07 · CHAPTER 01 · FORENSICS & RESPONSE
흔적을 건드리기
전에
디지털 증거의 무결성과 수집 우선순위를 이해하고 조사 기록을 시작합니다.
실습 범위 안내 이 장의 확인 과정은 본인이 소유하거나 명시적으로 허가받은 교육·실습 환경에서만 수행합니다. 운영 시스템과 제3자의 장비에는 적용하지 않습니다.
FORENSICS & RESPONSE STUDY NOTE흔적을 건드리기 전에Evidence · Integrity · Hash · Chain of Custody
01
현장에 들어간 발자국도 흔적이 된다
핵심 용어
Evidence Integrity Hash Chain of Custody
조사자가 파일을 열고 명령을 실행하는 행동도 시스템 상태를 바꿀 수 있습니다.
증거 수집 전 사건 시각, 장비 상태, 담당자와 수행 명령을 기록합니다.
해시 값은 수집본이 이후 바뀌지 않았는지 확인하는 기준이며 원본은 읽기 전용으로 보존하고 분석본을 사용합니다.
02
증거 관리의 기본
핵심 개념
Identify Preserve Collect Hash Document
파일뿐 아니라 수집 과정과 보관 기록도 증거의 일부입니다.
Identify대상과 범위 식별
Preserve원본 변경 방지
Collect휘발성 순서를 고려한 수집
Hash무결성 확인
Document인계와 분석 과정 기록
03
수집 파일 기록
관련 명령어
date -Is stat evidence.img sha256sum evidence.img file evidence.img 승인된 실습 증거 파일의 크기, 시각, 해시를 남깁니다.
$ date -Is
$ stat evidence.img
$ sha256sum evidence.img
$ file evidence.img
04
휘발성 자료를 먼저 생각하기
보안 관점
위험 요소 확인 기준 대응 원칙
메모리와 네트워크 연결, 실행 프로세스는 전원을 끄면 사라질 수 있습니다.
다만 현장 대응 절차와 권한 없이 임의로 수집 도구를 실행하면 증거를 훼손할 수 있으므로 조직의 지침을 따릅니다.
원본은 보존하고 분석은 복제본에서 한다는 원칙을 끝까지 유지하자.
CHAPTER REVIEW
이번 장에서 기억할 한 문장
포렌식의 첫 행동은 많이 수집하는 것이 아니라 무엇을 언제 누가 어떻게 다뤘는지 남기는 것이다.