디지털 포렌식 및 IR 아티팩트
필수 조치 (읽은 후 즉시 실행)
지금:../field-journal/precedent-pentest.md파일을 읽거나 IR 승인 설명을 확인지금: 포렌식/추적 작업인지, 공격적 스캐닝이 아닌지 확인지금: 사건 케이스를 설정하고, 증거는 읽기 전용 복사본을 우선 사용 (원본 미디어 쓰기 보호)다음: 도구 인덱스 실행; Volatility 등은 수동으로 호출 필요실행: 해시 보존 → 타임라인 → 주요 아티팩트 순서로 진행
적용 시나리오
- 메모리 덤프 분석 (Volatility 2/3)
- 디스크 / E01 / 파일 시스템 타임라인
- PCAP 추적 및 프로토콜 복원 (
protocol-reverse/와 연계 가능) - 호스트 아티팩트: Prefetch, Shimcache, 이벤트 로그, 브라우저 기록
- 침해 대응 IOC 추출 (
malware-analysis//threat-hunting/와 연계)
워크플로
1. 증거 보존
□ SHA256 계산; 시간대와 수집 명령 기록
□ 복사본에서 작업; 원본은 읽기 전용 유지
□ 체인 오브 커스터디 비고를 타임라인에 기록
2. 메모리 분석
vol -f mem.dmp windows.info
vol -f mem.dmp windows.pslist
vol -f mem.dmp windows.netscan
vol -f mem.dmp windows.cmdline
3. 호스트 아티팩트
□ 이벤트 로그: Security / PowerShell / Sysmon
□ 지속성: Run 키, 서비스, 작업 스케줄러, WMI
□ 실행 흔적: Amcache, Prefetch, BAM
4. 네트워크
□ tshark로 세션 및 DNS 통계 확인
□ 의심스러운 흐름 추출 → protocol-reverse 또는 malware C2 분석
도구 체인
| 도구 | 용도 |
|---|---|
| Volatility 3 | 메모리 분석 |
| Timeline Explorer / Plaso | 슈퍼 타임라인 |
| tshark | PCAP 분석 |
| Eric Zimmerman 도구 모음 | Windows 아티팩트 |
| Autopsy / FTK Imager | 디스크 분석 |
참고 자료
references/forensics-triage.md../malware-analysis/../threat-hunting/../protocol-reverse/
라우팅 컨텍스트
상위: MASTER R25
하위: 악성 샘플 심층 분석 → malware-analysis; 규칙 생성 → threat-hunting
작업 완료 자가 점검
- 증거 보존(해시 및 복사본 정책)을 수행했는가?
- 타임라인이 검증 가능한가?
- IOC가 비식별화 및 등급화되었는가?
- 체크리스트를 완료했는가?