논리적 획득과 물리적 획득 (Logical and Physical Acquisition)
쉽게 풀면
디지털 증거를 확보하는 방법은 크게 두 가지입니다. 논리적 획득은 운영체제가 보여 주는 파일과 폴더만 골라 복사하는 방식이라 빠르고 간편하지만, 삭제된 데이터나 빈 영역은 가져오지 못합니다. 물리적 획득은 저장장치의 첫 비트부터 끝 비트까지 그대로 복제하는 방식이라 삭제 흔적과 자투리 공간까지 확보할 수 있지만, 시간이 오래 걸리고 장비 잠금 같은 제약을 받습니다.
왜 중요한가
어떤 방식으로 확보했는지가 이후 분석에서 무엇을 찾을 수 있는지를 결정합니다. 삭제 파일 복구나 슬랙 분석이 필요한 사건에서 논리적 획득만 이루어졌다면, 나중에 아무리 정교한 도구를 써도 그 정보는 존재하지 않습니다. 그래서 획득 방식의 선택과 그 사유를 기록으로 남기는 것이 실무 표준입니다.
논문에서는 이렇게 쓰입니다
기술적 제약 때문에 획득 수준이 제한되었음을 명시해 분석 범위의 한계를 밝히는 서술입니다.
조금 더 깊게 보면
실무에서는 파일 시스템 수준에서 구조까지 함께 가져오는 중간 형태를 별도로 구분하기도 합니다. 물리적 획득은 컴퓨터에서는 쓰기방지장치를 연결한 뒤 비트단위 복제로 수행하고, 모바일 기기에서는 부트로더 취약점 이용, JTAG, 칩오프 같은 방법이 동원됩니다. 어떤 방식이든 획득 직후 원본과 사본의 해시값을 계산해 일치를 확인하고 기록에 남기는 것이 필수입니다. 최근에는 암호화가 기본이 되면서, 기기가 켜져 있고 잠금이 해제된 상태에서 수집하는 라이브 방식의 중요성이 커지고 있습니다.
주의할 점
물리적 획득이 항상 우월한 것은 아니며, 전체 암호화가 적용된 장치에서는 비트 복제를 해도 해독 없이는 내용을 볼 수 없습니다. 쓰기방지장치는 획득 과정에서 원본 변경을 막는 도구일 뿐, 획득 수준 자체를 결정하지는 않습니다.