컴퓨터·노트북 포렌식
PC와 외장매체에 남은 파일·사용 흔적을 확인합니다.
- 대상과 권한부터 확인합니다: 기기·저장장치 종류
- 근거와 해석을 구분합니다: 복사·동기화로 시각이 달라질 수 있어 메타데이터만으로 진위 확정 불가
서비스 개요
PC와 외장매체에 남은 파일·사용 흔적을 확인합니다. 단일 기록만으로 행위와 사용자를 단정하지 않습니다.
- 대상 매체·상태 확인: 생성·수정 시각·작성 프로그램 정보·파일 내용 등을 살피고, 다른 버전과 파일 사용 흔적, 저장 위치를 함께 대조.
- 원본 보존과 동일성 확인: 장치 식별 정보·연결 시점·볼륨 정보를 확인하며 지급 장치 여부와 확보한 실물·파일 사용 흔적 대조.
- 파일·시각·행위 흔적 대조: 최근 문서·바로가기·폴더 탐색 기록을 바탕으로 파일명·경로·시각을 관련 기간·다른 기록과 대조. 초기화·덮어쓰기·SSD 삭제 처리로 확보가 어려울 수 있음.
분석 대상과 확인 내용
자료 한 종류만으로 결론을 내리지 않고, 출처와 기록 생성 조건을 확인한 뒤 서로 다른 근거를 연결합니다.
| 분석 대상 | 확인할 내용 | 대조 방법 | 해석상 한계 |
|---|---|---|---|
| 문서 원본·버전 | 생성·수정 시각·작성 프로그램 정보·파일 내용 | 다른 버전과 파일 사용 흔적, 저장 위치를 함께 대조 | 복사·동기화로 시각이 달라질 수 있어 메타데이터만으로 진위 확정 불가 |
| USB 장치 기록 | 장치 식별 정보·연결 시점·볼륨 정보 | 지급 장치 여부와 확보한 실물·파일 사용 흔적 대조 | USB 연결은 파일 복사를 직접 증명하지 않음 |
| 파일 사용 흔적 | 최근 문서·바로가기·폴더 탐색 기록 | 파일명·경로·시각을 관련 기간·다른 기록과 대조 | 기록 생성 조건과 보존 상태에 따라 확인 범위가 다름 |
| 삭제·보존 상태 | 파일시스템·휴지통·암호화·저장장치 상태 | 매체 유형과 잔존 자료를 확인해 분석 방식 결정 | 초기화·덮어쓰기·SSD 삭제 처리로 확보가 어려울 수 있음 |
상황별 분석 예시
아래 사례는 이해를 돕기 위한 가상 상황입니다.
문서의 작성·수정 경위를 확인하려는 상황
확인할 질문: 파일 버전과 기기 사용 흔적이 같은 변경 경위를 뒷받침하는가?
파일 메타데이터와 관련 버전, 기기에 남은 사용 흔적을 함께 대조합니다. 먼저 원본·관련 기간·접근 권한과 제공 가능한 기록을 확인합니다.
- 확인 후 안내할 내용: 확인된 시각과 변경 정황을 정리합니다. 메타데이터만으로 작성자나 진위를 확정하지 않습니다.
- 이 기록만으로 단정할 수 없는 내용: 복사·동기화로 시각이 달라질 수 있어 메타데이터만으로 진위 확정 불가. USB 연결은 파일 복사를 직접 증명하지 않음.
USB 연결과 자료 이동 여부를 확인하려는 상황
확인할 질문: 장치 연결 외에 해당 파일을 외부 매체에서 사용·보관한 근거가 있는가?
장치 식별 정보와 연결 전후 파일 사용 흔적, 확보 가능한 실물을 함께 검토합니다. 먼저 원본·관련 기간·접근 권한과 제공 가능한 기록을 확인합니다.
- 확인 후 안내할 내용: 연결 사실과 반출 판단을 구분합니다. 연결 기록만으로 파일 복사를 단정하지 않습니다.
- 이 기록만으로 단정할 수 없는 내용: 기록 생성 조건과 보존 상태에 따라 확인 범위가 다름. 초기화·덮어쓰기·SSD 삭제 처리로 확보가 어려울 수 있음.
진행 절차
- 범위 협의: 매체·사안·기간 확정
- 확보·보존: 복제·동일성 확인
- 기록 교차 검토: 파일·사용 흔적 교차 검토
- 결과 정리: 사실·추정·미확인 구분 정리
결과물과 유의사항
관련 자료와 목록, 필요한 출처·확보·보존 기록, 확인된 내용과 한계 설명을 협의합니다. 분석보고서·감정·공인시험성적서는 목적과 요건에 맞춰 별도 범위를 확인합니다.
- 착수 전에 범위를 확인합니다: 자료 확보·내용 분석·보고서·성적서·증언은 서로 다른 과업일 수 있습니다. 필요한 결과물과 형식을 사전에 정합니다.
- 적용 조건과 제한사항: SSD 삭제 처리, 암호화, 매체 손상과 추가 사용은 분석 범위에 영향을 줍니다. 모든 삭제 파일이나 사용 이력이 남아 있지는 않습니다.
상담 전 확인사항
- 기기·저장장치 종류: 현재 확인한 사실과 준비할 수 있는 자료부터 알려주세요.
- 확인할 파일과 기간: 대상과 기간을 좁히면 수행 범위를 정하기 수월합니다.
- 초기화·복구 시도 이력: 추가 사용·정리·수정 이력이 있다면 함께 알려주세요.
- 소유·분석 권한: 필요한 결과물과 일정, 보관·반환 조건을 협의합니다.
자주 묻는 질문
- PC를 계속 사용해도 되나요?
- 관련 기록이 덮일 수 있으므로 불필요한 사용·설치·복구 시도를 줄이고 현재 상태를 상담 시 알려주세요.
- 비용과 기간은 어떻게 정하나요?
- 기기·시스템 종류와 상태, 자료 규모, 확인할 항목·기간, 현장 방문 여부와 필요한 결과물에 따라 달라집니다. 상담 후 범위와 견적을 협의합니다.
- 자료 확보와 보고서를 나눠 의뢰할 수 있나요?
- 목적에 따라 확보·보존·선별, 검토 환경, 심층 분석·보고서와 공인시험의 범위를 구분해 협의합니다.
- 기기나 자료를 먼저 보내야 하나요?
- 현재 상태와 필요한 내용을 먼저 상담한 뒤 전달 방법을 안내합니다. 안내 없이 임의 발송하지 않으셔도 됩니다.
- 의뢰 자료는 어떻게 보관하나요?
- 접근 범위와 원본 반환, 확보 자료의 보관 기간·종료 시 처리 조건을 과업별로 협의합니다.