Notion 클라우드 서비스에서 실시간 안티포렌식 탐지 (Real-Time Detection of Anti-Forensic Activities in Notion Cloud Services)

클라우드가 압수대상이 됨에 따라 디지털포렌식이 전환점을 맞이하고 있다. 원격 및 멀티 접속이 허용되는 클라우드 환 경은 압수수색 중 실시간 안티포렌식이 이루어질 수 있어 취약하다. 클라우드 수색 범위, 압수 대상 등 법적 쟁점이나 서 버에서 데이터 복구 등에 방점을 두고 있고, 안티포렌식 대응 연구는 미흡하다. 따라서 본 연구는 Notion을 대상으로 증거 인멸 행위 시나리오를 설계하고, 로컬 아티팩트를 기반으로 재구성한 API통신과 Notion.db 연계 분석을 통해 실시간 안티 포렌식 행위를 입증하는 방법을 제시하였다. Notion 안티포렌식 행위는 데이터 삭제 및 조작, 동기화를 통한 위 · 변조, 멀 티테넌트 환경을 활용한 원본 훼손으로 분류하였고, 시나리오를 기반으로 실시간으로 증거인멸 행위를 입증할 수 있는 기 술적 방법을 제시하였다. 나아가, 원격지에서 행위하는 공범, 다중접속, 비식별 매체 사용 등도 확인하였다. 본 연구가 실 시간 증거 훼손을 신속하게 방지하고, 향후 데이터 동결 조치를 구현하는 방안이 제시되는 등의 클라우드포렌식 대응체계 의 발전에 기여하길 기대한다.

The increasing prevalence of cloud services as targets for digital evidence seizure marks a critical turning point in the field of digital forensics. Cloud environments, which permit remote and multi-user access, are particularly vulnerable to real-time anti-forensic activities during search and seizure operations. While existing studies have primarily focused on legal issues—such as the scope of cloud warrants and the admissibility of server-recovered data—there remains a significant research gap in detecting and countering anti-forensic behaviors in real time. To address this gap, this study investigates anti-forensic activity within Notion, a widely used cloud-based collaboration platform. We develop evidence destruction scenarios and propose a technical methodology to verify such activities in real time. Our approach involves reconstructing API communications from local system artifacts and correlating them with the internal database structure(Notion.db). Identified anti-forensic behaviors are categorized into three types: (1) data deletion and manipulation, (2) tampering through synchronization processes, and (3) original content destruction via exploitation of the multi-tenant architecture. Additionally, the study examines scenarios involving co-conspirators acting from remote locations, simultaneous multi-user access, and the use of anonymized or non-traceable devices. This research contributes to the advancement of cloud forensics by demonstrating a practical method for the detection of real-time evidence tampering and outlining directions for implementing data freezing and forensic readiness mechanisms in collaborative cloud platforms.