디지털 포렌식은 증거를 해석하기 전에 먼저 보존해야 합니다. 이 실습형 과정은 저장 장치 식별, 원시 이미지 생성, 무결성 해시 기록, 원시 바이트에서 파일 복구, 메타데이터를 간결한 발견 사항으로 정리하는 설명 가능한 Linux 기초 절차를 다룹니다.
dd로 모의 드라이브를 이미징하고 SHA-256 값을 비교하며, Foremost로 삽입된 JPEG와 PDF를 카빙하고 ExifTool로 메타데이터를 조사합니다. 마지막 조사에서는 제공된 이미지의 해시를 구하고, 삭제된 PDF를 복구하고, 작성자와 생성 프로그램을 추출한 뒤 짧은 증거 보고서를 작성합니다.
학습 내용
- 수집 전에
lsblk로 모의 증거 장치 식별하기 dd로 바이트 단위 원시 이미지를 만들고 예상 크기 확인하기- 원본과 수집 이미지의 SHA-256을 계산하여 내용 일치 확인하기
- 포렌식 이미징과 일반 파일 복사의 차이 설명하기
- 원시 이미지를 조사하고 Foremost로 시그니처 기반 JPEG와 PDF 복구하기
- 카빙 감사 로그를 읽고 유형별 복구 파일 찾기
- ExifTool로 GPS, 카메라, 작성자, 생성 프로그램 메타데이터 추출하기
- 증거 해시와 선택한 메타데이터를 간결한 명령줄 보고서로 통합하기
추천 대상
이 중급 과정은 디스크 포렌식 기초 작업을 실습하려는 사이버 보안 학습자, 사고 대응 담당자, 시스템 관리자, 포렌식 분석 입문자를 대상으로 합니다. 수집, 무결성, 카빙, 메타데이터, 기초 보고에 집중하며 완전한 법적 조사 방법론은 다루지 않습니다.
선수 지식: Linux 터미널에서 파일과 디렉터리를 탐색하고, sudo로 명령을 실행하며, 출력을 리디렉션하거나 필터링할 수 있어야 합니다. 파일 시스템, 해시, 파일 형식의 기초가 있으면 도움이 되며 포렌식 도구 경험은 필요하지 않습니다.
학습 환경: 모의 loop 장치, 준비된 원시 증거 이미지, Foremost, ExifTool, dd, lsblk, SHA-256 도구가 있는 대화형 Ubuntu 22.04 터미널입니다. 모든 증거는 합성 데이터이며 실습 안에 한정됩니다.
자주 묻는 질문
실제 용의자 디스크나 개인 데이터를 다루나요?
아닙니다. 수집 실습은 10MB 모의 loop 장치를 사용하고 분석 이미지는 연습용 JPEG와 PDF 샘플을 포함합니다. 실제 사용자 장치나 개인 증거는 사용하지 않습니다.
원본 증거가 자동으로 보호되나요?
절차는 모의 원본을 읽고 결과를 별도 파일이나 디렉터리에 쓰며 원본과 이미지 해시를 비교합니다. 검증된 복사본을 분석하는 원칙은 배우지만 하드웨어 쓰기 방지 장치나 완전한 증거 보관 시스템은 재현하지 않습니다.
파일 카빙으로 모든 삭제 파일을 복구할 수 있나요?
아닙니다. 실습은 완전한 파일 시그니처를 사용하므로 Foremost가 준비된 증거를 복구합니다. 실제로는 덮어쓰기, 조각화, 암호화, 미지원 형식 때문에 일부 또는 전부를 복구하지 못할 수 있습니다.
최종 텍스트 보고서가 완전한 법적 증거 연계 보관을 확립하나요?
아닙니다. SHA-256 줄과 선택한 메타데이터를 기록해 추적 가능한 보고를 연습합니다. 정식 조사에는 취급 과정, 시간, 담당자, 보관 통제, 검증 절차, 적용 법규도 문서화해야 합니다.
