[보안] 디지털 포렌식 휘발성 증거 수집 순서(RFC3227 증거 수집 및 보관 가이드라인)

 디지털 포렌식 휘발성 증거 수집 순서를 알아봅니다. (RFC3227 증거 수집 및 보관 가이드라인 기반)

 

[ Contents ]

 

 

1. 디지털 포렌식 휘발성 증거 수집 순서

1. 레지스터, 캐시 — CPU 내부 데이터로 전원이 꺼지면 즉시 소멸
2. 메모리(RAM) — 실행 중인 프로세스, 네트워크 연결 정보, 암호화 키 등 보유
3. 임시 파일 시스템 — swap 영역, /tmp 등
4. 디스크(HDD/SSD) — 비휘발성이지만 덮어쓰기 가능성 존재
5. 원격 로깅 및 모니터링 데이터 — 시스템 외부에 저장된 로그
6. 물리적 구성 정보 — 네트워크 토폴로지, 장비 배치도 등
7. 보관 매체(아카이브) — 백업 테이프, CD/DVD 등 가장 안정적

 

 휘발성이 높은 순서대로 우선적으로 수집합니다. 디지털 포렌식 - 신속성의 원칙과도 연결되며, 위 우선순위를 준수하여 디지털 포렌식 시 증거를 수집합니다.

 

2026.05.23 - [CS/보안] - [보안] 디지털 포렌식 5대 원칙: 정당성, 재현, 신속성, 연계 보관성, 무결성

[보안] 디지털 포렌식 5대 원칙: 정당성, 재현, 신속성, 연계 보관성, 무결성

 

1) 레지스터, 캐시

CPU 내부 데이터로 전원이 꺼지면 즉시 소멸

 

 

2) 메모리(RAM)

실행 중인 프로세스, 네트워크 연결 정보, 암호화 키 등 보유

 

 

3) 임시 파일 시스템

swap 영역, /tmp 등

 

 swap영역은 RAM이 부족할 때 디스크의 일부를 메모리처럼 사용하는 공간으로 '가상메모리'로 불립니다.

 /tmp 디렉터리는 리눅스/유닉스 시스템에서 응용 프로그램이 임시 파일을 저장하는 디렉터리입니다. 브라우저 다운로드 중간파일, 압축 해제 임시파일, 설치프로그램의 임시 데이터 등이 여기에 저장됩니다.

 

 

4) 디스크(HDD/SSD)

비휘발성이지만 덮어쓰기 가능성 존재

 

 

5) 원격 로깅 및 모니터링 데이터

시스템 외부에 저장된 로그

 

 

6) 물리적 구성정보

네트워크 토폴로지, 장비 배치도 등

 

 

7) 보관 매체(아카이브)

백업 테이프, CD/DVD 등 가장 안정적