디스크이미징 (Disk Imaging)
한 줄 정의: 원본 저장장치를 훼손하지 않도록 그 내용을 비트 단위로 완전히 복제하여 디지털 포렌식 증거로 보존하는 절차입니다.
쉽게 풀면
디스크이미징은 원본 저장장치를 그대로 복사해 두는 작업으로, 마치 원본 문서를 훼손하지 않으려고 정밀한 사본을 만들어 그 사본으로 작업하는 것과 비슷합니다. 단순히 파일만 옮기는 복사와 달리, 삭제된 파일의 흔적이나 사용되지 않는 빈 공간까지 포함해 디스크의 모든 비트를 그대로 옮겨 담습니다. 이렇게 만들어진 이미지 파일을 이용해 조사관은 원본을 건드리지 않고도 분석 작업을 수행할 수 있습니다.
왜 중요한가
디지털 증거는 조사 과정에서 조금이라도 변경되면 법적 효력이 흔들릴 수 있어, 정보보안학과 법과학 양쪽에서 디스크이미징은 증거의 무결성을 지키는 핵심 절차로 다뤄집니다. 원본을 안전하게 보관한 채 사본으로 반복 분석이 가능하다는 점에서 침해사고 조사의 신뢰성을 뒷받침합니다.
논문에서는 이렇게 쓰입니다
"조사팀은 해시값 검증을 통해 디스크이미징 과정에서 원본과 사본의 동일성을 확인한 뒤 분석을 진행하였다."
복제본이 원본과 완전히 일치함을 검증하는 절차를 거쳤다는 뜻입니다.
"본 연구는 대용량 저장장치에 대한 디스크이미징 소요 시간을 단축하기 위한 병렬 처리 기법을 제안하였다."
이미징 작업의 속도를 개선하는 기술적 방법을 다뤘다는 의미입니다.
조금 더 깊게 보면
디스크이미징은 대체로 쓰기방지장치를 이용해 원본이 변경되지 않도록 한 뒤, 비트스트림 방식으로 전체 데이터를 복제하고 해시값을 계산해 무결성을 증명하는 절차로 이루어집니다. 이렇게 생성된 이미지는 이후 파일 시스템 분석, 삭제 파일 복구 등 다양한 후속 조사의 기초 자료로 활용됩니다.
주의할 점
디스크이미징은 절차와 도구의 신뢰성이 뒷받침되지 않으면 증거로서의 법적 효력이 인정되지 않을 수 있으므로, 표준화된 절차와 문서화가 함께 요구됩니다.