휘발성 자료는 가동 중인 시스템의 현재 연결처럼 전원 차단이나 시간 경과로 사라질 수 있습니다. 비휘발성 자료는 저장 매체의 파일시스템처럼 전원이 꺼져도 남는 자료를 가리킬 수 있습니다. 먼저 살필 순서는 자료의 변동성뿐 아니라 조사 가치, 획득 노력, 시스템을 변경할 위험에 좌우됩니다.
NIST SP 800-86은 상대적 우선순위와 수집 중 변화 가능성을 설명하는 2006년 기술 안내서입니다. 모든 사건에서 메모리 수집이나 전원 유지가 무조건 정답이라는 지시가 아니며, 실제 시스템 조사는 권한과 조직 절차에 따라야 합니다.
휘발성은 자료의 보존 조건을 묻는 말입니다
NIST SP 800-86은 가동 중인 시스템의 운영체제 자료를 휘발성과 비휘발성으로 설명합니다. 현재 네트워크 연결은 전원이 꺼지면 사라질 수 있는 휘발 자료의 예이고, 디스크 파일시스템은 전원을 끈 뒤에도 남는 비휘발 자료의 예입니다. 하지만 ‘휘발 자료를 무조건 먼저 확보한다’고 답하면 충분하지 않습니다. 조사자는 자료가 질문에 얼마나 가치가 있는지, 얼마나 빨리 변하는지, 확보하는 데 어떤 노력이 필요한지, 수집 행위가 시스템 상태를 얼마나 바꿀 수 있는지 비교해야 합니다. 원문은 경우에 따라 연결 목록·로그인 세션·메모리·실행 프로세스 등을 검토하도록 제안하지만 구체적인 상황에 따라 필요한 자료가 달라진다고 밝혀 둡니다.
가동 중인 시험 서버에서 무엇을 먼저 묻는지 살핍니다
| 가상 자료 | 변동 가능성 | 선택 전 질문 |
|---|---|---|
| 현재 연결 목록 | 시간이 지나면 연결이 종료·변경될 수 있음 | 조사 질문과 관련이 있는가? 기록을 안전하게 얻을 승인·방법이 있는가? |
| 로그인 세션·실행 프로세스 | 상태 변화와 종료에 따라 달라질 수 있음 | 무엇이 사라질 수 있고 획득 과정이 시스템에 어떤 영향을 주는가? |
| 저장된 로그 파일 | 전원 종료 뒤에도 보존될 수 있지만 회전·삭제·덮어쓰기가 가능 | 보관 기간·원본 위치·시간 기준·접근 권한을 확인했는가? |
| 파일시스템과 미할당 공간 | 매체와 수집 방식에 따라 범위·상태가 다를 수 있음 | 전체 이미지가 필요한 질문인지, 획득 중 변경 위험은 무엇인지? |
예를 들어 승인된 시험 서버에서 특정 시각의 원격 연결을 확인해야 하는 상황이라면 연결 목록이 시간이 지나면서 사라질 가능성을 먼저 평가할 수 있습니다. 그렇다고 운영 서비스를 정지하거나 임의로 명령을 실행하라는 뜻은 아닙니다. 가동 상태를 바꾸는 조치는 조사 대상에 영향을 줄 수 있습니다. 담당자는 사전 승인, 업무 영향, 보존 필요성과 안전한 수집 방법을 확인합니다. 반대로 조사 질문이 지난달의 정적 설정 파일에만 관한 것이라면 연결 목록보다 해당 설정의 보존과 변경 이력이 더 중요할 수 있습니다. 자료 유형보다 질문에 맞는 증거가 우선입니다.
수집 순서는 가치·변동성·노력을 함께 적습니다
- 조사 질문과 범위를 정해 어떤 정보를 찾아야 하는지 씁니다.
- 각 자료의 예상 가치와 시간이 지나거나 전원이 꺼질 때 변하는 정도를 비교합니다.
- 자료를 얻는 데 필요한 권한·시간·도구와 시스템에 미칠 변경·중단 위험을 확인합니다.
- 높은 가치와 빠른 변동성의 자료를 먼저 볼 이유가 있는지 승인 범위 안에서 판단합니다.
- 선택한 순서와 제외한 자료, 이유, 수집 과정에서 생길 수 있는 변화를 기록합니다.
NIST SP 800-86은 자료 획득 순서를 자료의 예상 가치, 휘발성, 노력으로 정할 수 있다고 설명합니다. 이는 상황 판단을 위한 틀이지 강제 순서를 보편화한 목록은 아닙니다. 살아 있는 시스템의 물리 매체 전체를 이미징하는 경우에는 파일과 메모리가 계속 바뀔 수 있어 결과를 검증하기 어렵다는 주의도 있습니다. 자료를 확보하는 행위 자체가 환경을 바꾼다면 그 변화와 절차를 기록해야 합니다. 이 글은 특정 시스템에 대한 실시간 조사 명령이나 사고대응 승인 절차를 대신하지 않습니다.
전원 상태 하나만으로 자료 순서를 정하지 않습니다
흔한 실수는 전원이 켜져 있으면 메모리부터 수집하거나, 보존을 위해 즉시 끄는 것이 언제나 옳다고 생각하는 것입니다. 두 행동 모두 증거와 서비스 상태에 영향을 줄 수 있습니다. 어떤 자료가 사라지는지뿐 아니라, 그 자료가 조사 질문에 필요한지, 수집이 시스템에 미치는 영향은 어떤지 확인해야 합니다. NIST의 2006년 문서에 적힌 옛 명령어나 도구 이름을 오늘날 모든 장치에서 그대로 실행하는 지침으로 사용해서도 안 됩니다. 시험 답에서는 ‘무엇을 먼저’만 쓰지 말고 변동성·가치·노력·영향의 근거를 짧게 덧붙이세요.
상황이 바뀌면 우선순위도 바뀌는지 회상합니다
가상 상황 A는 네트워크 연결이 곧 종료될 수 있고, 조사 질문이 현재 원격 세션을 확인하는 것입니다. 어떤 자료가 먼저 관심 대상이 되나요? 현재 연결과 로그인 세션입니다. 상황 B는 조사 질문이 전날 변경된 설정 파일이며, 가동 중 연결은 질문과 무관합니다. 이때는 설정 파일과 변경 이력의 출처·시간을 확인하는 것이 더 직접적입니다. 두 답 모두 실제 획득 전에 권한과 시스템 영향 검토가 필요합니다. ‘휘발성이므로 무조건 먼저’가 아니라 ‘질문과 관련 있고 곧 사라질 수 있어, 승인된 안전한 방법으로 먼저 검토할 가치가 있다’고 설명해 보세요.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
가상 시험 서버에서 현재 원격 연결을 조사해야 하며, 연결 목록은 종료되면 사라질 수 있다. 서버가 중단될 수 있으므로 승인 없는 조치는 할 수 없다. 우선순위 판단 근거와 먼저 확인할 조건을 말하세요.
정답과 해설 확인
현재 연결은 질문과 직접 관련되고 시간이 지나면 사라질 수 있어 우선 검토할 가치가 있습니다. 그러나 임의 조치를 할 수 없으므로 권한, 안전한 획득 방법, 시스템 영향과 승인 범위를 먼저 확인하고 선택한 순서를 기록해야 합니다.NIST SP 800-86은 자료의 가치·휘발성·획득 노력을 순서 결정의 고려 요소로 제시합니다. 이는 모든 사건에서 같은 자료를 먼저 확보하라는 절대 규칙은 아닙니다.