메모리포렌식 (Memory Forensics)
한 줄 정의: 컴퓨터가 켜져 있는 동안 주기억장치(RAM)에 일시적으로 저장된 데이터를 수집·분석하여 실행 중이던 프로세스나 은닉된 악성 행위 흔적을 찾아내는 디지털포렌식 기법입니다.
쉽게 풀면
컴퓨터 전원이 꺼지면 사라지는 정보들이 있습니다. 실행 중이던 프로그램, 열려 있던 파일, 암호화 해제 전 상태의 데이터 등이 대표적입니다. 메모리포렌식은 컴퓨터가 켜져 있는 동안 이런 휘발성 정보를 캡처해서, 하드디스크만 조사해서는 알 수 없는 순간의 상태를 분석하는 방법입니다.
왜 중요한가
일부 악성코드나 공격 기법은 저장장치에 흔적을 거의 남기지 않고 메모리상에서만 동작하기 때문에, 이런 사례를 밝히려면 메모리 분석이 필수적입니다. 실시간 상태 정보를 확보한다는 점에서 다른 디지털포렌식 기법을 보완하는 중요한 역할을 합니다.
논문에서는 이렇게 쓰입니다
"본 연구는 메모리포렌식 기법을 이용하여 파일리스 악성코드의 실행 흔적을 메모리 덤프에서 탐지하는 방법을 제안하였다."
디스크에 흔적을 남기지 않는 악성코드를 메모리 정보로 찾아내는 방법을 다뤘다는 뜻입니다.
"메모리포렌식 관점에서 암호화 키가 메모리에 잔류하는 시간적 특성을 분석하였다."
암호를 해제하는 키 값이 메모리에 얼마나 오래 남아있는지를 분석했다는 의미입니다.
조금 더 깊게 보면
메모리포렌식은 먼저 실행 중인 시스템의 메모리 전체를 이미지 형태로 덤프한 뒤, 프로세스 목록, 네트워크 연결 정보, 열린 파일 핸들 등을 구조적으로 파싱하여 분석합니다. 운영체제 버전마다 메모리 내부 구조가 달라 이를 정확히 해석하는 전용 도구와 지식이 필요합니다.
주의할 점
메모리는 전원이 꺼지면 즉시 데이터가 사라지므로, 조사 초기에 신속하게 수집하지 않으면 분석 자체가 불가능해질 수 있습니다.