사건 내의 디지털 증거를 찾아 분석하는 디지털포렌식답게, 이에 대한 문제도 사건 상황이 주어지는 것으로 시작됩니다. 문제를 읽기만 해도 벌써 수사관이 된 기분이 드네요! 😎

이 문제의 시나리오를 읽어보시면 지자체 담당자가 발견한 MicroSD를 분석해야 될 것 같습니다. 그래서 정말로❗️ 분석하실 수 있도록 분석 파일도 함께 제공된답니다! [2. 기타정보]를 보시면 예상한 대로 MicroSD에 담긴 데이터를 채취한 E01 파일을 분석해야하는 것을 확인할 수 있습니다. 그 후 보고서를 작성하여 제출하도록 되어있네요! 😯

여기서 눈치채셨겠지만, 디지털포렌식 챌린지는 여타 CTF와는 다르게 결과를 찾은 과정에 대한 보고서를 작성하여 제출하는 방식으로 진행됩니다. 그렇다 보니 평가도 단순히 답을 찾았는지가 아닌, 분석 보고서의 완성도와 개연성 등을 기준으로 하여 이루어지고 있어요!

문제 풀이 만으로는 아쉽다? Tech Contest!

앞서 시나리오 기반의 문제를 보여드렸는데 이것만으로도 다소 새롭게 느끼셨을 것 같아요. ☺️  하지만 디지털포렌식 챌린지는 여기서 끝이 아닙니다! Digital Forensics Challenge가 주어진 시나리오를 분석하여 보고서를 쓰는 대회였다면, 여기서 소개할 Tech Contest는 자신이 연구한 내용을 가지고 보고서를 쓰는 대회입니다. 마치 두 개의 대회를 소개하고 있는 것 같죠? 😅 정리하자면 디지털포렌식 챌린지는 2개의 분야로 구성되며, 각각이 시나리오를 분석하는 분야와 개인이 정한 주제를 연구하는 분야가 되는 것입니다!

Tech Contest에 대한 소개를 조금 더 이어가 볼게요. 디지털포렌식에서 요구하는 기술에는 디지털 증거에 대한 정보나 분석 방법 등이 있을 거예요. 포렌식이라는 분야가 결과적으로는 증거를 수집하고 분석하는 일을 가리키기 때문에 그렇죠. 이에 따라 이 공모에서 원하는 연구도 새로운 디지털 증거나 새로운 분석 방법 등에 관한 연구가 될 거예요.

어떤 대회이든 해당 대회를 준비하기 위한 팁은 그 대회의 참가자에게 전해 듣는 것이 가장 좋겠죠? 그래서 2021년 디지털포렌식 챌린지에서 대상을 받았던 DogeCoin 팀의 김영웅 님과의 인터뷰를 준비했습니다! 이번 인터뷰가 디지털포렌식 챌린지를 준비하시는 분들은 물론 디지털포렌식 공부를 하기 시작하신 분들에게도 도움이 되었으면 좋겠네요.

Q. 디지털 포렌식을 공부한 지 얼마나 되셨나요? 간단한 이력 소개 부탁드립니다! 😎

A. 제가 보안 분야를 처음 접한 건 5년 전이었던 대학교 2학년 때입니다. 경찰대학의 사이버 범죄 연구회(CRG) 동아리에서 네트워크, 리눅스 등 보안 기초 지식에 대한 맛만 보다가, 3학년에 차세대 보안리더 양성프로그램(BoB) 7기 디지털포렌식 트랙에 선발되면서 본격적으로 디지털 포렌식을 공부하게 되었습니다. 이후 2019년 디지털포렌식 챌린지에서 장려상, 2021년 디지털포렌식 챌린지에서 대상을 받는 등 꾸준히 공부하고 있어요.

Q. 디지털 포렌식 챌린지에 어떤 계기로 참가하게 되셨나요? 😯

A. 디지털 포렌식 챌린지는 순수하게 디지털 포렌식을 주제로 한 대회라는 점이 매력적으로 다가왔습니다. 주로 보안 분야는 CTF, 해킹 위주의 대회가 많지만 포렌식 위주의 대회는 별로 없고, 있다고 하더라도 단순히 디스크 이미지를 하나 주고 시나리오대로 분석하라는 방식의 대회가 대부분이죠. 그런데 디지털 포렌식 챌린지는 IoT, 안티포렌식, 침해사고 대응, 시나리오 분석 등 다양한 주제가 문제로 출제되어서 디지털 포렌식에 대한 깊이 있고 새로운 지식을 많이 습득할 수 있다는 점이 좋았습니다.

Q. 디지털 포렌식 챌린지 참가를 위해 어떤 준비를 하셨나요? 🧐

A. 기본적으로 이미지 분석을 해야 하므로 파일시스템에 대한 지식이 있어야 하고 윈도우 운영체제와 NTFS 파일시스템 분석을 잘 할 수 있어야 합니다. 그럴 뿐만 아니라 파일 포맷(format) 분석 문제도 자주 나오는데, 특히 안티포렌식 관련 문제에서는 이러한 포맷 분석을 심화해 해야 할 때도 있어서 포맷 분석 감각뿐만 아니라 분석 도구 개발을 위한 기본적인 수준의 개발 능력도 갖춰두는 것이 좋겠습니다. 이외에도 대용량 로그 분석 문제가 하나씩은 출제되므로 텍스트데이터를 효율적으로 필터링하는 방법이 필요하며, 윈도우가 아닌 리눅스 및 맥 운영체제에 대한 이해까지 갖춘다면 더 좋을 것 같습니다. 뿐만 아니라 이들을 침해사고 대응 관점에서도 알고 있어야 합니다.

이렇게 기술적인 것 외에도 대회를 준비하는 데에 있어 중요한 건 좋은 팀원을 구하는 것일 텐데요. 대회 기간이 긴 편인데다 난도도 높아서 매일매일 열심히 해야 입상할 수 있을 것이기에 시간 투자가 가능하고 열정이 가득한 멤버로 구성하는 것이 좋을 것 같아요. 분업이 가능하도록 해킹, OS별 디스크이미지 및 메모리 분석, 개발, 기타 misc 등 각 분야에 특화된 멤버로 구성한다면 유리할 것 같습니다.

Q. 디지털 포렌식을 공부하기 시작하신 분들을 위한 팁이 있을까요? 🤩

A. 초심자가 혼자 디지털 포렌식을 공부하는데 유용한 플랫폼이나 자료가 많지 않은 게 현실입니다. 인프런 강의 같은 걸 봤는데 기초를 잡기에는 적당한 난이도 같고, 심화된 수준으로 나아가고 싶다면 BOB가 가장 좋은 방법이 아닐까 생각합니다. 그래도 최근에는 포렌식을 주제로 한 도서들도 간간이 출간되고 있는 듯하니 최대한 많은 자료를 찾아보는 것이 좋을 것 같네요. 그러나 이마저도 체계적인 커리큘럼이 별로 없다 보니 디지털범인을찾아라 나 KDFS 등 대회 문제에 대한 해설을 찾아 따라 해보고 그러면서 나오는 모르는 개념 등을 하향식으로 공부하는 것도 좋을 것 같습니다. 어느 정도 공부를 한 후 심화된 레벨로 가기 위해서는 행위자 행동 분석보다는 악성코드 분석 등 공격 방어 측면을 공부하는 것이 필요하고 본인의 커리어에도 도움이 될 것 같다는 생각이 드네요. 이를 위해 안랩, KISA, 카스퍼스키 등 기관에서 발간하는 보고서나 블로그 글 등을 읽어보고 침해사고 대응 면에서의 포렌식 기술을 중점으로 공부하는 것이 좋을 것 같습니다.

디지털포렌식 챌린지는 2018년에 시작되어 중간에 형태가 잠시 바뀌기는 했지만 대게 5월 초에 시작됩니다. 오늘 이 글을 보시고 참가에 관심이 생겼다면 4월쯤 홈페이지에 방문하여 자세한 일정을 확인해보시는 게 좋겠네요. 😀  그럼 오늘 해커의 TMI는 여기서 마치도록 할게요. 다들 좋은 주말 보내세요! 😎

✏️ 해킹짹짹 뉴스레터에서 다루는 기술들은 오로지 교육적인 목적으로 사용되며, 이를 악용하여  발생하는 모든 책임은 본인에게 있습니다.