증거 보관 연속성과 법적 증거 능력

인계 기록은 증거가 발견된 순간부터 법정에 제출되거나 보관될 때까지 증거의 수집, 전달, 보관, 분석을 추적하는 시간순 문서입니다. 여기에는 누가 증거를 수집했는지, 언제 어디서 수집했는지, 어떻게 처리되었는지, 누가 접근했는지, 어디에 보관되었는지에 대한 내용이 기록됩니다. 중단되지 않은 인계 기록은 수집 후 증거가 훼손되거나 변경되지 않았음을 보여 주며, 이는 증거가 법적으로 인정되는 데 필수적입니다.

모든 증거에는 각 전달 시 작성해야 하는 고유한 인계 기록 양식이 필요합니다. 필수 항목에는 고유 증거 식별자, 증거 항목 설명, 사건 번호, 수집 날짜와 Time, 수집 담당자의 Name 및 연락처, 증거 수집 위치, 암호화 해시 Values, 증거를 수령하거나 전달하는 모든 사람의 서명, 안전한 Storage 위치가 포함됩니다. 양식에 공백이나 불일치가 있으면 법적 사건의 근거가 약해집니다.

적절하게 처리하면 증거 오염을 막을 수 있습니다. 모범 사례에는 물리적 하드웨어를 다룰 때 정전기 방지 장갑 착용(정전기 방전은 전자 부품과 데이터를 파괴할 수 있음), 전자 media를 보관할 때 정전기 방지 봉투 사용, 변조 방지 포장에 증거 넣기(증거 테이프로 봉인하고 봉인 부분을 가로질러 서명한 증거 봉투), 접근 로그가 있는 안전한 접근 통제 위치에 보관하기, 입회자 없이 증거 포장을 개봉하지 않기가 포함됩니다.

디지털 증거가 법적 절차에서 증거로 채택되려면 여러 기준을 충족해야 합니다. 증거는 진정성이 있어야 하며, 주장하는 대상이 맞다는 것을 입증할 수 있어야 합니다(해시 검증). 검증된 도구를 사용하고 문서화된 절차에 따라 수집하여 신뢰성도 갖춰야 합니다. 선택한 일부만이 아니라 전체 맥락이 보존되어 완전성을 갖춰야 합니다. 법원이 이해할 수 있는 방식으로 제시되어 설득력도 있어야 합니다. 또한 수집부터 법정 제출까지 모든 관리자가 문서화되어 인계 기록이 중단되지 않아야 합니다.

사건에 범죄 행위가 관련된 경우 법 집행 기관(FBI, Secret Service, 지역 사이버 수사 부서)에서 증거를 요청할 수 있습니다. 증거를 전달하기 전에 법률 자문을 받아 소환장과 보존 명령을 준수하는지 확인하십시오. 법 집행 기관은 조직에 증거를 삭제하는 대신 현재 위치에 증거를 보존하도록 요청할 수 있으며, 이로 인해 복구가 지연되더라도 마찬가지입니다. 법적 보존 절차를 이해하고 법 집행 기관 담당자와 미리 관계를 구축해 두면 실제 사건이 발생했을 때 이러한 협업을 더욱 신속하게 진행할 수 있습니다.

법적 보존(소송 보존)은 예상되거나 진행 중인 소송과 관련된 기록을 통상적으로 삭제하거나 덮어쓰는 절차를 중지하는 통지입니다. 조직이 침해 사고로 인한 소송을 제기받았거나 소송을 예상하는 경우, 즉시 법적 보존을 시행하여 이메일, 로그, 포렌식 이미지, 시스템 구성 등 관련 가능성이 있는 모든 증거를 보존해야 합니다. 법적 보존을 시행하지 않고 이후에 증거를 파기하면 증거 훼손 제재가 발생할 수 있으며, 법원은 배심원에게 불리한 추론을 하도록 지시할 수 있습니다.

디지털 증거는 증거 규칙을 충족해야 합니다. 인증을 위해서는 해당 증거가 제출자가 주장하는 바로 그것임을 입증해야 하며, 해시 검증과 증거 관리 연계 문서가 이 목적에 사용됩니다. 컴퓨터로 생성된 기록(로그, 자동화된 보고서)은 전문 증거 이의의 대상이 될 수 있지만, 전문 증거 규칙의 예외에 해당하는 업무 기록으로 인정되는 경우가 많습니다. 전문 증인(포렌식 분석가)은 증거를 어떻게 수집하고 분석했는지 증언하며, 그 방법론은 US 법정의 Daubert 기준에 따라 반대 심문을 견딜 수 있어야 합니다.

증거는 법적 절차가 진행되는 동안 안전하게 보관해야 하며, 이 기간은 최초 사건 발생 후 수년까지 연장될 수 있습니다. 물리적 증거에는 잠금 장치가 있고 온도와 습도가 통제되는 보관 시설, 출입 로그, 증거에 접근할 때마다 문서화 후 교체하는 훼손 방지 봉인, 환경적 위험 요소(습기, 열, 자기장)로부터의 보호가 필요합니다. 디지털 증거(디스크 이미지, PCAP 파일)는 한 번만 기록할 수 있는 매체에 보관하고, 저장 매체의 성능 저하를 감지할 수 있도록 체크섬을 정기적으로 검증해야 합니다.

형사 기소나 민사 소송에서 포렌식 분석가는 판사나 배심원에게 자신의 방법과 발견 결과를 설명하는 전문 증인으로 소환될 수 있습니다. 전문 증인은 디지털 포렌식 분야의 교육, 훈련, 경험을 입증하여 자격을 갖추어야 합니다. 방법론은 과학적으로 타당하고 일관되게 적용되어야 합니다. 포렌식 보고서는 객관적이고 재현 가능해야 하며, 기술적 배경이 없는 의사 결정권자도 이해할 수 있는 언어로 작성해야 합니다. 변호인은 반대 심문에서 방법론, 도구의 유효성, 증거 관리 연계에 이의를 제기할 것입니다.

내부 기업 조사와 형사 기소에는 서로 다른 증거 기준이 적용됩니다. 내부 조사는 고용법과 기업 정책에 따라 진행되며, 인사 조치를 뒷받침하기에 충분한지가 기준입니다. 형사 조사에는 합리적 의심을 넘어선 입증으로 기소하는 데 필요한 더 높은 증거 기준이 적용됩니다. 법 집행 권한이 없는 민간 조사관이 수집한 증거도 법정에서 인정될 수 있지만, 합법적으로 수집해야 합니다. 일반적으로 직원은 기업 시스템이 모니터링된다는 사실을 고지받았다면 해당 시스템에서 사생활이 보호될 것이라고 기대할 수 없습니다.

공격자가 여러 국가의 서버를 통해 트래픽을 우회시키기 때문에 디지털 조사는 국경을 넘는 경우가 많습니다. 이로 인해 여러 문제가 발생합니다. 외국 서버에서 증거를 확보하려면 국가 간 상호 법률 지원 조약(MLAT)이 필요하고, 클라우드 제공업체는 현지 법원의 명령 없이는 데이터를 공개하지 못하도록 법적으로 제한될 수 있으며, GDPR은 EU 외부로 개인정보를 이전하는 것을 제한합니다. 사건에 국경을 넘는 활동이 관련된 경우 조직은 국제 사이버 법률에 경험이 있는 법률 자문과 협력해야 합니다.

이 수업에서 다룬 CompTIA Security+ (SY0-701) 개념을 얼마나 이해했는지 확인해 보십시오.

이 수업에서는 다음을 배웠습니다. 증거 관리 연계 문서는 수집부터 법정 제출까지 모든 보관 담당자와 이전 내역을 추적합니다. 또한 소송이 예상되면 증거 훼손 제재를 방지하기 위해 법적 보존을 즉시 시행해야 합니다. 그리고 디지털 증거는 진정성 있고 신뢰할 수 있으며 완전해야 하고, 법적으로 인정되려면 암호화 해시로 검증되어야 합니다. 다음으로는 Registry, 이벤트 로그, Prefetch 파일을 비롯한 Windows 포렌식 아티팩트를 살펴보겠습니다.