타임라인분석 (Timeline Analysis)
쉽게 풀면
타임라인분석은 사건 현장의 CCTV 영상들을 시간순으로 이어 붙여 무슨 일이 언제 일어났는지 파악하는 것과 비슷합니다. 파일 생성 시각, 로그인 기록, 프로그램 실행 흔적 같은 여러 시스템의 시간 정보를 한 줄에 모아 놓으면, 공격자가 언제 침입해서 무엇을 했는지 순서대로 볼 수 있습니다. 흩어져 있던 조각들이 하나의 이야기로 이어지는 셈입니다. 조사관은 이를 통해 사건의 전체 그림을 빠르게 파악합니다.
왜 중요한가
정보보안학에서는 침해사고 발생 시 공격의 시작점과 확산 경로를 정확히 파악하는 것이 대응과 재발 방지의 핵심입니다. 타임라인분석은 이러한 인과관계를 시각적으로 증명할 수 있어 법적 증거로서도 중요한 역할을 합니다. 따라서 포렌식 및 사고대응 연구에서 자주 다루어집니다.
논문에서는 이렇게 쓰입니다
여러 로그를 시간순으로 배열해 침투부터 유출까지의 흐름을 밝혀냈다는 의미입니다.
서로 다른 종류의 시간 정보를 하나로 합쳐 더 정확한 분석 방법을 제시했다는 뜻입니다.
조금 더 깊게 보면
타임라인은 파일 시스템의 MAC 타임(수정, 접근, 생성), 이벤트 로그, 브라우저 기록, 네트워크 연결 기록 등 다양한 출처의 시간 데이터를 통합해 구성됩니다. 여러 소스를 하나의 타임라인으로 합치는 과정을 슈퍼타임라인 생성이라고 부르기도 하며, 시간 정보의 신뢰도와 시스템 시계의 오차를 함께 고려해야 정확한 분석이 가능합니다.
주의할 점
시스템의 시간 값은 공격자에 의해 조작되거나 시스템 시간 설정 오류로 왜곡될 수 있어, 타임라인만으로 단정적인 결론을 내리기보다는 다른 증거와 교차 검증하는 것이 필요합니다.