라이브 포렌식과 Windows 아티팩트: 증거 가치로 수집 순서 정하기

2026-08-09 업데이트 — RAM→페이지파일·스왑→디스크를 보편적인 고정 순서처럼 설명한 부분을 바로잡고, 증거 가치·휘발성·수집 부작용을 함께 고려하는 수집 원칙을 반영했다.

고정 순서보다 수집 계획이 먼저다

라이브 포렌식은 시스템 전원이 켜져 있고 운영체제가 동작 중인 상태에서 증거를 수집하는 절차다. 전원이 꺼지면 사라지거나 크게 바뀌는 휘발성 데이터를 확보하려고 한다.

그러나 모든 사건에 그대로 적용할 수 있는 고정 순서는 없다. 먼저 사건에서 답해야 할 질문과 시스템 상태를 기준으로 각 자료의 예상 증거 가치, 휘발성, 수집에 드는 노력과 부작용을 평가해야 한다. 휘발성 자료를 비휘발성 자료보다 먼저 확보하는 경우가 많지만, 이것이 언제나 RAM부터 수집한다는 뜻은 아니다.

NIST SP 800-86은 대부분의 경우 휘발성 OS 데이터를 다음 순서로 수집하라고 권고한다.

네트워크 연결
로그인 세션
메모리 내용
실행 중인 프로세스
열린 파일
네트워크 설정
운영체제 시간

이는 모든 조사에 강제되는 절차가 아니라 일반적인 예시다. 연결이 끊기거나 세션이 끝나면 관련 정보가 메모리 덤프보다 먼저 사라질 수 있어 네트워크 연결과 로그인 세션을 앞에 둔다. 사건 유형에 따라 필요한 자료도 달라지며, 수집 도구를 실행하는 위험이 기대하는 증거 가치보다 큰지도 판단해야 한다.

RAM에는 실행 중인 프로세스, 네트워크 연결, 악성코드 흔적, 복호화된 데이터, 인증 토큰이 남아 있을 수 있어 중요한 수집 대상이다. 페이지파일과 스왑은 저장장치에 있지만 실행 중 계속 바뀔 수 있고, 정상 종료 과정에서 지워질 수도 있다. 반대로 전원을 갑자기 차단하면 이를 보존할 가능성은 높아져도 파일 시스템이 손상될 수 있다. 따라서 페이지파일·스왑을 RAM 다음의 독립된 2단계로 고정하지 않고, 운영체제 특성과 보존할 자료를 바탕으로 종료 방식과 저장장치 이미징 계획을 함께 정한다.

라이브 시스템 조사와 이어지는 저장장치 수집에서 검토할 대상은 다음과 같다.

네트워크 연결 정보
로그인 세션
RAM
실행 중인 프로세스
열린 파일과 핸들
현재 네트워크 설정과 운영체제 시간
레지스트리 하이브
파일 시스템과 로그
페이지파일·스왑을 포함한 저장장치 데이터

수집 행위 자체가 증거를 바꾼다

라이브 포렌식은 수집 도구를 실행하는 것만으로도 시스템 상태를 바꾼다. 프로세스 하나를 더 띄우고, 메모리와 디스크를 건드린다. 그래서 수집 시간, 사용한 도구, 명령어, 저장 위치, 해시값을 기록해 증거 무결성을 최대한 유지한다.

가능하면 신뢰할 수 있는 외부 저장 장치와 검증된 도구를 쓰고, 위 평가에 따라 수집 계획을 세운 뒤 진행한다. 계획에는 자료별 우선순위뿐 아니라 도구가 남길 변화, 저장 위치, 종료 여부도 포함한다. 고민하고 수집하는 동안에도 휘발성 데이터는 계속 변하기 때문이다.

디스크에 남는 Windows 아티팩트

저장장치에는 전원이 꺼진 뒤에도 유지되는 흔적이 있다. Windows 포렌식 아티팩트는 사용자 행위, 파일 시스템 상태, 부팅 과정, 시스템 설정을 분석할 때 단서가 되는 데이터다.

NTUSER.DAT — 사용자별 레지스트리 하이브 파일이다. 사용자 프로필 아래에 있으며 최근 실행 항목, 사용자 설정, 탐색기 흔적 같은 활동 기록이 연결된다.
MFT(Master File Table) — NTFS에서 파일과 폴더의 메타데이터를 관리하는 핵심 구조다. 각 레코드의 속성에서 이름, 시간 정보, 크기 등을 조사할 수 있다. FILE_NAME 속성에는 이름과 부모 디렉터리의 MFT 참조가 들어가므로, 전체 경로는 부모 참조를 따라가며 재구성한다(Microsoft의 MFT 설명, FILE_NAME 구조).
MBR(Master Boot Record) — MBR 파티셔닝을 사용하는 디스크의 첫 섹터에 있는 부팅 코드와 파티션 테이블 영역이다.
VBR(Volume Boot Record) — 볼륨 시작 지점에서 부팅 코드와 파일 시스템 정보를 담는 영역이다. MBR과 함께 부팅 과정 분석, 파티션 구조 확인, 부트킷 감염 여부를 조사할 때 대상이 될 수 있다.

이 구조들을 바이트 단위로 읽을 때는 값의 바이트 순서, 곧 엔디언을 함께 봐야 한다. 순서를 잘못 잡으면 시간이나 크기 값을 통째로 틀리게 읽는다(pcap과 엔디언).

한 흔적만 보지 않는다

Windows 포렌식에서는 아티팩트 하나만 보고 판단하지 않고 여러 흔적을 교차 확인한다. MFT의 파일 시간 정보, 레지스트리 하이브의 사용자 활동 흔적, 메모리 수집 결과를 함께 보면 사건 흐름을 더 정확하게 재구성할 수 있다. 시간 정보 하나는 조작되거나 덮어씌워질 수 있어도, 여러 흔적이 같은 방향을 가리키면 그만큼 신뢰가 올라간다.

여기까지는 강의와 문서로 정리한 수집 순서와 분석 관점이다. 실제 메모리 덤프를 떠서 프로세스와 네트워크 연결을 복원하거나 MFT를 파싱해 삭제 파일 흔적을 되살리는 일은 아직 직접 해 보지 않았다.