퀴즈: 증거 수집 순서와 봉인

RFC 3227 2.1 절의 Order of Volatility 를 따를 때, 다음 중 가장 먼저 모아야 하는 것은?

• 애플리케이션 로그 파일
• 프로세스 표와 커널 통계
• 중앙 로그 서버에 쌓인 같은 기간의 사본
• 랙 위치와 업링크가 적힌 물리 구성 문서

수집 계획 파일에 등급을 적어 두고, 수집기는 계획의 차례를 정렬하지 않고 그대로 따르게 만들었다. 정렬하지 않는 이유는?

• 정렬하면 같은 등급끼리 순서가 매번 달라져 매니페스트가 실행마다 바뀌기 때문이다
• 정렬 연산이 항목 수가 많아지면 수집 시작을 늦춰 휘발성 자료를 놓치기 때문이다
• 차례를 정한 판단이 계획 파일에 남아야 나중에 왜 그 차례였는지 설명할 수 있기 때문이다
• 등급이 같은 항목은 어차피 순서를 정할 근거가 없어 정렬해도 의미가 없기 때문이다

수집물마다 sha256 을 계산해 매니페스트에 적었다. 여기서 매니페스트 자체의 해시를 따로 파일로 남기는 이유는?

• 매니페스트가 커지면 JSON 파싱이 느려져 해시를 미리 계산해 두는 편이 빠르기 때문이다
• 파일 해시만 매니페스트에 적어 두면 매니페스트를 고치는 것만으로 모든 기록이 맞아떨어지기 때문이다
• 수집물 파일이 지워져도 매니페스트 해시가 있으면 내용을 복원할 수 있기 때문이다
• 봉인 파일이 있어야 법적 증거로 인정되며 그 형식이 표준으로 정해져 있기 때문이다

고객 결제 서버의 운영 데이터베이스에는 이름·이메일·전화번호가 들어 있다. 수집 범위를 정할 때 옳은 것은?

• 원본을 받되 노트북에 암호화해 보관하고 조사가 끝나면 지운다
• 일단 전부 받아 두고 분석 단계에서 필요한 칼럼만 골라 쓴다
• 이름과 이메일만 가리고 전화번호는 조사에 필요하므로 원본대로 받는다
• 원본은 받지 않고 스키마와 건수만 현장에서 확인한 뒤, 뺐다는 사실과 이유를 매니페스트에 남긴다

봉인이 깨졌을 때 검증기가 해야 할 일로 가장 알맞은 것은?

• 깨진 파일의 이름을 찍어 다음 행동이 생기게 한다
• 묶음 전체를 폐기하고 다시 수집하도록 안내한다
• 깨진 파일을 매니페스트의 해시로 되돌려 자동으로 복구한다
• 봉인 값을 지금 내용으로 다시 계산해 갱신하고 기록을 남긴다

수집 시각을 묶음 전체에 하나만 적고 항목마다는 적지 않았다. 무엇이 문제인가?

• 시간대 정보가 없어 서버와 조사자의 시계 차이를 보정할 수 없다
• 매니페스트 크기가 줄어 나중에 항목을 추가할 자리가 없어진다
• 검증기가 파일 해시를 비교할 기준 시각을 잃어 무결성을 확인할 수 없다
• 어느 항목을 어느 시점에 떴는지 알 수 없어 휘발성 차례를 지켰다는 것을 증명할 수 없다