메모리·네트워크·모바일·클라우드 포렌식

서버가 사라진 뒤에는 디스크 이미지부터 만들 수 없다

가상 문서 사건을 조사하려는데 클라우드 작업자가 자동 종료됐다. 중앙 로그는 일부 남았지만 당시 메모리는 없다. 감사자의 휴대전화는 화면 잠금 상태이고, 네트워크에는 암호화된 연결의 메타데이터만 있다. “모든 장치에서 같은 도구로 전체 복사”라는 계획은 여기서 작동하지 않는다.

이 절은 어떤 환경에서 무엇을 볼 수 있고 무엇이 없어질 수 있는지 구별한다. 같은 보존·취급 원리를 적용하되 권한·자료 접근·휘발성·제공자 협력을 반영한 수집 결정을 한다. 사례는 자체 교육 자료이며 실제 장치 잠금 해제나 무단 수집의 실행 절차가 아니다.

같은 원칙과 달라지는 방법

포렌식과 연계보관성은 질문·권한·자료 취급을 연결한다. 수집 방법이 달라도 원 수집물·파생물·접근 이력과 한계는 남겨야 한다. 이제 환경별로 실제 확보 가능한 자료와 다음 확인을 정한다.

1. 환경에 맞춰 같은 질문을 풀기

환경별 포렌식 수집 판단은 자료가 존재하는 위치·접근 권한·소실 조건·수집 영향을 대조하여 확보 방법과 보존·분석의 한계를 정하는 판단이다. 장치 이름이 다르다고 별개의 증거 원칙이 생기는 것은 아니지만, 접근할 수 없는 범위와 수집의 부작용은 달라진다.

문서 사건의 공통 질문은 회수 이후 새 요청과 제공 여부다. 이를 확인할 수 있는 원장·서비스·시각 기록을 먼저 찾고, 추가 메모리나 단말 자료가 질문을 어떻게 보완하는지 설명한다. “모바일이라서 전부 수집”, “클라우드라서 공급자가 다 알아서 보존”처럼 환경 이름으로 권한과 범위를 대신하지 않는다.

2. 메모리와 네트워크: 있는 자료와 보이는 범위

실행 중 메모리에는 프로세스·연결·일시적 처리 상태 같은 휘발성 자료가 있을 수 있다. 전원이나 프로세스가 종료되면 확보 가능성이 달라지고 수집 프로그램 실행 자체도 상태를 바꾼다. NIST SP 800-86의 운영체제·네트워크 자료 설명은 휘발성·수집 영향과 여러 출처의 상호 대조를 강조한다. 과거 도구나 운영체제별 명령을 최신 장치의 보장된 방법으로 가져오지 않는다.[DF-C05]

가상 작업자 W7이 10분 뒤 자동 종료되고 사건 관련 임시 상태를 보유할 가능성이 있다면, 담당자는 권한·관련성·수집 영향과 피해 제한을 확인해 보존·수집 여부를 즉시 결정한다. 종료 시간을 바꾸는 조치도 운영 변경으로 기록한다. 이미 종료한 뒤 다른 작업자의 메모리를 수집하여 W7의 과거 상태라고 부르지 않는다.

네트워크 자료는 관측 위치·방향·필터·기간·손실·암호화에 따라 보이는 범위가 달라진다. 연결 메타데이터는 통신 주체·양·시각의 단서가 될 수 있지만 암호화된 본문이나 사람의 의도까지 보여 주지 않는다. 같은 주소가 여러 사용자에게 공유되거나 주소 변환이 있으면 주소 하나로 자연인을 특정할 수 없다.[DF-C05]

캡처가 없던 과거 구간의 전체 패킷을 나중에 새로 수집했다고 하지 않는다. 기존 서버·게이트웨이·제공자 기록을 보완하되 그 기록의 필드 의미와 소실·시각 오차를 남긴다. 누락된 캡처와 사건이 없는 구간은 다르다.

모바일: 상태를 먼저 기록하고 일괄 처방을 피한다

NIST SP 800-101 Rev.1은 모바일 기기의 상태·화면·전원과 통신을 문서화하고, 외부 통신으로 인한 변경과 격리·전원 유지의 영향을 고려하도록 설명한다. 차폐 장치도 항상 통신을 완전히 막는다고 가정하지 말고 효과를 확인해야 한다. 이 2014년 자료는 보존 판단의 근거이며 현재 모든 기기의 잠금·암호화·추출 지원을 보장하지 않는다.[DF-C06]

DF-M1은 승인된 시험 기기만 대상으로 하며 화면 잠금·전원·배터리·연결 상태, 기기 식별과 실제 시각을 기록한다. 일반 사용자가 앱을 열거나 메시지를 보내며 임의로 확인하지 않는다. 검토된 도구·담당자의 권한·기기와 운영체제 버전에 맞춰 가능한 수집을 결정하고 변경·실패·수집 불가 범위를 기록한다.

잠긴 기기의 전원을 무조건 끄거나 반대로 무조건 켜 두라는 단일 규칙은 두지 않는다. 전원 변화에 따른 휘발성 소실, 암호화·접근 가능성, 원격 변경과 업무·안전 영향을 함께 판단한다. 통신 격리도 선택한 방법·검증 결과와 미확인 채널을 남긴다. 잠금 우회나 비밀값 취득 권한을 이 예제가 부여하지 않는다.

화면 사진은 관측 당시 보이는 내용의 증거이며 기기 전체 데이터 수집물이 아니다. 기기 자료와 계정의 클라우드 백업은 다른 출처·기간·권한을 가지므로 서로 복사본이라고 단정하지 않는다. 확보하지 못한 앱·암호화 자료는 미확보로 보고한다.

3. 클라우드는 사건 전에 접근 경로를 준비한다

NIST SP 800-201은 분산·다중 이용자 환경의 자료 접근, 휘발성, 로그·메타데이터·시간, 제공자 협력 등의 과제를 포렌식 준비성과 연결한다. 참조 아키텍처는 과제를 역할과 기능에 연결하는 도구이지 실제 사건의 모든 자료를 자동 수집하는 제품이나 단일 현장 절차가 아니다.[DF-C07]

가상 계획 DF-CLOUD1은 사용하는 계정·조직 구획·리전·서비스와 로그 위치, 생성 조건·보존기간·시간 기준·내보내기 권한을 대장으로 만든다. 수집 담당 계정은 승인된 범위의 조회·보존만 수행하도록 제한하고 제공자 지원 요청의 대상·기간·자료 형식·응답 범위를 기록한다. 다른 이용자의 데이터를 포함할 수 있는 기반 장치 전체를 임의로 요구하지 않는다.

디스크 스냅숏은 해당 서비스가 정한 시점·자원·일관성 범위의 저장 상태다. 별도 설명 없이 메모리와 모든 로그·모든 리전까지 들어 있다고 가정하지 않는다. 종료된 자원, 비활성화했던 로그, 보존기간이 지난 자료는 제공자도 확보하지 못할 수 있으므로 계약과 실제 결과를 확인한다.

여러 출처를 합칠 때에는 계정·조직·리전·자원 ID와 사건 시각·수신 시각, 수집 범위를 함께 유지한다. 공급자가 내보낸 파일도 요청한 전체 대상과 기간을 포함했는지, 누락·필터·시간대·형식이 무엇인지 별도로 대조한다. 공급자의 서명이나 파일 해시는 이런 범위 검토를 대신하지 않는다.

같은 조사 질문에 대한 환경별 선택표

표의 선택은 이 사건에 대한 설계다. 실제 장치 상태와 권한이 달라지면 같은 조치를 그대로 복사하지 않는다. 이미 필요한 로그가 충분하고 모바일은 범위 밖이라면 모바일 수집을 하지 않는 것도 정당한 범위 결정일 수 있다.

4. 직접 계산: 내보낸 100행과 고유 사건 95개

자체 인터페이스 DF-E1은 조직 T·리전 R·09:50:00 이상 10:10:00 미만의 사건 시각을 조건으로 조회한다. 서비스가 고정한 조회 스냅숏 S7과 다음 페이지를 가리키는 토큰을 사용하고, 모든 페이지에서 같은 조건·스냅숏을 유지한다고 가정한다. 토큰은 후속 페이지를 요청할 때 사용하는 식별값이며 실제 특정 제공자의 API 명세가 아니다.

원본의 사건 식별자 (출처 ID, 사건 ID)는 이 예제에서 사건마다 고유하고 같은 식별자의 행 내용은 동일하다고 정의한다. 마지막 응답에 다음 토큰이 없으면 그 조회의 페이지 열거가 끝났다는 계약을 둔다. 이 계약이 실제 환경에 있는지는 별도로 확인해야 한다.

원 내보내기 행은 60+40=100행이고, 같은 출처·사건 ID의 중복 5개를 분석용 목록에서 연결하면 고유 사건은 95개다. 원본 페이지는 그대로 보존하고 어떤 행을 중복으로 묶었는지 파생 목록에 남긴다. 95개를 보안사고 95건이나 전체 서비스의 사건 수로 바꾸지 않는다.

동일 ID인데 내용이 다르면 단순 중복으로 버리지 말고 충돌·갱신·잘못된 식별 규칙을 조사한다. 반대로 두 다른 출처의 ID 문자열이 우연히 같으면 같은 사건으로 자동으로 합치지 않는다. 출처별 ID의 범위와 재사용 정책이 중요하다.

끝 페이지까지 받았다는 것과 전체 사건을 확보했다는 것

DF-E1의 다음 토큰 부재는 지정한 조회 스냅숏·범위의 열거 종료다. 로그가 원래 생성되지 않았거나 S7 생성 뒤 늦게 도착한 사건, 다른 리전·계정·조회 기간과 보존기간 이전 소실까지 없다는 증거는 아니다. 수집 완료 보고에는 완료된 범위와 이런 제외·미확인을 나누어 적는다.

P2에 다음 토큰이 남아 있다면 95개는 그때까지 확보한 고유 사건 수일 뿐 전체 조회 결과 수가 아니다. 후속 페이지를 같은 조건으로 계속 요청하고 실패하면 마지막 성공 토큰·페이지·시각을 남긴다. 다시 받은 페이지를 새 사건으로 중복 가산하지 않는다. 수집 기록과 사건 시각을 따로 유지해야 지연 도착도 검토할 수 있다.

조직·리전·시간대가 바뀌거나 조회 스냅숏이 유지되지 않는다면 기존 페이지들을 하나의 일관된 결과로 합치기 전에 조건 차이를 평가한다. 제공자가 고정 스냅숏을 지원하지 않는 경우에는 그 한계를 명시하고 중복·누락 검토 계획을 따로 세운다. DF-E1의 가정을 모든 클라우드에 있다고 쓰지 않는다.

5. 실제 환경별 수집계획 DF-X1

조사 책임자는 질문·허용 자원·기간·제외 대상과 피해 제한 경로를 승인한다. 시스템 담당자는 종료 예정 W7의 관련 상태와 로그 소실을 확인하고, 수집 담당자는 허용된 방법과 도구 버전·영향을 기록한다. 모바일 전문 담당은 승인된 시험 기기의 상태를 문서화하여 보존 방법을 선택하고 효과와 한계를 확인한다. 클라우드 담당은 자원·조직·리전·조회 조건·페이지와 제공자 협력을 책임진다.

DF-X1은 짧은 보존기간의 관련 로그와 종료 예정 자료의 보존 여부를 먼저 판단한다. 접근 가능한 모든 자료를 무차별 수집하는 대안은 권한·관련성·비용 때문에 기각하고, 기반 저장소 스냅숏 하나로 모든 환경의 수집을 대체하는 대안도 범위가 달라 기각한다. 진행 중 피해가 있으면 보존만을 위해 차단을 무조건 미루지 않고 필요한 조치와 변경 흔적을 연결한다.

보존 담당은 원 수집물·페이지·메모리 이미지·사진과 파생 목록을 고유 ID로 분리한다. 분석 담당은 해시·도구·시간·필드 의미와 누락을 대조하고 검토자는 95라는 수치가 실제 무엇을 센 것인지 확인한다. 보고에는 확보 자료, 불가·미확인 범위, 수집으로 바뀐 상태와 다음 확인을 명시한다.

연습은 전원·종료 상태 변경, 수집 실패, 차폐 효과 미확인, 페이지 누락·중복·동일 ID 충돌, 리전·스냅숏 변경을 포함한다. 대상·권한 불일치 또는 예상 밖 민감자료가 발견되면 해당 수집을 중단해 확인한다. 자료가 없다는 이유로 임의 복원값을 만들거나 기록 시각을 맞추어 사건을 구성하지 않는다.

원칙은 공통이고 출처별 계약은 따로 둔다

각 줄에 담당자와 실제 확보 여부를 기록한다. 다이어그램에 상자가 있다는 사실을 네 환경 모두 수집 성공이라고 표시하지 않는다.

환경 이름이 덮어 버리는 실패

메모리 이미지가 있어도 수집 시점의 접근 가능한 범위라는 한계가 있고, 패킷 기록이 있어도 본문이 암호화되었을 수 있다. 모바일 사진은 전체 기기 추출이 아니며, 클라우드의 내보내기 성공은 모든 지역·모든 과거 자료의 확보가 아니다. 수집 도구가 성공 코드를 돌려줬는지와 필요한 자료가 검증 가능한 형태로 들어 있는지는 따로 확인한다.

제공자 자료와 고객 자료의 시계·ID·기간이 다르면 단순 행 합산으로 사건 수를 만들지 않는다. 없는 자료를 얻기 위해 권한을 넘거나 원래 기록을 변경하지 않는다. 부족한 범위와 대안 자료를 보고하는 것이 불확실성을 없앤 척하는 것보다 다음 판단에 유용하다.

공식 범위를 보조하는 역할

이 절은 네 환경의 권한·소실·관측 범위를 대조하여 수집·보존·보고의 제한을 결정한다. 대상은 가상 작업자·연결·시험 기기·클라우드 조회 자료이며, 경계는 관측과 전체성, 행과 고유 사건, 페이지 종료와 미기록 자료 부재의 구별이다. 종료·추출 실패·통신 격리 미확인·페이지 누락과 충돌에서 추가 확인과 보류를 한다. 잠금 우회·모든 장치 복원·전체 사건 귀속·법정 적합성은 제외한다.

6. 자체 10점 문제

DF-E1의 원 내보내기 행과 고유 사건 수를 계산하고, 같은 ID의 내용 충돌 및 다음 페이지·미기록 범위가 결론에 미치는 영향을 설명하라.

분모와 출처별 식별 규칙을 읽고, 완료한 범위를 정확하게 표현하는 자체 교육 문제다.

먼저 출처 ID·사건 ID·내용 동일성을 적고 100−5를 계산한다. 같은 ID라도 내용이 다른 행을 삭제하면 어떤 근거를 잃는지 설명하고, 마지막 토큰이 없는 경우의 완료 범위를 한 문장으로 제한한다.

원 페이지 60 + 40 = 100행
동일 출처·ID·내용 5행 연결 → 고유 사건 95개
다음 토큰 없음 → S7 조회 열거 종료 ≠ 모든 과거 사건 확보

7. 자체 25점 문제

종료 예정 작업자, 암호화된 연결 기록, 잠긴 시험 모바일과 클라우드 로그가 있는 문서 사건에 DF-X1을 설계하라. 환경별 우선 확인·수집 범위·책임·실패 처리·보고 한계를 제시하라.

네 도구를 나열하지 말고 같은 질문에 필요한 자료를 선택하고 확보하지 않은 범위를 드러낸다.

각 환경을 실제로 확보한 것·미확보·질문과 무관함으로 나누고 권한과 보존기한을 적는다. 모바일 화면 사진이나 디스크 스냅숏 하나를 네 환경 전체 수집 성공으로 쓰지 않는다.

8. 자기교정

조건 변경

P2 중복이 8개로 바뀌면? 원 행은 100으로 같고 동일 출처·ID·내용의 고유 사건은 92개다. 중복의 동일성 가정부터 확인한다. 계산을 다시 수행한다.

P2에 후속 토큰이 남으면? 고유 95는 확보된 부분의 수다. 마지막 성공 위치를 남기고 같은 조회를 계속하며 실패를 완료로 바꾸지 않는다. 전체성의 범위를 유지한다.

모바일은 승인 범위 밖이고 서버 기록으로 질문에 답할 수 있다면? 모바일 전체를 추가 수집하지 않는다. 필요가 생기면 별도의 확대 근거와 승인을 받는다. 환경별 선택을 적용한다.

회상 연습: 이름이 같은 ID를 하나로 합쳐도 될까

답안을 닫고 다음 조건을 판정한다. P1의 출처 A에 사건 ID 17이 있고 P2의 출처 B에도 17이 있다. 내용은 서로 다르다. DF-E1의 고유 식별은 (출처 ID, 사건 ID)이므로 이 두 행은 같은 ID의 중복 1개가 아니다. 서로 다른 출처의 식별값을 한 열로 줄이면 고유 사건 수의 근거가 바뀐다. 반대로 같은 출처 A·17의 내용이 충돌하면 단순 중복 삭제를 멈추고 갱신·충돌·식별 규칙을 조사해야 한다. 원 페이지와 비교 결과를 보존한다.

이유를 말한 뒤 “끝 페이지를 받음”, “지정 S7의 열거 완료”, “늦게 도착한 사건도 없음” 중 어떤 결론까지 정당한지 구분한다. 원 자료의 생성·보존·조회 계약이 없는 범위를 완료라고 붙이지 않는다.

2026-10-05에는 NIST SP 800-101 Rev.1과 SP 800-201의 공식 발행·적용 범위를 대조했다. 각각 2014년 5월의 모바일 절차 기반과 2024년 7월의 클라우드 포렌식 참조 구조다. 최신 모든 기기의 잠금 해제 지원이나 실제 서비스 DF-E1 페이지 계약을 입증하지 않는다.

근거와 한계

DF-C05는 NIST SP 800-86(2006-08) §§5.1~5.2·6.3~6.4의 운영체제·네트워크 수집 범위와 한계를 사용한다. DF-C06은 NIST SP 800-101 Rev.1(2014-05) §§4.2~4.3·5의 상태 문서화·통신 격리·수집 범위를 사용하며 인쇄 28·31쪽을 화면으로 대조했다. 오래된 기기·도구 예를 현재 지원 보장으로 사용하지 않는다.

DF-C07은 NIST SP 800-201(2024-07)의 §§1~2·4에 제시된 클라우드 포렌식 준비성과 과제·참조 아키텍처 범위다. 해당 참조 그림은 읽었으나 복사하지 않았다. 신규 관찰일 2026-09-19는 발행·효력일과 다르며 미국 기술 지침을 모든 한국 조직의 법적 의무로 바꾸지 않는다.

DF-M1·DF-CLOUD1·DF-E1·DF-X1과 모든 표·도식·답안은 자체 작성이다. 실제 서비스의 페이지 계약이나 법적 수집 권한, 장치 복원 성능을 주장하지 않는다. 독립 기술·권리·초보 독자 검토는 별도다.

회독의 핵심

같은 보존 원칙을 환경별 권한·소실·관측 범위에 적용한다. 메모리·연결·화면·스냅숏·로그의 서로 다른 수집 범위를 합쳐 전체 증거라고 하지 않는다. 원 행·고유 사건·확보 범위를 나누고 미확인과 대안을 보고한다. 다음 장은 이런 자료를 다룰 때 필요한 개인정보 생명주기와 안전한 활용을 연결한다.