디스크이미징 (Disk Imaging)
쉽게 풀면
디스크이미징은 원본 저장장치를 그대로 복사해 두는 작업으로, 마치 원본 문서를 훼손하지 않으려고 정밀한 사본을 만들어 그 사본으로 작업하는 것과 비슷합니다. 단순히 파일만 옮기는 복사와 달리, 삭제된 파일의 흔적이나 사용되지 않는 빈 공간까지 포함해 디스크의 모든 비트를 그대로 옮겨 담습니다. 이렇게 만들어진 이미지 파일을 이용해 조사관은 원본을 건드리지 않고도 분석 작업을 수행할 수 있습니다.
왜 중요한가
디지털 증거는 조사 과정에서 조금이라도 변경되면 법적 효력이 흔들릴 수 있어, 정보보안학과 법과학 양쪽에서 디스크이미징은 증거의 무결성을 지키는 핵심 절차로 다뤄집니다. 원본을 안전하게 보관한 채 사본으로 반복 분석이 가능하다는 점에서 침해사고 조사의 신뢰성을 뒷받침합니다.
논문에서는 이렇게 쓰입니다
복제본이 원본과 완전히 일치함을 검증하는 절차를 거쳤다는 뜻입니다.
이미징 작업의 속도를 개선하는 기술적 방법을 다뤘다는 의미입니다.
조금 더 깊게 보면
디스크이미징은 대체로 쓰기방지장치를 이용해 원본이 변경되지 않도록 한 뒤, 비트스트림 방식으로 전체 데이터를 복제하고 해시값을 계산해 무결성을 증명하는 절차로 이루어집니다. 이렇게 생성된 이미지는 이후 파일 시스템 분석, 삭제 파일 복구 등 다양한 후속 조사의 기초 자료로 활용됩니다. 이미지 파일은 대체로 원본과 동일한 크기의 로우(raw) 형식이나, 메타데이터와 압축을 포함하는 컨테이너 형식으로 저장되며, 후자는 사건 정보와 해시값을 이미지 파일 안에 함께 담을 수 있어 관리 편의성이 높다고 설명됩니다. 물리적으로 손상된 저장장치의 경우 특수한 하드웨어 복구 장비를 이용해 이미징을 시도하며, 이 과정에서도 원본 손상을 최소화하는 절차가 함께 요구된다고 설명됩니다. 대용량 서버나 클라우드 환경에서는 전체 디스크를 이미징하는 대신 필요한 논리적 영역만 선별적으로 수집하는 라이브 포렌식 방식이 함께 활용되기도 한다고 설명됩니다.
주의할 점
디스크이미징은 절차와 도구의 신뢰성이 뒷받침되지 않으면 증거로서의 법적 효력이 인정되지 않을 수 있으므로, 표준화된 절차와 문서화가 함께 요구됩니다.