자료를 확보하는 collection, 관련 정보를 추출하는 examination, 질문에 답할 의미를 도출하는 analysis, 결과를 전달하는 reporting은 서로 다른 단계입니다. 로그 파일을 복사했다는 사실만으로 원인이나 행위자를 밝혀낸 것은 아닙니다.
NIST SP 800-86은 2006년 IT 관점 안내서이며, 한국 수사 절차의 완결된 지침이나 법률 자문이 아닙니다. 이 글은 단계와 산출물 구분을 위한 가상 예시이며 실제 조사에서의 승인·보존 절차를 대신하지 않습니다.
네 단계는 각각 다른 질문에 답합니다
NIST SP 800-86 §3은 Figure 3-1의 기본 네 단계 모델을 설명합니다. §3.1은 collection, §3.2는 examination, §3.3은 analysis, §3.4는 reporting을 각각 다룹니다. Collection에서는 사건 관련 자료를 식별·기록·수집하고 무결성을 보존합니다. Examination에서는 도구와 기법으로 관련 정보를 추출합니다. Analysis는 조사 질문에 답하도록 추출 결과를 해석하고, reporting은 분석 결과와 수행 내용·제한을 전달합니다. 원문은 사건별 필요에 따라 세부 단계가 달라질 수 있다고도 밝힙니다. 이 네 단계는 ‘무엇을 확보했나’와 ‘자료가 무슨 뜻인가’를 분리하는 학습 틀이지 모든 사건에 같은 세부 순서를 강제하는 규정은 아닙니다.
가상 서버 로그 한 묶음의 흐름을 따라갑니다
| 단계 | 가상 행동 | 산출물·확인할 질문 |
|---|---|---|
| Collection 수집 | 조직 절차와 권한을 확인한 뒤 지정된 로그 묶음과 출처·시간대를 기록하고 보호된 사본을 확보 | 어떤 원본·기간·도구를 언제 확보했는가? 전후 무결성 확인과 인계 기록은 있는가? |
| Examination 검사·추출 | 복사본에서 02:10 인증 실패와 02:14 파일 요청 항목을 필터링 | 자료에서 어떤 관련 항목을 추출했으며 필터 조건은 무엇인가? |
| Analysis 분석 | 서버·인증 기록의 시각 기준과 계정 상태를 대조해 두 이벤트의 관계를 검토 | 두 기록이 같은 계정·세션인지, 질문에 어떤 설명을 지지하거나 지지하지 않는가? |
| Reporting 보고 | 확인된 항목, 해석, 미확인 원본·시간대와 조사 범위를 요약 | 무엇을 확인했고 어떤 결론은 아직 낼 수 없는가? |
첫 단계에서는 자료의 출처와 획득 범위를 남겨야 이후 단계에서 어느 로그를 분석했는지 추적할 수 있습니다. 두 번째 단계는 선택한 시간 범위에서 항목을 추출하지만, 그 항목만으로 행위의 원인을 설명하지 않습니다. 세 번째 단계에서 분석자는 별도 인증 기록, 시각 오차, 계정의 정상 사용 조건 등을 대조합니다. 로그 두 줄이 가까운 시각에 나타났다는 것만으로 한 사용자가 파일을 열었다고 단정할 수 없습니다. 마지막 보고에는 확인된 사실과 분석상 추론, 남은 자료 요청을 구분해 적습니다. 이 순서가 있어야 다른 사람이 결과의 근거와 한계를 다시 검토할 수 있습니다.
자료를 받으면 질문과 산출물을 함께 기록합니다
- 조사 질문과 승인 범위, 수집 대상·기간·출처를 먼저 적습니다.
- 원본을 누가 어떤 방법으로 확보했는지, 보호된 사본과 무결성·인계 기록이 있는지 남깁니다.
- 사본에서 추출한 항목, 사용한 필터·도구·시간대를 기록합니다.
- 분석에서는 추출 결과를 다른 출처와 비교하고, 관찰과 의미 해석을 분리합니다.
- 보고에는 근거, 추론의 범위, 미확인 조건과 추가 확인 사항을 명시합니다.
NIST는 포렌식 과정의 세부 내용이 조사 필요에 따라 달라질 수 있다고 밝힙니다. 그러므로 모든 사건에서 같은 도구나 동일한 순서가 법적 요건이라고 해석하지 마세요. SP 800-86은 IT 조사 관점의 출발 자료이지 형사 수사 전체를 수행하는 매뉴얼이 아닙니다. 법률과 내부 정책이 적용되는 실제 증거 취급은 권한 있는 담당자와 법률 자문이 정한 절차를 따라야 합니다. 이 글의 목적은 시험 답안에서 자료 확보와 의미 해석을 같은 단계라고 쓰지 않도록 구별하는 데 있습니다.
로그를 확보했다는 사실을 원인 분석으로 바꾸지 않습니다
흔한 혼동은 ‘로그를 수집했으니 누가 무엇을 했는지 확인했다’고 쓰는 것입니다. 수집은 자료를 확보했다는 사실을 보여 주고, 검사·추출은 그 안에서 관련 항목을 찾았다는 사실을 보여 줍니다. 그 항목이 어떤 사건을 뜻하는지는 시간대·계정·다른 기록을 비교하는 분석 질문입니다. 결과를 보고하는 단계에서는 증거가 지지하는 결론과 아직 모르는 범위를 구별합니다. 로그에 특정 이벤트가 있다고 해서 실제 사용자나 공격 행위자를 바로 특정할 수 없습니다. 또한 분석자의 설명을 원본 기록과 같은 수준의 관찰 사실로 제시하지 않아야 합니다.
산출물을 보고 어느 단계인지 회상합니다
‘서버 운영팀에서 1월 5일 00시부터 02시까지의 접근 로그를 받아 보호된 사본을 만들었다’는 어느 단계인가요? Collection입니다. ‘사본에서 실패한 로그인 항목 12개를 추출했다’는 Examination입니다. ‘인증 서버 시각과 대조해 두 항목이 같은 세션임을 지지하지만, 파일 열람 여부는 확인되지 않았다’는 Analysis입니다. ‘확인 범위와 미확인 사항을 담당자에게 전달했다’는 Reporting입니다. 각각의 답에 행동뿐 아니라 결과물도 붙이면 단계 이름만 외우는 것보다 실제 근거의 경계를 잘 지킬 수 있습니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
가상 조사에서 운영팀 로그 사본을 확보하고, 그 안에서 특정 시간대의 실패 로그인 12건을 추출했으며, 별도 인증 기록과 대조해 두 항목의 세션 관계를 해석했다. 각 행동을 포렌식 단계에 배치하고, 보고서에 남길 한계를 말하세요.
정답과 해설 확인
로그를 확보하고 출처·기간·인계 기록을 남긴 것은 collection, 사본에서 12건을 추출한 것은 examination, 별도 인증 기록과 비교해 세션 관계를 해석한 것은 analysis입니다. 보고 단계에서는 확인한 근거와 미확인 파일 열람 여부를 분리해 전달합니다.NIST SP 800-86은 네 단계를 수집, 관련 정보 추출, 질문에 답하기 위한 분석, 결과 전달로 구분합니다. 자료에 항목이 있다는 사실만으로 사용자의 의도나 원인을 단정할 수 없습니다.