휘발성데이터 수집 (Volatile Data Acquisition)
한 줄 정의: 전원이 꺼지면 사라지는 메모리, 네트워크 연결, 실행 중인 프로세스 등의 정보를 시스템이 살아있는 동안 수집하는 디지털 포렌식 절차입니다.
쉽게 풀면
휘발성데이터수집은 얼음이 녹기 전에 서둘러 모양을 기록하는 것과 비슷합니다. 컴퓨터를 끄면 메모리에 남아 있던 정보, 로그인 상태, 열려 있던 프로그램 목록 같은 흔적은 순식간에 사라집니다. 그래서 사건 조사 초기에 시스템을 끄지 않은 상태에서 이런 정보를 먼저 확보해야 합니다. 이렇게 확보한 정보는 하드디스크에 남는 데이터만으로는 알 수 없는 공격 당시의 실시간 상황을 보여줍니다.
왜 중요한가
정보보안학의 포렌식 분야에서는 휘발성 데이터가 공격자의 은닉된 악성코드나 네트워크 연결처럼 저장매체에는 남지 않는 결정적 증거를 담고 있는 경우가 많아 매우 중요하게 다루어집니다. 수집 순서와 방법이 증거 능력에도 영향을 미치기 때문에 절차의 표준화가 연구 주제로 다뤄집니다.
논문에서는 이렇게 쓰입니다
"현장 대응팀은 시스템 종료 전 휘발성데이터수집 절차에 따라 메모리 덤프와 네트워크 연결 정보를 우선 확보하였다."
컴퓨터를 끄기 전에 메모리와 네트워크 정보부터 챙겼다는 뜻입니다.
"본 연구는 가상화 환경에서의 휘발성데이터수집 시 발생할 수 있는 데이터 손실 문제를 실험적으로 분석하였다."
가상 서버 환경에서 이런 데이터를 모을 때 생기는 손실 문제를 실험으로 확인했다는 의미입니다.
조금 더 깊게 보면
휘발성 데이터에는 실행 중인 프로세스, 메모리 내용, 네트워크 연결 상태, 로그인 세션, 임시 파일 등이 포함됩니다. 국제적으로는 휘발성이 높은 순서대로 데이터를 수집하는 원칙이 통용되며, 이를 흔히 휘발성 순서라고 부릅니다. 수집 도구가 시스템에 남기는 흔적을 최소화하는 것도 중요한 고려사항입니다.
주의할 점
휘발성 데이터를 수집하는 행위 자체가 시스템 상태를 변경시킬 수 있어, 수집 절차와 도구의 신뢰성을 문서화하지 않으면 법적 증거로서의 효력이 약해질 수 있습니다.