2008년 11월 12일
포렌식을 나누는 조금 다른 방법
최근...이라긴 먼 옛날인 지난달 Ex Forensis 블로그에 Larry는 포렌식 분야를 나누는
조금 색다른 관점을 보여 주었다. 뭐 그쪽에선 원래 그렇게 나눴던것인지 아닌지는
잘 모르지만 책이나 다른곳에서 본것 혹은 국내 영역과 비교하면 좀 많이 달랐다.
보통 내가 알던 기존의 분류 방법은 모바일,디스크,DB,네트워크 등 저장매체에 따른
것도 아니고 그렇다고 다루는 자료의 유형에 따른 것도 아니였다. 물론 큰 묶음 단위는
대충 생각해볼때 업무 단위가 아닐까 생각한다. 하지만, 뭔가 범위가 겹치기도 하고
업무 분장이 곤란할때도 많고 좀 그런것 같다.
하지만, 이 글은 좀 더 명확한 선을 그어준다. 3가지로 나뉘게 되는데, 그것은
① Live Forensics, ② Post-mortem Forensics, ③ e-Discovery 이다.
뭐 이것도 그다지 확실해 보이진 않지만 이전보단 나아보인다.
꽤 마음에 드는 분류 방법이다. 지금 국내 현실은 Post-mortem이 전부라 가정하고 접근
하는것 같다. 하지만, Live에서의 무결성을 확보하는것이나 디스커버리에서의 효율성을
확보하는것이 앞으로 당면하게 될 문제가 아닐까 싶다.
각 분야마다 나름 재밌는게 다를것 같다.~
조금 색다른 관점을 보여 주었다. 뭐 그쪽에선 원래 그렇게 나눴던것인지 아닌지는
잘 모르지만 책이나 다른곳에서 본것 혹은 국내 영역과 비교하면 좀 많이 달랐다.
보통 내가 알던 기존의 분류 방법은 모바일,디스크,DB,네트워크 등 저장매체에 따른
것도 아니고 그렇다고 다루는 자료의 유형에 따른 것도 아니였다. 물론 큰 묶음 단위는
대충 생각해볼때 업무 단위가 아닐까 생각한다. 하지만, 뭔가 범위가 겹치기도 하고
업무 분장이 곤란할때도 많고 좀 그런것 같다.
하지만, 이 글은 좀 더 명확한 선을 그어준다. 3가지로 나뉘게 되는데, 그것은
① Live Forensics, ② Post-mortem Forensics, ③ e-Discovery 이다.
뭐 이것도 그다지 확실해 보이진 않지만 이전보단 나아보인다.
Live Forensics는 말 그대로 휘발성(Volatile) Data를 확보한다는 것이다. 분석가들은요샌 Data들이 대량화가 되어 가고 있어서 뭐든 디스커버리 측면이 있는것 같다-_-;
반드시 네트워크 보안에 대해 전문가여야 한다.(OSI, 침투방법,Data 유출, NOS등)
Post-mortem Forensics는 우리가 일반적으로 알고 있는 포렌식이다. 디스크 복구는
물론이며 저장되어져 있는 Data에 대하여 분석을 한다. Live와 조금 다른 점은 Data가
디스크등의 반영구적 저장장치에 저장이 되어 있다는 것이다.
E-Discovery란 엄청난 양의 Data에 대하여 분석을 하는 것에 대하여 말한다. 삭제되고
감추어둔 Data보다는 그냥 있는거에서라도 찾아내자는 게 그 목적이다. 보통 이쪽이
좀 비용이 비싸고 장비도 특수한걸 많이 사용한댄다.
꽤 마음에 드는 분류 방법이다. 지금 국내 현실은 Post-mortem이 전부라 가정하고 접근
하는것 같다. 하지만, Live에서의 무결성을 확보하는것이나 디스커버리에서의 효율성을
확보하는것이 앞으로 당면하게 될 문제가 아닐까 싶다.
각 분야마다 나름 재밌는게 다를것 같다.~
