모바일 장치 포렌식을 위한 최신 도구와 기술은 수사관과 변호사가 조사에 접근하는 방식을 극적으로 변화시켰으며 모바일 장치가 조사의 최전선에 있는 경우가 많습니다. 새로운 접근 방식은 수십 또는 수백 개의 장치를 병렬로 빠르고 효율적으로 분석하는 동시에 장치의 광범위한 정보를 통합하기 위한 더 나은 옵션을 제공합니다. 모바일 장치는 지난 10년 넘게 분쟁과 조사에서 두드러진 부분을 차지해 왔으며, 업무용과 개인용 모바일 장치가 편재하고 혼합되면서 다른 어떤 데이터 소스보다 데이터가 풍부하고 액세스 가능한 풍부한 데이터가 제공됩니다. 이는 사용 빈도 및 사용자의 개인 정보 보호 의식과 결합되어 모든 조사 분석에서 모바일 장치를 매우 가치있게 만듭니다.

모바일 장치의 포렌식 데이터 분석: 입문서

모바일 장치 분석에 대한 Kroll의 고급 접근 방식은 변호사와 조사관이 모든 형태의 모바일 장치 데이터를 조사하고 제시할 수 있도록 데이터 유형과 장치 전반에 걸쳐 통합 분석을 수행하는 것입니다. 전통적인 접근 방식은 장치별로 격리된 모바일 장치 분석을 수행하거나 통신 데이터(예: SMS)를 "문서"처럼 취급하는 전통적인 분석을 수행하는 것이었습니다. 실제로 최신 분석 도구와 기술을 사용하면 더 빠르고 강력한 접근 방식이 가능합니다. 이 글에서는 최신 모바일 장치 포렌식 분석 수행 방법을 소개합니다.

모바일 장치 분석 단계

모바일 장치 분석은 여러 반복 단계로 나눌 수 있습니다. 모바일 장치 분석과 관련된 모든 문제는 프로세스 범위 지정으로 시작됩니다. 여기에는 분석 목표 식별, 분석할 데이터 유형 선택(예: 문자 메시지), 사실 패턴 개발 및 기타 물류 고려 사항 설정 단계가 포함됩니다. 두 번째 단계는 장치의 포렌식 수집으로, Cellebrite 또는 Oxygen Forensics, 클라우드 기반 수집 또는 장치 콘텐츠의 논리적 수집과 같은 다양한 수단을 통해 수행될 수 있습니다.

일단 수집된 모바일 장치 데이터는 다양한 도구를 사용하여 추출하고 분석할 수 있습니다. 소규모 장치 세트 및 제한적이거나 알려진 문제와 관련된 간단한 문제의 경우 데이터는 스프레드시트에서 수동으로 분석하거나 기존 문서 검토 플랫폼을 통해 분석할 수 있습니다. 그러나 복잡한 문제에는 데이터 분석 기법을 활용한 통일된 분석 접근 방식이 필요합니다. 이 접근 방식에는 특정 데이터 유형을 추출하고 여러 모바일 장치의 데이터를 통합 분석을 위해 통합 데이터베이스로 가져오는 작업이 포함됩니다.

다음 단계인 분석 및 보고는 시간 집약적이며 여러 번의 반복과 추가 데이터 수집 또는 분석 범위 조정이 필요할 수 있습니다. 나중에 설명하는 것처럼 사용되는 분석 유형은 다양할 수 있지만, 목표는 알려진 사실을 기반으로 기술을 적용하여 분석을 가속화하고 관련 없는 데이터를 선별하는 시간을 줄이는 것입니다. 분석 단계에는 여러 번의 반복이 포함될 수 있으며, 각 반복에서는 이전 분석에서 새로 얻은 정보를 기반으로 분석을 조정하거나 개선합니다. 검토 및 생산 단계에는 검토자가 결과를 통합하고 이를 문서, 메타데이터 및/또는 시각적 표현의 형태로 생성할 수 있도록 데이터를 시각적 및 대화형 플랫폼으로 편집하는 작업이 포함됩니다.

모바일 장치 데이터 유형

모든 모바일 장치에는 독특하고 풍부하며 광범위한 정보 세트가 포함되어 있습니다. 모든 장치는 고유하지만 여러 범주의 증거가 포렌식 분석의 기본입니다. 이러한 데이터 유형은 스마트폰과 태블릿에서 발견되는 통신, 지리적 위치 및 기타 이벤트 기반 데이터를 나타냅니다.

또한 모바일 장치에서 발견된 모든 유형의 데이터는 포렌식 수집 중에 수집됩니다. 그러나 분석을 위해 선택되는 데이터 유형은 분석의 범위와 초점에 따라 달라집니다. 데이터가 추출되면 해당 데이터를 분석에 사용할 수 있습니다. 어떤 데이터 유형이 잠재적으로 관련이 있는지 클라이언트에게 조언하고 관련 데이터를 통합 데이터베이스로 추출하여 해당 데이터를 함께 분석하는 것이 포함됩니다. 문자 및 채팅 메시지가 초점이더라도 통신 기록과 함께 전화 주소록 및 위치 정보 데이터와 같은 다른 데이터 소스를 분석하면 이벤트에 대한 더 깊은 이해를 얻을 수 있습니다. 예를 들어, 주요 메시지가 전송되었을 때 장치 관리자가 물리적으로 어디에 있었는지 파악하거나 분석을 위해 추가 개인을 식별하는 것이 포함될 수 있습니다.

주요 분석 유형

모바일 장치에서 수행할 수 있는 분석 유형은 선택한 데이터 유형과 분석 목표에 따라 다릅니다. 성공적인 분석 프로세스의 핵심은 철저하고 광범위한 조사를 지원하는 즉각적인 결과를 산출하는 분석 수행에 대한 가장 빠른 접근 방식을 식별하는 것입니다. 조사에서 모바일 장치 데이터 분석만 필요한 경우는 거의 없으므로 모바일 장치 분석은 더 광범위한 조사 목표를 지원하고 다른 영역(예: 인터뷰 및 문서 검토)을 가속화하는 데 도움이 되어야 합니다.

다음 표에는 조사에서 일반적으로 수행되는 몇 가지 기본 분석이 나열되어 있습니다.

분석은 결과를 줄이는 목적과 결과를 확대하는 목적으로 구분될 수 있습니다.

결과를 줄이기 위해 분석을 결합하여 결과를 분할하고 세분화할 수 있습니다. 예를 들어, 타임라인 분석을 개념 검색과 함께 사용하여 특정 기간 동안 해당 개념이 포함된 커뮤니케이션 유형과 기타 데이터를 표시할 수 있습니다. 이후 이 분석은 특정 개인이나 지리적 위치로 제한되도록 더욱 구체화될 수 있습니다.

일련의 대응 결과에서 추가 관련 데이터를 식별하기 위해 확장 분석을 수행할 수 있습니다. 예를 들어 분석은 동일한 기준을 사용하여 단일 장치에서 여러 장치로 확대될 수 있으며, 새로 식별된 관심 있는 개인의 통신을 식별하기 위해 분석을 수행할 수도 있습니다. 확장 분석의 또 다른 형태는 소셜 미디어 또는 Facebook, Instagram, Twitter 또는 Slack과 같은 기타 플랫폼의 사용을 나타내는 웹 기록 또는 타사 앱 기록과 같은 모바일 장치에서 발견된 정보를 기반으로 추가 데이터 소스를 식별하는 것입니다. .

교차 장치 분석

여러 모바일 장치를 동시에 분석하면 복잡한 문제에 대한 이점을 얻을 수 있습니다. 분석가는 교차 장치 분석 접근 방식을 통해 추가 개인을 식별하고 통신 및 기타 이벤트에 대해 훨씬 더 많은 정보를 구축할 수 있습니다. 여러 장치를 함께 분석하면 다음과 같은 몇 가지 이점이 있습니다.

이름을 전화번호 및 계정과 연결하기 위한 마이닝 장치의 주소록

특정 시점에 개인의 물리적 위치를 식별합니다.

알려진 참가자의 지도와 시각화된 네트워크 그래프의 관계 구축

추가 데이터 수집 여부 결정

대부분의 모바일 장치에는 200,000개 이상의 개별 메시지, 파일 및 기타 데이터가 포함되어 있습니다. 여러 장치를 분석하려면 사실 패턴을 정확하고 효율적으로 검색하고 개발하기 위한 전략적 접근 방식이 필요합니다.

장치 간 분석은 특정 데이터가 개인에 의해 삭제되거나 변경된 시기를 더 잘 식별할 수 있지만 적절하게 해결되지 않으면 법무팀에 문제를 일으킬 수도 있습니다. 법의학 전문가는 일반적으로 삭제된 콘텐츠를 복구할 수 있지만 이를 여러 장치에서 표시하는 것이 더 확실하고 강력합니다. 교차 장치 분석은 중복 제거된 데이터를 생성하는 전통적인 접근 방식을 따르는 법무팀에 문제를 제기할 수 있습니다.

두 명의 채팅 참가자를 위한 장치를 획득한 다음 예를 생각해 보세요. 한 관리인은 삭제를 수행하지 않았고, 다른 관리인은 메시지를 선택적으로 삭제했습니다. 메시지 스레드의 두 사본에는 귀중한 정보가 포함되어 있으므로 검토 및 제작에 앞서 법무팀과 함께 분석 전략을 개발합니다. 장치 간 분석을 수행하면 문서 검토 및 제작 전에 아래와 같은 상황을 식별할 수 있습니다.

모바일 기기의 포렌식 데이터 분석

장치 간 분석에는 소스 데이터를 추적하고 보다 강력한 장치 간 분석을 가능하게 하기 위한 엄격한 감사 및 메타데이터 관리가 필요합니다. 교차 장치 분석을 수행할 때 고려해야 할 몇 가지 주요 사항은 다음과 같습니다.

장치, 장치 컬렉션 및 데이터에 대해 사용 가능한 모든 메타데이터를 저장하고 추적하는 것은 증거 관리에 중요합니다.

다양한 데이터 유형을 분석하려면 정확한 데이터 매핑과 모바일 장치 데이터에 대한 깊은 이해가 필요합니다.

다양한 iPhone 및 Android 장치의 데이터 유형 및 메타데이터가 제대로 처리되지 않으면 통합 분석에 영향을 미칠 수 있음

주소록 등 모든 장치에 데이터를 적용하면 제대로 수행되지 않으면 문제가 발생할 수 있습니다.

통합 데이터베이스에서 소스 데이터를 관리하고 Relativity와 같은 기존 문서 검토 플랫폼과 심층 분석, 시각화 및 사용자 정의 검색을 위한 셀프 서비스 분석 플랫폼을 통해 법무팀이 데이터를 사용할 수 있도록 하는 것이 포함됩니다.

모바일 장치 분석 전략 설계

모든 모바일 장치 조사는 고유하지만 분석 전략을 고안하는 데에는 공통된 접근 방식이 있습니다. 이러한 단계는 조사와 관련하여 알려진 정보를 수집하고 추가 확증 또는 분석 확장을 위해 주요 사실이나 이론을 분리하는 것으로 시작됩니다. 예를 들어 조사가 특정 시점의 세 가지 이벤트를 중심으로 진행되는 경우 해당 시대를 중심으로 분석을 개발하여 관련 개인을 식별하고 통신 또는 기타 이벤트 관련 데이터가 장치에서 발견되는지 여부를 확인하고 도태 또는 제거를 시작할 수 있습니다. 조사와 관련된 커뮤니케이션 채널과 키워드/개념을 확대합니다.

이와 동시에 모바일 장치 데이터를 프로파일링하여 어떤 정보가 사용 가능한지, 이상 징후나 데이터 격차가 존재하는지 평가해야 합니다. 한 가지 접근 방식은 자동화된 데이터 프로파일링을 수행하여 모바일 장치에서 발견된 데이터에 대한 요약 수준 세부 정보를 평가하고, 데이터 타임라인을 생성하고, 개인 간의 관계를 식별하는 것입니다. 이러한 유형의 프로파일링을 통해 조사관과 변호사는 어떤 정보가 이용 가능한지 신속하게 평가하고 어떤 데이터를 추가로 분석할지 식별할 수 있습니다.

성공적인 모바일 장치 분석에는 일반적으로 분석이 완료되거나 충분할 때 정의된 중지 지점이 있습니다. 언제 중지할지 결정하는 것은 조사의 성격에 따라 다르지만 이를 측정하는 방법에는 여러 가지가 있습니다.

1. 첫 번째는 축소 분석을 수행할 대상과 방법을 처음부터 설정하여 축소 필터를 적용하고 예상되는 통신 및 기타 세부 사항을 식별하는 것입니다. 즉, 외부 정보를 필터링하고 핵심 데이터를 찾기 위한 분석이 처음에 정의됩니다.

2. 두 번째 테스트에서는 확장 분석을 검토하여 해당 분석이 완료되었는지, 각 결과가 검토되었는지 평가합니다. 사실상 분석을 수행하기 전에 정확한 중지 지점 기준을 설정할 수 있는 조사는 없지만 전체 과정에서 해당 기준을 염두에 두는 것이 조사에 도움이 됩니다.

분석 전략에는 데이터를 최종적으로 검토하고 보고하는 방법에 대한 접근 방식이 포함되어야 합니다. 한 가지 접근 방식은 검토를 위해 모바일 장치 데이터를 Relativity와 같은 문서 검토 시스템으로 전송하는 것입니다. 이러한 유형의 시스템을 통해 변호사 및 기타 검토자는 이메일 및 전자 문서와 함께 공통 플랫폼에서 모바일 장치 콘텐츠를 검토할 수 있습니다. 이 프로세스에서 고려해야 할 주요 사항 중 하나는 통신 및 기타 데이터가 표현되는 방식을 결정하는 것입니다. 문자 메시지 및 기타 통신 내용을 원본 메시지와 유사한 형식으로 PDF로 인쇄할 수 있으며, 기타 데이터도 마찬가지로 메타데이터를 기반으로 하는 파일 형식으로 인쇄하여 문서를 나타낼 수 있습니다.

두 번째 접근 방식은 데이터 시각화 플랫폼에서 메타데이터와 분석의 정량적 결과를 검토하는 것입니다. 데이터 시각화 플랫폼을 통해 검토자는 정보를 조사하고 데이터에 필터를 적용하여 데이터 패턴을 식별할 수 있습니다. 결과를 나타내기 위해 시각화를 인쇄하고 제작할 수 있습니다. 이 접근 방식은 문서 검토 플랫폼에서 데이터 검토와 함께 또는 대신 수행될 수 있습니다.

결론적으로 정리하자면 모바일 장치 분석은 데이터를 서로 검토하고 다양한 데이터 유형과 장치를 탐색할 수 있는 기회가 풍부한 프로세스입니다. 셀프 서비스 분석 및 시각화 플랫폼과 같은 고급 도구를 사용하면 조사관과 법무팀이 기존 문서 검토 도구에서 고려했던 것보다 훨씬 더 빠르고 심층적으로 이러한 분석을 수행할 수 있습니다. 성공적인 휴대폰 분석의 핵심은 사례의 목표와 알려진 사실을 적절하게 범위 지정하고 데이터를 체계적으로 분석하는 것입니다