수집·검사·분석·보고

로그를 시간순으로 정렬하면 진실도 순서대로 보일까

권한 원장에는 10:02:00에 회수했다고 적혀 있고 서비스에는 10:02:08에 요청을 받았다고 적혀 있다. 바로 “회수 뒤 새 요청을 허용했다”고 써도 될까? 두 시계가 다르거나 첫 값이 공표 시각이고 둘째 값이 이미 진행 중인 전송의 종료라면 같은 비교가 아니다.

이 절은 앞의 가상 문서 사건 자료를 수집·검사·분석하고, 관측한 사실과 추론·한계를 구분한 보고서를 완성한다. 모든 숫자·행·시각은 자체 교육용 모의 기록이다. 실제 사용자의 행위나 수사 결과로 읽지 않는다.

보존한 자료를 작업 사본에서 읽는다

디지털 포렌식과 연계보관성은 자료 취급의 근거와 조사 과정을 연결한다. 원 수집물과 작업 사본을 나누고 해시·출처·이전 기록을 보존했어도 그 내용의 의미는 별도로 분석해야 한다. 이번에는 확보한 범위와 시간·필드의 의미를 확인하여 질문에 답한다.

1. 확보·추출·해석·보고를 구별한다

포렌식 분석 흐름은 수집한 자료의 범위·동일성과 추출 과정을 확인하고, 여러 관측을 조사 질문과 연결하여 결론·대안·미확인을 보고하는 절차다. 수집은 승인한 자료를 확보하는 단계, 검사는 필요한 데이터를 찾고 추출하는 단계, 분석은 그 자료의 관계와 의미를 판단하는 단계, 보고는 방법·근거·결론·한계를 전달하는 단계다.[DF-C03]

검사 도구가 IP 주소와 시각을 표로 뽑았다는 사실과 특정 사람이 문서를 읽었다는 결론은 다르다. 필드가 무엇을 기록하며 어느 조건에서 빠질 수 있는지 확인해야 한다. 결론에 필요한 자료가 없으면 가능한 설명을 나누고 다음 확인을 제시한다. 익숙한 사건 유형에 맞추어 빈칸을 채우지 않는다.

질문에 맞는 수집 방식과 그 범위

비트스트림 이미지는 선택한 저장매체의 주소 범위에서 읽을 수 있는 비트열을 순서에 맞게 복제한 수집물이다. 논리적 수집은 파일시스템이나 서비스가 제공하는 인터페이스를 통해 선택한 파일·레코드 같은 논리적 객체를 확보하는 방식이다. 비트스트림 이미지는 선택한 범위의 비할당 영역 등을 포함할 수 있지만, 물리적으로 읽을 수 없는 영역·암호 해독·모든 시점의 상태까지 자동 확보하지는 않는다.[DF-C04]

원본에 쓰기를 막는 통제는 저장매체를 지원하는 검증된 장치·소프트웨어와 절차로 확인한다. 모든 원격 API나 메모리 수집에 같은 쓰기 방지 장치를 붙일 수 있는 것은 아니다. 실행 중 시스템을 수집하면 상태가 변할 수 있으므로 하나의 순간을 완벽하게 복제했다고 쓰지 말고 시작·종료·오류·변경 영향을 남긴다.[DF-C04]

2. 수집 범위와 실패를 먼저 기록한다

자체 수집안 DF-A1은 승인된 U7·D7 사건의 권한 원장 변경 이력, 요청 수신·응답 처리 기록, 시간 동기화 근거를 각각 내보낸다. 증거 ID E01은 권한 이력, E02는 서비스 기록, E03은 시각 보정 근거로 정한다. 대상 시스템·계정·조회 범위·필터·도구 버전·시작과 종료·오류·누락을 기록하고 사본의 크기·해시를 확인한다.

내보내기 파일이 생성됐어도 전체 기간이 포함됐는지는 별도로 확인한다. 조회 시작과 종료의 포함 규칙, 페이지 수와 마지막 페이지, 수집 중 기록 추가 여부, 보존 기한 이전 소실을 대조한다. 읽기 오류가 난 구간을 정상 데이터로 채우거나 자료가 없다는 사실을 사건이 없다는 결론으로 바꾸지 않는다.

전체 매체를 수집하지 않은 것은 항상 실패가 아니다. 승인된 질문을 풀기에 충분한 논리 수집을 선택할 수 있지만 그 선택과 제외 범위를 보고해야 한다. 반대로 작은 파일만으로 삭제 흔적이나 실행 중 상태까지 조사했다고 주장하면 범위를 넘는다. 필요한 추가 자료는 보존 요청과 승인 절차로 연결한다.

원자료에서 보고서의 문장까지

추출된 행마다 원 증거 ID와 원본 위치를 되찾을 수 있어야 한다. 보고서의 한 문장에서 관련 행·변환·원 수집물로 돌아가는 연결을 유지한다. 도구가 그린 시간선을 사진으로 붙이는 것만으로 이 연결이 완성되지는 않는다.

3. 추출·정규화에서도 원래 값을 잃지 않는다

검사는 파일 형식·인코딩·필드 의미를 확인하고 질문에 관련된 값을 찾는 단계다. 분석은 여러 출처의 관측을 연결하여 무엇을 설명할 수 있는지 판단한다. 같은 도구 화면에서 수행하더라도 두 활동의 근거는 구별한다.[DF-C03]

DF-A1에서는 원 시각 문자열·시간대·출처·요청 ID·계정 ID·문서와 버전·사건 종류·결과를 남긴다. 시간대 변환과 시계 오차 보정은 파생 열로 만들며 원 열을 덮어쓰지 않는다. 추출 도구·설정·변환 규칙을 기록하고 표본 행을 원문과 대조한다. 해석할 수 없는 행은 별도 오류 목록에 남긴다.

요청 ID는 서버가 부여하고 이 수집 범위에서 재사용되지 않는다고 명시적으로 가정한다. 같은 주소·계정만 보고 다른 요청을 합치지 않는다. 여러 저장소가 같은 원본 기록을 복제했다면 별개의 증거 세 개로 세지 말고 공통 출처를 드러낸다. 분석의 확신은 화면의 행 수가 아니라 연결의 타당성에 달려 있다.

4. 직접 계산: 시계가 빠른 정도도 불확실하다

DF-P1·DF-T1은 앞 보안 설계 사례 SE-G1의 U7·D7 버전 4·G1 식별자를 재사용하되 시각 가정을 별도로 둔 교육 사례다. 여기서는 G1 회수 확정을 10:02:00 UTC, 조사 구간을 같은 날 09:50~10:10 UTC로 둔다. 앞 사례의 10:12 회수와 같은 사건의 연속 시간선으로 합치지 않는다.

자체 시간선 DF-T1은 같은 날 UTC로 표시한다. 권한 원장의 회수 확정 시각은 기준 시계의 10:02:00이다. 서비스 시계는 같은 사건 구간에서 기준보다 5초 빠르고 그 추정 오차는 ±2초라고 E03이 뒷받침한다고 가정한다. 즉 빠른 정도는 3~7초이며 두 끝을 포함한다. 이는 교육 사례의 입력이지 임의 서버의 실제 오차값이 아니다.

±는 플러스마이너스로 읽고 이 예에서는 추정값의 아래·위 양쪽으로 같은 오차를 허용한다는 뜻이다. 5−2=3, 5+2=7이므로 빠른 정도를 [3,7]초로 줄여 쓸 수 있으며, 대괄호 안 두 값은 두 끝을 포함하는 최솟값과 최댓값이다. 기록값에서 더 큰 7초를 빼면 가능한 실제 시각의 최솟값, 더 작은 3초를 빼면 최댓값이 되어 구간의 순서가 바뀐다.

서비스의 실제 요청 수신 시각은 기록값에서 시계가 빠른 정도를 빼므로 10:02:08−7초부터 10:02:08−3초, 즉 10:02:01~10:02:05다. 이 구간 전체가 회수 확정 10:02:00 뒤에 있으므로 주어진 시각 근거와 필드 의미가 맞다는 조건에서 새 요청 수신이 회수 확정 뒤라고 판단할 수 있다. 응답 시각도 같은 방식으로 10:02:02~10:02:06이다.

단순히 응답 종료가 회수 뒤라고 해서 새 요청 수신도 회수 뒤라고 추론해서는 안 된다. 이미 허용된 전송이 계속됐을 수 있기 때문이다. 이 표에는 별도의 request 수신 사건 E02-1이 있고, R71로 응답과 연결한다. 실제 로그가 응답 시각만 가진다면 그 제한을 보고해야 한다.

조건을 바꾸어 서비스 시계가 10초 빠르고 오차가 ±3초라고 하면 요청 수신은 10:02:08−13초부터 10:02:08−7초, 즉 10:01:55~10:02:01이다. 회수 경계를 가로지르므로 이 자료만으로 요청이 회수 뒤라고 확정할 수 없다. 시각을 한 점으로 반올림하거나 유리한 끝점만 골라 결론을 유지하지 않는다.

5. 관측과 해석 사이에 필요한 확인

DF-T1의 제공 바이트는 이 가상 서비스가 응답 연결에 넘긴 본문 바이트 수를 기록한다고 정한다. 4096이라는 값은 그 범위의 제공 기록이지 사람이 문서를 모두 읽고 이해했다는 증거가 아니다. U7은 인증 계정의 식별자이며 탈취·공유·대리 사용 가능성을 조사하지 않고 자연인 한 명을 확정하지 않는다.

E01-1의 원장 확정과 서비스의 실제 조회·정책 적용은 다를 수 있다. 새 요청이 회수 뒤였다는 시간관계를 확인해도 원장 복제 지연, 옛 권한 캐시, 다른 제공 경로 중 어느 것이 원인인지는 별도 증거가 필요하다. R71이 읽은 원장 버전과 적용 정책, 실제 전송 자료의 버전·해시·크기와 로그 수집의 완전성을 추가 확인한다.

확인되지 않은 원인을 하나로 단정하는 대신 가능한 설명과 구별할 자료를 표로 적는다. 같은 주소에서 문서를 받았다는 사실만으로 내부 직원의 악의나 외부 공격을 결정하지 않는다. 증거가 모자라는 상태는 무혐의·침해 확정 중 하나로 억지 분류하지 않는다.

실제 보고서 DF-R1

보고서는 질문·승인 범위, 자료 목록·해시·취급 이력, 수집·추출·변환 방법, 관측 결과, 해석과 대안, 한계·다음 확인을 연결한다. 독자가 결론의 근거를 재검토할 수 있게 하며 기술 상세와 의사결정 요약의 수준을 맞춘다.[DF-C03]

분석가와 검토자는 보고서의 수치·원본 위치·시계 가정을 각각 대조한다. 새 자료로 원인이 바뀌면 보고서 버전을 올리고 무엇이 달라졌는지 남긴다. 기존 보고서를 조용히 덮어써 과거 결론이 처음부터 달랐던 것처럼 만들지 않는다. 민감자료는 승인된 수신자에게 필요한 범위로만 전달한다.

도구의 출력과 불완전한 자료를 다루는 법

파서가 행을 건너뛰거나 시간대 없는 값을 임의 지역 시각으로 읽으면 그 뒤의 시간선도 틀릴 수 있다. 알려진 작은 시험 자료로 도구·설정을 확인하고 중요한 행은 원 기록과 대조한다. 전체 자료가 읽혔다고 확인하지 못하면 자동 분석의 범위도 제한한다.

삭제 파일을 찾지 못한 결과는 삭제가 없었다는 뜻이 아니며, 암호화된 내용을 확보한 것과 읽을 수 있게 복호화한 것은 다르다. 보존 범위 밖의 사건이나 미기록 행을 0으로 채우지 않는다. 사본 해시 불일치·대상 오류·원본 손상 우려가 있으면 작업을 멈추고 보호된 자료와 수집 기록부터 확인한다.

공식 범위를 보조하는 이 절의 역할

이 절은 승인 자료의 수집·추출·시각 대조와 제한된 결론·보고를 담당한다. 대상은 문서 사건의 원장·서비스·시각 근거이고, 경계는 수집 범위·사건 의미·관측과 추론의 구별이다. 시간 구간 중첩·파싱 누락·자료 불완전·행위자 미확정에서 추가 확인과 한계 표시로 판단한다. 전체 사건 복원, 모든 장치의 획득 성공·법적 귀속은 제외한다.

6. 자체 10점 문제

DF-T1의 두 시계 오차 조건에서 새 요청 수신 시각의 범위를 계산하고, 회수 이후라는 판단과 4096바이트·U7 기록의 해석 한계를 설명하라.

시간을 보정할 때 어느 방향으로 빼는지, 구간 전체가 기준을 넘는지부터 확인한다. 자체 교육 문제이며 실제 기출이나 법적 판단이 아니다.

풀이를 열기 전에 기록값−최대 오차와 기록값−최소 오차를 각각 계산하고 양 끝을 시간순으로 적는다. 새 요청 수신과 응답 종료를 구별한 뒤 4096바이트와 자연인의 열람을 같은 주장으로 써도 되는지 판단한다.

요청 기록 10:02:08 − [3,7]초 → [10:02:01,10:02:05]
변경 조건             − [7,13]초 → [10:01:55,10:02:01]
기준 회수 10:02:00: 첫 구간은 이후 / 둘째 구간은 경계 중첩

7. 자체 25점 문제

DF-A1과 DF-R1에 따라 문서 사건의 수집·검사·분석·보고안을 작성하라. 수집 선택과 범위, 원자료·파생물, 시간과 요청 대조, 결론·대안·검토와 추가 확인을 포함하라.

도구 이름이나 시간 정렬 화면이 아니라, 보고서의 결론에서 원 증거로 되돌아갈 수 있는 연결을 설계한다.

보고서의 결론 한 문장에서 E01/E02/E03의 행과 변환 규칙으로 되돌아가는 경로를 써 본다. 시각 구간이 기준을 가로지를 때는 원인을 하나로 단정하지 않고 어떤 추가 기록이 필요한지 적는다.

8. 자기교정

조건 변경

시계가 정확히 8초 빠르다면? 요청은 10:02:00으로 회수와 같은 표시 시각이다. 기록 정밀도와 원장 확정·인가 순서의 추가 근거 없이 이후라고 단정하지 않는다. 시간 구간의 비교 대상을 유지한다.

응답 행만 남고 요청 수신 행이 없다면? 이미 진행 중인 요청이었을 가능성을 배제할 수 없다. 응답 시각으로 신규 요청을 만들어 내지 않는다. 사건 의미를 확인한다.

원장 버전 8을 조회했다는 새 증거를 찾으면? 버전 9 회수와의 차이는 원인 조사에 유용하지만 캐시·복제·다른 경로 중 무엇인지 여전히 대조한다. 대안과 추가 자료를 갱신한다.

독립 확인: 오차가 아니라 기록의 의미가 바뀌면

R71의 10:02:08 필드가 새 요청 수신이 아니라 응답 종료임을 뒤늦게 확인했다. 시계 근거는 여전히 5초 빠름±2초다. 이 값의 가능한 실제 시각과 “회수 뒤 새 요청” 결론의 유효성을 따로 답한다.

기초 방법론의 범위는 NIST SP 800-86 공식 페이지를 2026-10-05에 대조했다. 이 자체 시간 오차·필드·판정은 그 문서의 고정 수치가 아니다.

근거와 한계

DF-C03은 NIST SP 800-86(2006-08) §§3.2~3.4의 검사·분석·보고와 대안·독자·후속 확인을 사용한다. DF-C04는 같은 자료 §§4.2.1~4.2.3의 파일 수집·이미지·동일성 및 실행 중 수집의 범위를 독립적으로 설명한다. 오래된 도구 목록·모든 장치 지원을 현행 권고로 가져오지 않는다. 관찰일 2026-09-19는 발행일·법적 효력일이 아니다.

DF-A1·DF-T1·DF-R1의 시계·필드 의미·권한은 명시한 교육 가정이다. 원문 도식을 복사하지 않았고 실제 사건 귀속·법정 증거능력·사람에 의한 독립 승인으로 사용하지 않는다.

회독의 핵심

수집한 범위와 추출·해석을 나눈다. 원래 값을 보존하고 시각·요청·사건 의미를 함께 대조하며, 불확실한 구간은 그대로 계산한다. 관측과 추론·대안·미확인을 보고서에서 구별한다. 다음 절은 같은 원리를 메모리·네트워크·모바일·클라우드의 서로 다른 제약에 적용한다.