포렌식 준비·식별·보존·연계보관성

해시가 같은 파일을 받았으니 사건도 입증된 것일까

앞 장의 문서 공유 서비스에서 권한 회수 뒤에도 보고서를 받았다는 신고가 들어왔다. 담당자는 로그 파일을 메신저로 받아 열어 보고, 보기 편하게 시간을 고쳐 저장했다. 다음 날 원래 파일과 다른 이유를 설명할 수 없었다. 파일의 내용뿐 아니라 어디에서 언제 어떤 방법으로 얻었고 누가 무엇을 바꿨는지를 남겨야 다시 검토할 수 있다.

이 장은 같은 가상 신고를 세 절에 걸쳐 조사한다. 첫 절은 준비·식별·보존, 둘째는 수집·검사·분석·보고, 셋째는 환경에 따른 선택을 다룬다. 모든 사건·기록·계산·답안은 자체 교육 자료이며 실제 사고나 수사 권한을 뜻하지 않는다.

기록의 존재와 주장을 뒷받침하는 증거를 나누기

통제 증적은 정한 시점과 범위의 수행·결과를 보여 주는 기록과 관찰결과다. 설치 화면 하나가 계속된 작동을 증명하지 못하듯 로그 한 파일도 사건 전체를 자동으로 증명하지 않는다. 여기서는 그 자료의 출처·변경·취급을 추적하여 다른 사람이 같은 판단을 검토하게 한다.

1. 증거를 남기면서 질문에 답하는 과정

디지털 포렌식은 디지털 자료를 식별·보존·수집·검사·분석·보고하여 조사 질문에 대한 근거와 한계를 설명하는 활동이다. 연계보관성은 증거물의 식별, 보관·이전·접근·처리 이력을 연결하여 누가 언제 어떤 상태로 취급했는지 추적하고 설명할 수 있는 성질이다. 이 절의 디지털 포렌식과 연계보관성은 자료의 취급 이력을 유지하면서 조사와 재검토가 가능하도록 준비하는 범위다.[DF-C01]

NIST SP 800-86은 IT 사고 대응의 포렌식을 수집·검사·분석·보고로 설명한다. 준비와 보존은 이 과정의 앞과 중간에 계속 필요하다. 검사에서는 필요한 데이터를 찾아 추출하고, 분석에서는 다른 근거와 연결하여 질문에 답한다. 파일을 확보한 것과 사건의 의미를 입증한 것을 같은 완료 상태로 세지 않는다.[DF-C01]

기술적 동일성, 자료의 출처와 취급, 수집 권한, 내용 해석은 서로 다른 검토다. 이 교재는 내부 조사에 대한 기술적 준비를 설명할 뿐 특정 자료의 법정 증거능력이나 법적 수집 권한을 확정하지 않는다. 실제 대상·기간·자료 범위의 승인은 해당 조직과 관할에 맞게 별도로 확인해야 한다.

원래 자료와 분석 결과를 분리한다

그림은 자체 작업 구조다. 살아 있는 시스템의 상태가 계속 변할 수 있으므로 수집 시작·종료와 방법을 기록한다. 보존 사본은 승인된 접근으로 제한하고 분석은 별도 작업 사본에서 수행한다. 복사본이라는 이름만으로 보호가 되는 것은 아니므로 접근 기록·저장 위치·변경 탐지·복구 가능성을 함께 관리한다.

2. 사고 전에 준비할 것과 사고 뒤에 정할 것

포렌식 준비성은 필요한 디지털 자료를 적절한 권한·기록·절차로 확보하고 조사에 활용할 수 있도록 미리 갖춘 상태다. 준비 단계에는 책임자·승인 절차, 자료의 위치와 보존기간, 시간 기준, 수집 도구·저장 공간·접근 권한과 외부 제공자 협력 경로가 포함된다. 사고 뒤에 처음 로그 수집을 켜도 이미 기록되지 않은 과거를 복원했다고 할 수는 없다.[DF-C02]

DF-P1·DF-T1은 앞 보안 설계 사례 SE-G1의 U7·D7 버전 4·G1 식별자를 재사용하되 시각 가정을 별도로 둔 교육 사례다. 여기서는 G1 회수 확정을 10:02:00 UTC, 조사 구간을 같은 날 09:50~10:10 UTC로 둔다. 앞 사례의 10:12 회수와 같은 사건의 연속 시간선으로 합치지 않는다.

가상 조사 DF-P1에서는 “문서 D7 버전 4에 대해 권한 G1의 회수 확정 이후 새 요청이 있었고, 서버가 무엇을 제공했는가”를 묻는다. 운영 책임자는 시험용 계정 U7·D7·09:50~10:10 UTC의 서버 기록과 관련 권한 변경 이력에 대한 조사 범위를 승인했다고 가정한다. 다른 고객 문서와 개인 단말 전체는 범위에 포함하지 않는다. 새로운 대상이 필요하면 먼저 근거와 확대 승인을 기록한다.

수집 담당은 API 접속 기록, 권한 원장의 회수 버전, 문서 제공 결과, 시간 동기화 상태와 보존 기한을 목록으로 만든다. 보존 담당은 원 수집물과 작업 사본의 분리·접근 이력을 관리하고, 분석 담당은 요청 ID를 기준으로 관련 기록을 대조한다. 검토자는 결론이 실제 확보 범위를 넘는지 확인한다. 이 역할 구분은 실제로 독립 검토가 수행됐다는 증거가 아니라 필요한 책임의 설계다.

소실되기 쉬운 것부터라는 말에도 조건이 있다

자료의 휘발성은 전원·시간·프로세스 종료·덮어쓰기 등의 변화로 그 자료가 사라지거나 달라지기 쉬운 성질이다. NIST SP 800-86은 수집 우선순위를 자료의 예상 가치, 휘발성, 확보에 필요한 노력과 함께 판단하도록 설명한다. 증거 확보와 진행 중 피해 제한이 충돌하면 사고 대응 책임자와 영향을 판단하며 모든 경우에 전원을 끄거나 그대로 두라는 하나의 규칙으로 대신하지 않는다.[DF-C02]

메모리가 휘발성이라는 이유만으로 권한 없는 단말을 수집하거나 핵심 업무를 멈추지 않는다. 반대로 서버가 계속 켜져 있다고 로그가 보존되는 것도 아니다. 담당자는 수집·보존에 따른 시스템 변경, 생략한 자료와 결정 이유를 남긴다.

3. 해시는 어느 바이트를 비교했는지와 함께 읽는다

암호 기본도구의 해시는 입력 바이트의 요약값이다. 이 장에서는 검토된 해시 알고리즘으로 원 수집물과 사본의 같은 범위를 비교하고 알고리즘·대상·크기·값을 함께 기록한다. 해시 일치는 비교 대상의 동일성을 뒷받침하지만, 원 시스템에서 올바른 범위를 수집했는지와 누가 만들었는지·내용이 사실인지까지 증명하지 않는다.[DF-C01]

자체 예제 DF-H1의 A는 줄바꿈 없는 UTF-8 문자열 abc의 3바이트다. B는 그 바이트를 그대로 복사한 사본이며 C는 같은 세 글자 뒤에 줄바꿈 LF 1바이트를 추가한 파일이다. 검토된 구현으로 SHA-256을 계산하면 A와 B는 같고 C는 다르다. 여기서 SHA-256은 이 예제에 선택한 해시 알고리즘 이름이며 직접 구현하는 과제가 아니다.

눈에 같은 글자로 보인다고 파일이 같은 것은 아니다. 시간을 UTC로 바꾼 CSV, 줄바꿈을 바꾼 텍스트, 압축을 푼 결과는 원 수집물과 별도 파생물로 식별한다. 바꾼 과정·도구·입력 해시·출력 해시를 연결하고 원 수집물을 덮어쓰지 않는다. 해시와 파일을 공격자가 함께 바꿀 수 있는 위치에만 두지 말고 접근과 변경 기록을 보호한다.

4. 직접 판정: 같은 해시와 끊긴 취급 이력

자체 원장 DF-C1은 수집물 E01을 취급한 모의 기록이다. 모든 시각은 같은 날 UTC다. H1은 교육 표에서 실제 해시값을 대신하는 식별 기호이며 암호학적 출력값 자체가 아니다. 보존 담당은 E01의 최초 수집 기록과 보호된 해시 기록을 따로 확보했다고 가정한다.

11:00의 해시 일치는 사본의 비교 바이트가 바뀌지 않았다는 근거지만 누락된 B→C 인계 기록을 대신하지 않는다. 분석 담당은 누가 언제 어떤 경로로 전달했는지 미확인으로 기록하고 저장소 접근 기록·당사자 확인 등 보조 근거를 조사한다. 과거 인계를 실제로 확인하지 않은 채 날짜를 소급하여 서명하지 않는다.

이미 확보한 보존 사본은 그대로 보호하고 문제 있는 사본의 취급 범위를 구분한다. 뒤에 새 확인서를 만들면 실제 작성 시각, 확인한 사실과 근거, 여전히 모르는 구간을 구별한다. 새 문서가 누락 당시의 직접 관측으로 변하는 것은 아니다. 이 사례만으로 자료 전체의 법적 사용 가능·불가능을 자동 판정하지 않는다.

5. 실제 준비·보존 산출물 DF-P1

조사 책임자는 질문·대상·기간·허용 방법과 제외 범위, 피해 제한 시 연락 경로를 승인한다. 수집 담당은 자료별 시스템·계정·시간 기준·보존기한·수집 방식과 도구 버전을 적고, 수집 시작·종료·오류·누락을 기록한다. 보존 담당은 고유 증거 ID, 원 수집물·보존 사본·작업 사본의 관계, 크기·해시, 보관 위치와 접근·이전 이력을 묶는다. 분석 담당은 파생물을 별도 ID로 만들고 검토자는 근거·결론·한계를 대조한다.

DF-P1은 보호된 저장소와 최소 접근 권한을 선택한다. 메신저로 전달하며 담당자가 임의로 정리한 파일만 남기는 대안은 취급·변경 근거를 잃기 쉬워 기각한다. 모든 시스템을 즉시 종료하는 대안도 휘발성 소실과 업무 영향을 평가하지 않았으므로 기각한다. 실제 위험이 계속되는 상황에서는 제한적 격리·보존과 업무 복구의 순서를 책임자가 조정하고 이유를 남긴다.

연습에서는 A→B 인계, 작업 사본 생성, B→C 인계의 누락·중복·다른 ID, 사본 변조·저장소 접근 실패를 시험한다. 대상 불일치, 권한 불명확, 예상 밖 실제 민감정보 노출이 있으면 해당 수집·분석을 중단하고 책임자에게 확인한다. 보존이 실패했는데 완료로 세거나 읽지 못한 자료를 사건 0건으로 채우지 않는다. 보존 기한 종료나 법적 보존 요청에 따른 처리는 별도의 승인된 정책을 따른다.

성급한 정리가 오히려 근거를 없앤다

원 수집물의 시간·인코딩을 바꾸면 이후 분석의 편의와 원본의 보존이 섞인다. 수집 도중 변경된 데이터의 처음·끝 범위를 밝히지 않으면 나중에 없는 행을 공격자가 지웠다고 단정하기 쉽다. 사고 대응 조치가 기록을 바꿨다면 조치 이력을 분석에 포함한다.

같은 계정·주소가 보인다는 이유로 행위자를 자연인 한 명으로 확정하거나, 해시가 같다는 이유로 수집 권한·연계보관성 검토를 생략하지 않는다. “무엇을 확보했고 무엇을 아직 확인하지 못했는가”를 분리하는 것이 실패를 숨기는 것보다 다음 조사에 도움이 된다.

공식 디지털 포렌식 범위에서의 역할

이 절은 질문·권한·자료 위치를 정하고 동일성과 취급 이력을 유지하는 준비·보존을 담당한다. 수집·검사·분석·보고의 전체 연결을 제시하며 뒤 두 절은 구체 방법과 환경을 보조한다. 대상은 승인된 문서 사건의 수집물과 사본·원장이고, 경계는 바이트 동일성·취급·권한·해석의 구별이다. 누락 인계·변조·소실 위험·수집 실패에서 기록과 보류·재확인으로 판단한다. 모든 장치의 획득 성공, 실제 사건 귀속이나 법적 증거능력 승인은 제외한다.

6. 자체 10점 문제

DF-H1의 세 파일과 DF-C1의 인계 기록을 이용하여 해시 일치가 확인하는 것과 확인하지 못하는 것을 설명하고, 누락 인계의 처리 방법을 제시하라.

파일의 눈에 보이는 글자, 비교 바이트와 취급 사실을 나누는 문제다. 아래는 자체 교육 답안이며 공식 기출·채점표가 아니다.

먼저 A·B·C의 실제 바이트와 크기를 쓰고 H1의 동일성 근거와 B→C 취급 이력 근거를 다른 칸에 놓는다. 누락을 해결하려고 과거 날짜의 서명을 새로 만드는 답은 제외하고 확인 가능한 다음 자료를 적는다.

A=abc 3바이트 → B 동일 / C=abc+LF 4바이트 → 다름
해시 일치 → 비교 동일성 근거
B→C 인계 누락 → 취급 미확인 → 보존·보조 근거 조사

7. 자체 25점 문제

권한 회수 뒤 문서가 제공됐다는 신고에 DF-P1의 조사 준비·보존 체계를 설계하라. 질문·권한·소실 우선순위, 사본·취급 이력, 역할·실패·미확인 처리와 제외 범위를 포함하라.

수집 도구를 나열하기보다 어떤 자료를 왜 먼저 보호하며 어떤 근거로 다음 단계에 넘기는지 실제로 결정한다.

DF-P1의 승인 질문·범위를 먼저 복원한다. 순환 로그와 종료 예정 메모리 중 어느 쪽을 우선할지는 자료의 예상 가치·소실·업무 영향을 함께 사용하여 이유를 쓴다.

8. 자기교정

조건을 바꿔 적용하기

B→C 양쪽 확인 기록을 새로 찾으면? 출처·시각·대상 ID를 대조하여 누락 판단을 갱신한다. 기록 하나를 찾았다는 이유로 내용의 진실성과 법적 적합성까지 완료로 바꾸지 않는다. 취급 이력을 다시 읽는다.

로그가 10분 뒤 덮어써지는데 메모리는 관련성이 낮다면? 휘발성의 이름만 보고 메모리를 자동으로 우선시하지 않는다. 승인된 질문에 중요한 로그를 보호하고 선택 이유를 남긴다. 우선순위의 세 기준을 적용한다.

C의 줄바꿈을 제거해 A와 같게 만들면? 새 파생물이지 C가 처음부터 A와 같았다는 증거가 아니다. C를 보존하고 변환 이력을 연결한다. 비교 범위를 확인한다.

닫힌 답안으로 확인할 세 주장

같은 H1을 받은 분석가 C가 “A가 적법하게 수집했고 B가 직접 나에게 전달했으며 파일 내용도 사실”이라고 말했다고 하자. 확인된 바이트 동일성과 아직 필요한 수집 범위·권한, 전달 경로, 내용 해석의 근거를 구분해서 고친다. 해시 한 종류를 더 계산해도 과거 인계 행위가 새로 관측되지는 않는다. 기록을 찾았을 때만 그 출처와 대상 ID를 대조하여 미확인 판단을 갱신한다.

2026-10-05에는 NIST SP 800-86 공식 발행 페이지의 2006년 8월 발행과 IT 사고 대응 관점을 다시 확인했다. 현재 장치·도구의 지원이나 개별 사건의 법적 적합성을 확인한 것으로 넓히지 않는다.

근거와 한계

DF-C01·02는 NIST SP 800-86(2006-08), §§3.1~3.4와 §3.1.2의 취급·동일성, §3.1.3의 사고 대응 고려사항에 근거한다. 인쇄 3-1·3-4쪽의 도식과 본문을 대조했지만 원문 그림을 복제하지 않았다. 지정한 기초 방법론에 한정하며 오래된 도구 목록을 현행 제품 추천으로 사용하지 않는다. 출처 관찰일은 2026-09-19이고 발행일·효력일과 구별한다.

DF-P1·DF-H1·DF-C1과 표·도식·답안은 자체 작성이다. 수집 권한과 개인정보·보존 의무는 실제 관할·조직의 별도 확인이 필요하며 기술 검사를 법적 승인이나 사람에 의한 독립 검수로 표시하지 않는다.

회독의 핵심

질문·권한·자료 위치·소실 위험부터 정한다. 같은 바이트라는 근거와 누가 어떻게 취급했다는 근거는 서로 보완하지만 대신하지 않는다. 원 수집물과 작업·파생물을 분리하고 미확인을 기록한다. 다음 절은 그렇게 확보한 자료를 어떻게 검사·분석하여 제한된 결론으로 보고하는지 다룬다.

조건을 바꾸어 연습하기: 비교한 바이트와 확인한 취급 구간을 명시한다.

아래 자료와 시각은 별도의 교육용 가정이다. 수집 대상과 방법은 DF-P1의 승인 범위 안이고, 수집·보존은 진행 중 피해를 악화시키지 않는다고 가정한다. 이 문제의 수치만으로 실제 수집 성공이나 법적 사용 가능성을 확정하지 않는다.

1. DF-B. 원 수집물 E02는 UTF-8의 A, CR, LF, B, CR, LF 순서이며 다른 바이트는 없다. 작업 사본 W2는 그대로 복사했고 파생물 N2는 W2의 CRLF를 LF로 바꿨다. 각 바이트 수와 같아야 하는 SHA-256의 쌍을 구하라. N2가 화면에 같은 두 줄로 보이므로 원 E02를 N2로 교체해도 되는가? 변환을 다시 검토할 수 있게 어떤 관계를 남겨야 하는가?
2. DF-P. 승인된 관련 서버 로그의 필요한 부분이 10:06:00부터 덮어써진다고 가정한다. 보존 담당은 10:03:00에 수집을 시작하며 수집에 2분, 무결성 확인과 보존 등록에 30초가 걸린다고 계획했다. 이 연습의 완료 조건은 필요한 구간을 확보하고 확인·등록까지 덮어쓰기 시작 전에 끝내는 것이다. 계획 완료 시각과 여유 시간을 구하라. 시작이 1분 늦어지면 같은 계획으로 조건을 충족하는가? 메모리가 더 휘발성이라는 이유만으로 범위 밖의 개인 단말을 먼저 확보해도 되는가?
3. DF-C2. E01의 해시·크기가 보호된 최초 기록과 일치하고 A→B 인계는 E01과 양쪽 확인을 포함한다. C가 받은 사본도 H1이 일치하지만 발견한 B→C 인계 문서의 대상 ID는 E03이다. 여기서는 대상 ID·전달 주체·시각·양쪽 확인이 연결된 구간만 인계 확인 완료로 센다. E01의 두 인계 구간 중 몇 개를 완료로 기록하는가? C가 12:00에 “11:00에 E01을 받았다”는 확인서를 새로 작성하면 무엇을 추가 확인하고 어떤 시각을 남겨야 하는가? 사건 내용이 사실이라는 결론도 함께 확정되는가?