사이버 공격과 방어의 실무
인시던트가 일어난 서버에서 조사를 위한 증거를 수집한다. 증거를 사라지기 쉬운 순서(휘발성이 높은 순서)로 수집한다는 사고방식에 따른 순서로 가장 적절한 것은?
- A메모리 내용과 현재의 네트워크 연결 상태 → 디스크 내용 → 외부에 보관된 백업이나 아카이브
- B외부에 보관된 백업이나 아카이브 → 디스크 내용 → 메모리 내용과 현재의 네트워크 연결 상태
- C디스크 내용 → 전원을 끈 다음 메모리 내용과 현재의 네트워크 연결 상태 → 외부에 보관된 백업
정답과 해설 보기
정답: A. 메모리 내용과 현재의 네트워크 연결 상태 → 디스크 내용 → 외부에 보관된 백업이나 아카이브
디지털 포렌식에서 증거를 수집할 때의 지침인 RFC 3227(2002년)은 사라지기 쉬운 것부터 순서대로 수집할 것을 권장합니다. CPU의 레지스터나 캐시, 메모리 내용, 실행 중인 프로세스나 네트워크 연결 상태는 시간이 지나거나 전원을 끄면 사라지므로 가장 먼저 수집합니다. 메모리에는 디스크에 남지 않는 악성코드나 복호화된 상태의 정보가 남아 있는 경우가 있습니다. 디스크 내용은 그 후에 복제하여 조사하고, 외부에 보관된 백업이나 아카이브는 잘 바뀌지 않으므로 마지막이어도 됩니다.