논리 백업은 논리 볼륨의 디렉터리와 파일을 복사하는 방식으로, 매체의 삭제 파일 흔적이나 slack space 같은 다른 데이터를 포함하지 않을 수 있습니다. 비트스트림 이미지는 매체의 비트 단위 사본을 만들어 미사용 영역과 slack space까지 포함할 수 있지만, 더 많은 저장공간과 시간이 필요합니다.
NIST SP 800-86은 2006년 기술 안내서입니다. 저장장치와 도구별 획득 가능성은 달라질 수 있고, 실제 조사 방식은 권한·보존 필요·장치 특성에 따라 결정해야 합니다. 아래 예는 범위 판단을 위한 가상 교육 상황입니다.
복사한 자료의 범위가 다릅니다
NIST SP 800-86은 logical backup을 논리 볼륨의 디렉터리와 파일을 복사하는 방법으로 설명하며, 삭제된 파일이나 slack space처럼 매체에 남아 있을 수 있는 다른 데이터는 포함하지 않을 수 있다고 적습니다. Bit stream imaging은 원본 매체의 비트 단위 사본을 만들고, free space와 slack space를 포함합니다. 전체 이미지는 용량이 커지고 시간이 더 걸릴 수 있습니다. 따라서 ‘파일 하나를 복사했다’와 ‘매체 전체를 이미지로 확보했다’는 자료의 범위가 같지 않습니다. 어떤 방법이 적절한지는 질문이 삭제 흔적이나 미사용 영역을 포함하는지, 보존 요구가 무엇인지, 해당 매체와 승인된 도구가 어떤 획득을 지원하는지에 달려 있습니다.
가상 조사 질문에 필요한 범위를 고릅니다
| 질문 | 가능한 획득 범주 | 범위 차이와 확인 |
|---|---|---|
| 이 사례의 질문은 현재 승인된 문서 한 개를 확인하는 것입니다. | 선택한 파일의 내용을 확보하는 방법으로 논리 복사를 검토합니다. | 논리 복사는 선택된 파일을 담지만 삭제 흔적이나 매체의 다른 영역까지 포함한다고 볼 수는 없습니다. |
| 이 사례의 질문은 특정 시각의 삭제 흔적을 재구성하는 것입니다. | 미사용 영역을 포함할 수 있는 비트스트림 이미지의 필요성을 검토합니다. | 매체 단위 사본은 더 많은 용량과 시간이 들 수 있으므로 획득 가능성과 함께 따져야 합니다. |
| 이 사례의 자료는 가동 중인 장치에 있습니다. | 실시간 상태와 물리 이미지의 한계를 먼저 확인합니다. | 가동 중에는 전체 매체가 계속 변할 수 있어 사본을 검증하기 어려울 수 있습니다. 권한 있는 담당자가 방법을 판단해야 합니다. |
첫 상황에서 질문이 현재 파일의 내용뿐이라면 논리 복사를 검토할 수 있습니다. 다만 파일 시각도 핵심 근거라면 같은 선택으로 충분하다고 단정하지 않습니다. NIST §4.2.3은 파일을 다른 시스템으로 복사하면 creation time이 복사 시점으로 바뀔 수 있고, 일부 방법은 파일 시각을 보존하지 못한다고 설명합니다. 파일 시각이 필수일 때 원문은 bit stream imaging을 권합니다. 따라서 조사 질문이 내용만인지 MAC timestamp까지인지 먼저 분리해야 합니다. ‘파일이 보이지 않는다’는 이유만으로 삭제 정보가 없다고 결론 내릴 수 없고, 반대로 모든 문제에 매체 전체 이미지가 필요한 것도 아닙니다. 확보 범위가 넓어질수록 시간·저장공간·민감 자료 취급 부담이 커질 수 있습니다. 삭제 흔적이 질문에 필요하다면 더 넓은 획득을 검토하되 장치 지원을 확인합니다. NIST는 가동 중 시스템의 물리 매체 전체 이미지는 상태가 계속 변해 검증이 어려울 수 있다고 주의합니다.
조사 질문에서 획득 범위를 역으로 정합니다
- 찾으려는 자료가 활성 파일인지, 삭제 흔적이나 미사용 영역을 포함하는지 적습니다.
- 현재 질문에 필요한 가장 좁은 범위와 더 넓은 매체 이미지가 주는 추가 근거를 비교합니다.
- 매체 종류·암호화·장치 상태·도구 지원에 따라 가능한 획득 방법이 다른지 확인합니다.
- 획득 시간·저장공간·민감정보 노출과 시스템 변경 위험을 평가합니다.
- 승인된 담당자가 선택한 범위, 제외한 범위, 제한을 기록하고 분석은 보존 사본에서 수행합니다.
논리 복사와 비트스트림 이미지는 한쪽이 항상 우월한 경쟁 관계가 아닙니다. 필요한 증거의 범위에 따라 선택하거나 함께 사용할 수 있습니다. SP 800-86은 원본을 보호하고 이후 분석을 복사본에서 진행하는 방식과 획득 도구의 제약도 설명합니다. 다만 문서 발행 시점이 2006년이므로 현재 SSD·모바일 저장장치·클라우드 환경의 지원 가능성이나 도구 기능을 이 설명만으로 결정하지 않습니다. 실제 보존·취득 방법은 적용되는 법과 조직 절차, 장치 특성을 확인해야 합니다.
파일 복사본을 전체 매체 이미지라고 부르지 않습니다
흔한 오류는 선택 파일을 복사한 뒤 ‘디스크 전체를 확보했다’고 보고하거나, 반대로 논리 파일 복사가 덜 완전해 보인다는 이유로 모든 상황에서 전체 이미지를 요구하는 것입니다. 보고서에는 획득 방법, 대상 범위, 포함하지 않은 영역과 제약을 적어야 합니다. 논리 복사로 얻은 파일은 질문에 충분할 수 있지만 미할당 공간의 흔적까지 담았다고 주장할 수 없습니다. 비트스트림 이미지도 가동 중 매체의 모든 상태를 왜곡 없이 고정하는 마법의 사본은 아닙니다. 어떤 데이터와 질문을 위해 어떤 방식으로 확보했는지 근거를 남기는 것이 핵심입니다.
삭제 흔적이 질문에 포함되는지 회상합니다
연습 사례에서 사용자는 현재 표시되는 문서의 승인 버전만 확인하려 합니다. 다음으로 지워진 파일의 흔적과 slack space를 조사해야 한다는 질문이 추가되면 획득 범위는 어떻게 달라질 수 있나요? 논리 복사만으로는 충분하지 않을 수 있으므로 매체 범위를 더 넓게 포함하는 비트스트림 이미지를 검토합니다. 그때도 장치·도구의 지원, 시간·저장 공간, 시스템 상태와 승인을 확인해야 합니다. 답안에는 ‘이미징이 정답’만 적지 말고, 삭제 흔적이 문제 질문에 필요하다는 근거와 매체의 제한을 함께 씁니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
가상 조사 질문이 현재 문서 한 개뿐일 때와 삭제 파일 흔적까지 포함할 때, 논리 파일 복사와 비트스트림 이미지의 차이를 설명하고 범위 선택 시 확인할 조건을 말하세요.
정답과 해설 확인
현재 문서 한 개라면 논리 복사로 필요한 범위를 얻을 수 있는지 검토합니다. 삭제 흔적이 필요하면 논리 복사에 포함되지 않을 수 있으므로 비트스트림 이미지의 필요성을 검토합니다. 매체·도구 지원, 승인, 획득 시간·공간과 시스템 변경 위험을 확인해야 합니다.NIST SP 800-86은 논리 백업과 비트스트림 이미지를 서로 다른 범위로 설명합니다. 장치와 환경이 다르므로 획득 가능성을 자동으로 가정하지 않습니다.