쓰기방지장치 (Write Blocker)
한 줄 정의: 저장매체에 접근할 때 쓰기 명령을 물리적 또는 소프트웨어적으로 차단하여 원본 데이터가 변경되지 않도록 하는 디지털포렌식 도구입니다.
쉽게 풀면
컴퓨터에 저장장치를 연결하기만 해도 운영체제가 자동으로 파일을 기록하면서 원본 데이터가 미세하게 바뀔 수 있습니다. 쓰기방지장치는 이런 저장매체와 분석용 컴퓨터 사이에 끼워 넣어, 읽기는 허용하되 쓰기는 원천적으로 차단하는 장비 또는 프로그램입니다. 마치 원본 문서를 복사기에만 넣고 절대 펜을 대지 않는 것과 비슷합니다.
왜 중요한가
디지털 증거는 아주 작은 변경만으로도 증거로서의 가치가 훼손될 수 있어, 원본 보존은 디지털포렌식의 가장 기본적인 원칙입니다. 쓰기방지장치는 이 원칙을 실제로 구현하는 핵심 장비이기 때문에 관련 절차와 신뢰성 검증이 연구 주제로 다뤄집니다.
논문에서는 이렇게 쓰입니다
"압수된 하드디스크는 쓰기방지장치를 통해 연결한 후 이미징을 진행하여 원본 훼손을 방지하였다."
원본 디스크가 바뀌지 않도록 쓰기방지장치를 거쳐 복제 작업을 했다는 뜻입니다.
"본 연구는 하드웨어 기반과 소프트웨어 기반 쓰기방지장치의 신뢰성을 비교 검증하였다."
물리적 장비 형태와 프로그램 형태의 쓰기방지 방식이 실제로 얼마나 안전한지 비교했다는 의미입니다.
조금 더 깊게 보면
쓰기방지장치는 크게 하드웨어 방식과 소프트웨어 방식으로 나뉩니다. 하드웨어 방식은 저장매체와 컴퓨터 사이에 물리적으로 연결하는 장비이며, 소프트웨어 방식은 운영체제 수준에서 쓰기 명령을 차단하는 방식입니다. 실제 포렌식 절차에서는 이 장치를 사용한 뒤 해시값 검증을 함께 수행해 원본 무결성을 최종적으로 확인합니다.
주의할 점
장치나 소프트웨어 자체의 결함으로 쓰기 차단이 완전하지 않을 가능성도 있어, 검증된 도구를 사용하고 사용 후에도 해시값으로 재확인하는 절차가 권장됩니다.