인시던트나 범죄의 조사를 위해 컴퓨터나 네트워크 기기에서 증거가 되는 데이터를 수집하고, 변조되지 않았음을 유지하면서 분석하여 무슨 일이 일어났는지를 밝히는 기술과 절차. 사라지기 쉬운 것(메모리 내용이나 네트워크 연결 상태 등)부터 순서대로 수집하고, 원본 매체는 쓰기를 막아 복제하며, 해시값으로 동일성을 확인하고, 증거의 인수인계를 기록하는 것(증거 보관의 연속성, Chain of Custody)이 기본이 된다.
일본어 명칭: デジタルフォレンジック
디지털 포렌식(Digital Forensics)은(는) 사이버 공격과 방어의 실무 등 1개 분야의 연습 문제 1개에 나와요.
분야: 사이버 공격과 방어의 실무
정답: A. 메모리 내용과 현재의 네트워크 연결 상태 → 디스크 내용 → 외부에 보관된 백업이나 아카이브
디지털 포렌식에서 증거를 수집할 때의 지침인 RFC 3227(2002년)은 사라지기 쉬운 것부터 순서대로 수집할 것을 권장합니다. CPU의 레지스터나 캐시, 메모리 내용, 실행 중인 프로세스나 네트워크 연결 상태는 시간이 지나거나 전원을 끄면 사라지므로 가장 먼저 수집합니다. 메모리에는 디스크에 남지 않는 악성코드나 복호화된 상태의 정보가 남아 있는 경우가 있습니다. 디스크 내용은 그 후에 복제하여 조사하고, 외부에 보관된 백업이나 아카이브는 잘 바뀌지 않으므로 마지막이어도 됩니다.
디지털 포렌식에서 증거를 수집할 때의 지침인 RFC 3227(2002년)은 사라지기 쉬운 것부터 순서대로 수집할 것을 권장합니다.
인시던트가 일어난 서버에서 조사를 위한 증거를 수집한다. 증거를 사라지기 쉬운 순서(휘발성이 높은 순서)로…공급망 공격(Supply Chain Attack) 보안 관제 센터(Security Operations Center) 사이버 킬 체인(Cyber Kill Chain) 인시던트 대응 제로 트러스트 측면 이동(Lateral Movement) 침입 탐지 시스템(IDS) 침투 테스트(Penetration Testing) EDR(엔드포인트 탐지 및 대응) IoC(침해 지표)