휘발성데이터 수집 (Volatile Data Collection)
한 줄 정의: 전원이 꺼지면 사라지는 메모리, 네트워크 연결 등의 정보를 시스템 종료 전에 수집하여 보존하는 디지털 포렌식 절차입니다.
쉽게 풀면
컴퓨터의 램(RAM)에는 현재 실행 중인 프로그램, 열려 있던 문서, 접속 중인 네트워크 정보 등이 담겨 있지만, 전원을 끄는 순간 모두 사라져 버립니다. 휘발성데이터 수집은 이렇게 사라지기 쉬운 정보를 전원을 끄기 전에 재빨리 기록해두는 작업입니다. 마치 얼음이 녹기 전에 서둘러 그 모양을 사진으로 찍어두는 것과 비슷합니다. 이를 놓치면 하드디스크만 조사해서는 알 수 없는 중요한 단서를 영영 잃게 됩니다.
왜 중요한가
암호화된 디스크의 복호화 키나 현재 실행 중인 악성 프로세스처럼 메모리에만 존재하고 저장매체에는 남지 않는 정보가 있기 때문에, 초기 대응 단계에서 휘발성 데이터를 놓치지 않는 것이 수사 성패를 좌우할 수 있습니다. 법과학 논문에서는 수집 순서와 증거 보존의 우선순위(order of volatility)가 중요하게 다뤄집니다.
논문에서는 이렇게 쓰입니다
"본 연구는 실행 중인 시스템에서 메모리 덤프를 통한 휘발성데이터 수집 절차의 표준화를 제안하였다."
메모리 정보를 안전하게 수집하는 표준 절차를 제시했다는 뜻입니다.
"휘발성데이터 수집을 통해 확보된 네트워크 연결 정보는 원격 침입 경로를 규명하는 데 활용되었다."
메모리에서 확보한 정보가 침해 경로 분석에 쓰였음을 보여줍니다.
조금 더 깊게 보면
휘발성 데이터에는 실행 중인 프로세스 목록, 네트워크 연결 상태, 로그인 세션, 클립보드 내용 등이 포함되며, 일반적으로 휘발성이 높은 정보(레지스터, 캐시)부터 낮은 정보 순으로 수집 우선순위를 정하는 원칙이 적용됩니다. 메모리 포렌식 도구를 이용해 덤프한 이미지를 분석하면 은닉된 프로세스나 인젝션된 코드도 확인할 수 있습니다.
주의할 점
수집 행위 자체가 시스템 상태를 변경시킬 수 있으므로, 변경의 최소화와 수집 절차의 문서화가 증거능력 확보에 중요합니다.