PE Notes · 보안
디지털 포렌식
휘발성 증거와 연계성을 지키는 포렌식의 유형·절차·아티팩트를 정리하고, 메모리부터 디스크까지 수집 순서를 한 표에 올립니다.
디지털 증거는 열기만 해도 시간이 바뀌고, 전원을 끄면 메모리 안의 키가 사라집니다. 법정에서 쓰려면 수집부터 제출까지 손이 닿은 자리를 남기고, 원본은 건드리지 않아야 합니다. 은 그 규칙을 과학과 절차로 묶은 작업입니다. 이 글은 유형, 수집 순서, 아티팩트를 같은 뼈대에 둡니다.
유형과 원칙
대상이 바뀌면 도구가 바뀝니다. 디스크는 삭제 복원, 메모리는 살아 있는 프로세스, 클라우드는 관할과 API 한계가 먼저 옵니다.
| 유형 | 대상 | 보는 것 |
|---|---|---|
| 디스크 | HDD, SSD, USB | 삭제 파일, 파일시스템, 타임라인 |
| 메모리 | RAM | 프로세스, 세션, 키, 인메모리 악성코드 |
| 네트워크 | 패킷·플로우 | 침입 경로, C&C |
| 모바일 | 스마트폰 | 통화·앱·위치 |
| 클라우드 | VM·SaaS | API 로그, 관할 |
| IoT | 센서·펌웨어 | 적은 저장, 펌웨어 분석 |
네 원칙은 짧습니다. 원본은 복사본에서만 분석하고, 원본에 손대는 사람은 역량이 있어야 하며, 제3자가 같은 결론에 이르게 기록하고, 담당자가 절차 전체를 집니다. 이 그 기록의 이름입니다.
절차와 휘발성 순서
NIST SP 800-86의 뼈대는 식별–수집–보전–분석–보고입니다. 수집은 RFC 3227의 를 따릅니다. 빨리 사라지는 것부터입니다.
| 단계 | 한 줄 |
|---|---|
| 식별 | 가치 있는 기기와 휘발 순서를 정한다. |
| 수집 | 메모리 덤프, 비트 단위 이미징, 쓰기 방지, 해시. |
| 보전 | 봉인, 라벨, 연계 문서, 접근 제한 보관. |
| 분석 | 타임라인, 아티팩트, 악성 경로, 삭제 복원. |
| 보고 | 재현 가능한 기술 보고와 증언 형태. |
| 먼저 | 이유 |
|---|---|
| CPU 레지스터·캐시 | 나노초 단위로 바뀐다. |
| RAM | 전원과 함께 사라진다. |
| 네트워크 상태·프로세스 | 재부팅하면 끊긴다. |
| 디스크 | 비교적 남는다. |
| 원격 로그·물리 구성 | 가장 늦게 건드려도 된다. |
해시(SHA-256)는 원본과 사본이 같음을 나중에 증명하는 손잡이입니다. 랜섬웨어 토픽이 암호 시작점을 찾는다면, 여기서는 그 시작점을 법정에 올릴 수 있는 사본으로 만드는 쪽입니다.
아티팩트
는 쓰면서 자동으로 남는 흔적입니다. Windows에서는 레지스트리와 MFT, 메모리에서는 소켓과 키가 자주 답이 됩니다.
| 아티팩트 | 가치 |
|---|---|
| 레지스트리 | 설치, 최근 파일, USB 연결 |
| 이벤트 로그 | 로그인, 서비스, 보안 이벤트 |
| Prefetch | 실행 프로그램과 시각 |
| MFT | 생성·수정·접근, 삭제 흔적 |
| 브라우저 기록 | URL, 검색, 내려받기 |
| 프로세스, C&C 소켓, TLS·디스크 암호 키 |
MACB는 수정(M)·접근(A)·메타 변경(C)·생성(B)입니다. 한 파일의 네 시각을 겹치면 침입 이후의 손길이 드러납니다. BPFdoor처럼 포트를 안 여는 백도어도, 패킷 소켓과 cmdline 불일치는 메모리·프로세스 아티팩트 쪽에 남습니다.
기술사 답안 포인트
기출 이력
제140회 정보관리기술사 1교시