리가 매우 중요합니다.

 

격리 방법의 예

- Radio frequency shielding cloth

- Airplane mode

디바이스의 통신 채널을 비활성화시킵니다.

다만, 디바이스의 화면이 잠김 상태이면 활용할 수 없습니다.

- Faraday bags/tens/rooms

외부의 정전기(external static electrical fields, including radio waves)를 막는 재료를 포함하고 있습니다.

 

 

 

 

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)