사이버 공격과 방어의 실무
인시던트 조사에서 디스크 복제본 등의 증거를 나중에 소송이나 경찰 신고에도 사용할 수 있도록 다루고 싶다. 증거 보관의 연속성(Chain of Custody)이라는 사고방식에 따른 취급으로 가장 적절한 것은?
- A조사를 빨리 진행하기 위해 원본 디스크를 직접 열어 조사하고, 알게 된 것은 기록하지 않고 담당자가 기억해 둔다
- B복제본을 만들면 원본 디스크는 필요 없어지므로, 바로 초기화하여 다른 업무용 단말에서 재사용해 비용을 줄인다
- C원본 디스크는 쓰기를 막는 장치를 통해 복제하고, 해시값과 누가 언제 받아 무엇을 했는지를 기록한다
정답과 해설 보기
정답: C. 원본 디스크는 쓰기를 막는 장치를 통해 복제하고, 해시값과 누가 언제 받아 무엇을 했는지를 기록한다
증거가 재판 등에서 신뢰받으려면, 수집하고 나서 제출할 때까지의 사이에 변조나 바꿔치기가 없었음을 보일 필요가 있습니다. 따라서 원본 매체에는 쓰기를 막는 장치(쓰기 방지 장치, Write Blocker)를 통해 접근하고, 비트 단위 복제본을 만들어 원본과 복제본의 해시값(SHA-256 등)이 일치함을 기록합니다. 조사하는 것은 복제본 쪽이며, 원본 매체는 봉인하여 보관하고 주고받을 때마다 일시, 담당자, 목적을 기록합니다. 이 기록이 끊기면 증거의 신뢰성이 의심받는 원인이 됩니다.