정보보안기사 실기 합격을 가르는 8문제, 디지털 포렌식 편 풀이 포함

정답 정당성(적법한 절차), 무결성, 연계보관성(Chain of Custody), 재현성, 신속성

무결성은 수집한 이후 증거가 변하지 않았음을 해시값으로 입증하는 것이고, 연계보관성은 증거를 누가 언제 어디서 다뤘는지 끊김 없이 기록하는 것입니다. 원본은 건드리지 않고 복제본으로 분석하는 것이 기본입니다. 구체적인 법적 요건은 개별 법령과 판례를 확인해야 합니다.

정답

dd if=/dev/sdb of=/mnt/evidence/disk.img bs=4M conv=noerror,sync
sha256sum /dev/sdb /mnt/evidence/disk.img

쓰기 방지 장치(write blocker)로 원본 변경을 막고, 원본과 이미지의 해시값이 같은지 비교합니다. conv=noerror,sync는 읽기 오류가 나도 계속 진행하고 빈 부분을 0으로 채웁니다. 해시는 MD5만 쓰지 않고 SHA-256을 함께 기록하는 것이 안전합니다.

정답 M 수정(Modified), A 접근(Accessed), C 메타데이터 변경(Changed), B 생성(Born). 복사본은 생성 시간이 복사한 시각이 되고 수정 시간은 원본 값을 유지하는 것이 일반적이다.

그래서 “생성 시간이 수정 시간보다 늦은” 파일은 다른 곳에서 복사되었을 가능성이 있다는 단서가 됩니다. 접근 시간은 시스템 설정에 따라 갱신이 꺼져 있을 수 있어 단독 근거로 쓰면 위험합니다.

정답 (1) 파일시스템의 관리 정보(디렉터리 엔트리, MFT 등)가 삭제 표시되고 데이터 영역은 덮어쓰기 전까지 남아 있다. (2) JPG FF D8 FF, PNG 89 50 4E 47, PDF 25 50 44 46(%PDF), ZIP 50 4B 03 04

카빙은 파일시스템 정보가 없어도 헤더와 푸터 시그니처를 찾아 파일을 복구하는 기법입니다. JPG의 푸터는 FF D9 입니다. 확장자를 바꿔 숨긴 파일도 시그니처를 보면 실제 형식을 알 수 있습니다.

정답 증거: 실행 중인 프로세스, 네트워크 연결, 로드된 DLL·모듈, 암호화 키·평문 비밀번호 등. 차이: pslist는 운영체제의 프로세스 연결 리스트를 따라가서 보여 주고, psscan은 메모리를 직접 스캔해 구조체를 찾기 때문에 연결이 끊겨 숨겨진 프로세스나 종료된 프로세스까지 찾을 수 있다.

대표 도구는 Volatility입니다. 두 결과를 비교해 한쪽에만 보이는 프로세스를 찾는 방식이 루트킷 탐지의 기본입니다.

정답 (가) 프리패치(Prefetch) (나) $Recycle.Bin (다) 최근 문서(Recent) (라) 이벤트 로그

프리패치는 실행 파일 이름과 마지막 실행 시각, 실행 횟수를 알려 줘서 “그 프로그램이 실행된 적이 있는가”를 입증하는 데 유용합니다. 휴지통은 $I(정보)와 $R(데이터) 쌍으로 구성됩니다.

정답 기법: 타임스탬프 조작, 로그 삭제, 데이터 은닉(스테가노그래피·ADS), 덮어쓰기 완전 삭제 등. ADS 확인: dir /r

ADS는 file.txt:hidden.txt 처럼 파일 이름 뒤에 스트림 이름을 붙여 데이터를 숨깁니다. 대응으로는 타임스탬프와 로그의 불일치 점검, 여러 출처(이벤트 로그, 레지스트리, 프리패치)의 상호 검증을 합니다.

정답 절차: 사전 준비 → 증거 수집(현장 조사) → 이송·보관 → 분석 → 보고서 작성. 보고서: 수집·분석 일시와 담당자, 사용한 도구와 버전, 증거 해시값과 연계보관 기록 및 분석 결과

누가 해도 같은 결과가 나오도록 재현할 수 있게 쓰는 것이 핵심입니다. 단계 이름은 교재마다 조금씩 다르니 흐름(수집 → 보관 → 분석 → 보고)을 이해하는 쪽이 안전합니다.