모바일 포렌식 개요

모바일 포렌식

• 모바일 기기를 조사하는 디지털 포렌식
• 모바일 기기에 저장되어 있는 통화기록, 문자 메시지, 위치정보, 애플리케이션 사용 기록 등의 데이터를 추출하고 분석
• 사용자가 모바일 기기를 사용하면서 생성된 데이터가 시간 정보와 함께 저장됨
  • 프라이버시 관련 데이터가 많이 존재
  • 사용자 행위 분석에 용이
• 데이터 수집 및 분석을 위해 해결해야 할 이슈가 있음
  • 하드웨어/소프트웨어 암호화
  • 안티포렌식 기법(공장 초기화, 와이핑, 안전학 삭제 등)
• 기종별로 저장되는 데이터의 위치와 종류가 다름
  • 모델별로 저장되는 데이터와 저장위치를 식별해야 함
• 데이터 동기화, "기기" 중심 -> "계정" 중심 서비스 제공
  • 클라우드 저장소, 메신저

 

 

모바일 데이터는 시스템 정보와 사용자 데이터로 구분이 가능함

시스템 정보	기기모델 및 버전 정보 네트워크 연결 정보 다운로드 및 설치된 앱 목록 사용자 계정 정보
사용자 데이터	연락처 통화 기록 문자메시지 기록(MMS, SMS)

 

저장되는 형태

텍스트 포맷	텍스트 형태로 저장된 데이터 *.log, *.xml, *.cfg 등 다양한 형태의 포맷으로 데이터가 존재 기기 정보, 시스템 로그, 애플리케이션 설정 정보 등
데이터베이스	SQLite 등의 데이터베이스 파일로 저장된 데이터 대부분의 애플리케이션 사용기록이 데이터베이스로 기록됨
멀티미디어	사진, 동영상, 문서 등

 

 

저장장치

• 플래시 메모리(Flash Memory)
  • 모바일 디바이스는 데이터 저장을 위해 플래시 메모리 사용
  • 종류
    • eMMC(embedded MultiMedia Card) -> 저가형 모델에 사용
    • UFS(Universal Flash Storage) -> 플래그쉽 모델에 사용
  • eMMS vs UFS
    • UFS 2.1 기준 eMMC와 비교하여 약 2배 빠른 속도와 낮은 소비전력을 가짐

 

운영체제

• 안드로이드(Android)
  • 구글(Google)에서 개발한 임베디드 운영체제
    • 리눅스(Linux)커널에서 동작하며, C/C++ 라이브러리가 포함되어 있음
  • 개방형 플랫폼으로 다양한 기기에서 구동 가능
    • 스마트폰, 태블릿 PC, 스마트 워치, 네이게이션, 스마트 TV, AI 스피커 등
• iOS
  • 애플(Apple)에서 개발한 유닉스 기반의 모바일 운영체제
  • 현재는 iPhone에만 사용
    • iPad: 2019년 iPadOS로 부리
    • Apple TV: 2015년 tvOS로 분리

 

 

모바일 데이터 수집 과정

 

통신 차단

: 모바일 기기능 무선 네트워크에 연결되어 원격으로 증거물 훼손 및 조작이 가능하기 때문에 포렌식 조사를 위해 압수한 경우 통신을 차단해야 한다.

차단 방법

1. 전파 차단 장비 활용: Faraday Bag을 이용해 통신 차단

2. 비행기 모드(Airplane Mode): 데이터 수집 시 주로 사용, 통신을 차단하는 내장된 기능을 사용하는 방식

 

침수 대응

: 침수 시 전원 키기 x, 습기 제거, 3~5일 건조 후 전원 공급하여 데이터 수집 및 분석 수행