휘발성메모리분석 (Volatile Memory Analysis)
한 줄 정의: 전원이 꺼지면 사라지는 시스템의 램(RAM) 데이터를 사고 대응 과정에서 수집하고 분석하여 침해 흔적을 찾아내는 디지털 포렌식 기법입니다.
쉽게 풀면
컴퓨터의 하드디스크에는 파일이 저장되어 전원을 꺼도 남아 있지만, 램은 전원이 꺼지는 순간 내용이 모두 지워집니다. 그런데 실행 중인 악성 프로그램, 열려 있던 네트워크 연결, 암호화되지 않은 상태의 비밀번호처럼 오직 램에만 잠깐 존재하는 정보들이 있습니다. 휘발성메모리분석은 이렇게 사라지기 쉬운 정보를 시스템을 끄기 전에 통째로 떠서(덤프) 보존한 뒤, 그 안에서 공격의 흔적을 찾아내는 작업입니다.
왜 중요한가
디스크에는 남지 않고 메모리 상에서만 동작하는 파일리스 악성코드나 은닉 프로세스가 늘어나면서, 정보보안학과 침해사고 대응 분야에서 휘발성메모리분석은 갈수록 중요한 조사 기법으로 다뤄지고 있습니다. 공격자가 흔적을 지우기 전, 살아있는 시스템 상태를 그대로 포착할 수 있다는 점에서 디스크 기반 조사만으로는 얻기 어려운 정보를 제공합니다.
논문에서는 이렇게 쓰입니다
"본 연구는 감염이 의심되는 시스템의 메모리 덤프를 대상으로 휘발성메모리분석을 수행하여 은닉된 프로세스와 네트워크 연결 정보를 식별하였다."
램에 남아 있는 흔적을 통해 숨겨진 악성 활동을 찾아냈다는 뜻입니다.
"제안된 자동화 도구는 메모리 이미지로부터 실행 중인 프로세스 목록과 로드된 모듈을 추출하여 분석 시간을 단축하였다."
메모리 분석 과정을 자동화해 조사 효율을 높였다는 의미입니다.
조금 더 깊게 보면
휘발성메모리분석은 대체로 메모리 이미지 획득 단계와 이후 프로세스 목록, 네트워크 연결, 레지스트리 흔적 등을 추출하는 분석 단계로 나뉘며, 운영체제의 메모리 구조를 이해하는 전문 도구가 함께 활용됩니다. 디스크이미징과 병행하여 시스템의 정적 상태와 동적 상태를 함께 확보하는 것이 일반적입니다.
주의할 점
휘발성 데이터는 시스템 종료나 재부팅 즉시 사라지므로, 사고 발생 초기의 신속한 수집이 무엇보다 중요하며 수집 순서를 잘못 정하면 다른 증거를 훼손할 위험도 있습니다.