모바일 포렌직 조사에 대비하는 방법

기업 내 모바일 기기가 확산되고 있는 가운데, 보안 담당 조직은 ‘모바일 포렌직 조사’를 염두에 둘 필요가 있다. 특히 PCI-DSS, HIPAA 같은 규정을 준수해야 하는 기업들에 해당되는 부분이다. 그러나 다른 기업들도 e디스커버리(eDiscovery) 절차 등에서 이메일과 SMS 메시지 취급에 어려움을 겪을 수 있다.

프라이스워터하우스쿠퍼(Pricewaterhousecooper)의 데이빗 나르도니 모바일 장치 조사 책임자는 "기업이 소송을 당하거나 다른 사고에 휩싸였을 때, 인소싱이든 아웃소싱이든 이들 장치 안에 보관되어 있는 정보를 조사할 수 있다. 이때 이를 준비하는 과정이 사후약방문인 경우가 많다"라고 지적했다.

그는 "이런 부분을 모바일 정책의 일부로 이행해야 한다”라며 특히 모바일 장치를 대상으로 한 조사의 경우 다른 기기의 조사와 대단히 다르다고 강조했다. 그는 "모바일 장치를 전담하는 직원을 둬야 할 수도 있다. PC 분야의 네트워크 침입 전문가를 채용하는 것과 마찬가지다"라고 덧붙였다.

정책을 통해 직원들의 장비를 조사할 수 있는 권리를 확보
나르도니가 가장 먼저 강조한 내용이 있다. 기업은 보안 담당 부문이 직원들의 모바일 장비를 조사할 수 있는 권한을 갖도록 모바일 정책에 규정해야 한다는 것이다. 회사가 지급한 장비와 개인 소유의 장비 모두에 대해서다.

그는 "기업 환경에서 사용하는 장비 일체를 조사할 수 있는 권리와 권한을 확보할 필요가 있다. 사람들은 PC와는 다른 방식으로 모바일 장비를 사용한다. 조금 더 개인적인 장비로 여기는 경우가 많다. 회사에서 지급한 장비라도 컴퓨터와는 달리 조금 더 친밀한 방식으로 커뮤니케이션을 하곤 한다"라고 설명했다.

BYOD를 수용하더라도 인가 장비는 제한
모바일 포렌직에는 프라이버시 문제 외에도 많은 도전이 수반된다. 많은 모바일 장비와 OS만으로도 어려운 문제들이 속속 나온다. 안드로이드 장비의 종류만 800종이 넘는다. OS 버전도 제 각각이다. 장비에 따라 포렌직 툴이 호환되지 않을 수 있다는 의미다. 새로운 장비나 운영 시스템 버전에서는 이런 호환성 문제가 더 심각해진다.

나르도니는 "우리는 가능한 계속해서 모바일 장치들을 입수해 무엇이 바뀌었는지 확인을 한다. 그리고 고객에게  최신 장비를 도입하기 앞서 프로세스와 방식을 구입하려는 장비에 맞출 것을 충고한다"라고 말했다.

제약 회사인 사노피(Sanofi)의 모빌리티 공학 책임자인 브라이언 카츠는 BYOD를 허용하더라도 기업 환경에서 지원할 수 있는 장비를 선정하는 것이 중요하다고 강조했다.

카츠는 지난 주 뉴욕에서 열린 CITE 포럼에서 다음과 같이 말했다. "BYOD 전략은 필요 없다. BYOD 전략에 대해 말하는 사람은 무언가를 팔려고 하는 사람들이다. BYOD는 누가 장비를 소유했나이다. 신경을 써야 할 부분은 장비 소유주가 아니라 그걸 가지고 무엇을 할 지이다. 나는 관리형 BYOD를 적극 권장한다. '원하는 장비는 뭐든 가져와라!'라고 말해서는 안 된다. 장치에 내장된 통제 기술을 바탕으로 일정수준 접속을 관리해야 한다. 이를테면 우리는 LG 제품은 수용하지 않는는데, 우리가 관리할 수 있는 보안 기술을 채택하고 있지 않기 때문이다."

같은 행사에서, 산업 제어 및 자동화 기술 전문 기업인 페스토(Festo)의 IT 운영 담당 매니저인 스티브 다마데오 또한 이런 의견에 동의했다.

그는 "선택적으로 허용할 필요가 있다. 우리는 현재까지는 안드로이드 장비 일체를 허용하지 않고 있다. 일부 보안 관리 기능을 걱정하고 있기 때문이다"라고 말했다.

IT 팀이 도구에 익숙해지도록 조치
나르도니에 따르면, 새로운 보안 기능이 모바일 포렌직 조사자들에게 큰 골칫거리가 되는 경우가 종종 있다. 새로 출시된 장비나 운영 시스템은 디스크를 완전히 암호화 해, 조사 담당자들이 패스코드를 우회하지 못하도록 만든다. 또 장비를 이미지화하지 못하는 경우도 있다. 모바일 포렌직 도구 벤더들이 발전을 거듭하고 있지만 아직 PC 포렌직 도구의 정교함을 따라가지는 못한다.

최근 대부분의 모바일 포렌직 도구들은 기기에서 데이터((레지던트 이메일과 연락처 등)를 추출하는 작업을 지원한다. 그러나 삭제된 SMS 메시지, 실제 파일 및 폴더 등 물리적 추출은 어려운 경우가 많다. 물리적 추출이 가능한 툴이라도 특정 작업에만 특화되는 경향이 있다.

나르도니는 "범용 솔루션 역할을 하는 툴이 없다. 어떤 툴을 사용해야 철저하게 조사를 할 수 있는지 각별히 신경을 써야 한다. 이메일, 연락처, SMS, 인터넷 히스토리를 끄집어내는 툴이 각기 다를 수 있다"라고 설명했다.

이렇듯 도구과 기술이 다양하다. 나르도니는 보안 팀이 도구을 배치하기 앞서 이의 사용법을 터득하는 것이 중요하다고 강조했다.

그는 "CISO와 CIO, 보안 책임자가 팀원들과 이야기를 나눠야 한다. 그리고 여러 다양한 도구를 익히고, 모바일 장비에서 어떤 증거를 끄집어내야 하는지 토론을 해야 한다. 가능하면 특정 장비로 표준화를 해야 한다. 그리고 팀원들이 이들 장비를 조사할 수 있도록 툴과 훈련을 제공해야 한다. 더 중요한 부분이 있다. 법적 근거를 토대로 장비를 조사할 수 있도록 정책을 수립해야 한다는 것이다"라고 강조했다. ciokr@idg.co.kr