현장에서 마주한 분석의 과정과 직접 만든 도구, IT와 AI에 대한 생각을 기록합니다.
by XOXOR디지털포렌식 실무자, NEXA 개발 중
디지털 포렌식 조사나 침해사고 분석을 시작할 때 가장 먼저 마주하는 개념이 아티팩트(Artifact)1입니다. 운영체제나 애플리케이션이 동작하면서 시스템 곳곳에 남기는 흔적으로, 사용자가 의도하지 않아도 자동으로 기록되기 때문에 사건의 타임라인을 재구성하는 핵심 근거가 됩니다.이 글에서는 디지털 증거의 기본 분류부터, 실무에서 가장 자주 확인하는 윈도우 핵심 아티팩트 14종을 분석 목적(파일·폴더 접근, 프로그램 실행, 시스템·외부장치 흔적)에 따라 체계적으로 정리합니다.이 글은 Windows 7부터 Windows 10·11 환경까지 이어지는 주요 호스트 아티팩트를 기준으로 정리했습니다. 아티팩트별 세부 경로와 보존 기간은 윈도우 빌드 및 그룹 정책 설정에 따라 달라질 수 있습니다.디지털 증거의 두 가지..
서버 환경에서 발생하는 침해사고나 비인가 접근을 조사할 때 가장 먼저 확보해야 할 핵심 증거는 리눅스 로그 아티팩트(Linux Log Artifact)1입니다. 리눅스 운영체제는 시스템 부팅부터 커널 이벤트, SSH 원격 접속, 권한 상승(sudo), 웹 요청, 파일 전송에 이르는 거의 모든 활동을 /var/log 디렉터리 아래에 체계적으로 기록합니다.이 글에서는 실무 침해사고 대응(DFIR)과 서버 보안 감사에서 반드시 확인해야 하는 리눅스 핵심 로그 아티팩트 12종을 역할별(시스템·커널, 사용자 인증·접속, 웹·메일·파일 전송 서비스)로 분류하고, 텍스트 로그와 바이너리 로그를 각각 어떤 명령어로 분석하는지 실전 예제와 함께 정리합니다.리눅스 배포판 계열에 따라 로그 파일 이름이 다를 수 있습니다. ..
보안 관제나 디지털 포렌식 실무에서 침해사고(Security Incident)를 마주했을 때, 단순히 감염된 악성코드 파일 하나를 지우는 것만으로는 사고를 수습할 수 없습니다. 공격자가 어떤 경로로 처음 침투했고, 내부에서 어떻게 권한을 높여 핵심 서버까지 이동했는지 전체 공격 시나리오를 파악해야 재발을 막을 수 있기 때문입니다.이 글에서는 침해사고의 법적·실무적 정의와 주요 위협 요소(크리덴셜 탈취, APT, 백도어, 랜섬웨어 등)를 정리하고, 공격자의 행동 양식을 체계적으로 추적하는 프레임워크인 사이버 킬 체인(Cyber Kill Chain), 고통의 피라미드(Pyramid of Pain), 그리고 MITRE ATT&CK의 TTPs와 Active Directory(AD) 환경에서의 측면 이동까지 한 ..
솔직히 불과 얼마 전까지만 해도 주변에서 "요즘 코딩할 때 무슨 AI 써요?"라고 물어보면 대답이 거의 정해져 있었습니다. 복잡한 코드 짤 때는 일단 클로드(Claude)부터 켜고, 막히거나 세컨드 오피니언이 필요하면 GPT한테 물어보는 식이었죠. 제미나이(Gemini)는 긴 문서 통째로 넣고 요약시킬 때나 가끔 쓰지, 본격적인 개발 작업에서는 손이 잘 안 갔던 게 사실입니다. 냉정하게 말해서 빅3 중에서는 '코딩 AI 꼴찌'라는 인식이 꽤 오래 따라다녔으니까요.그런데 며칠 전 구글이 새로 발표한 제미나이 4 카본(Gemini 4 Carbon) 소식을 보면서 생각이 좀 많이 바뀌었습니다. 그동안 약점으로 꼽히던 부분들을 단숨에 메운 정도가 아니라, 아예 주요 벤치마크에서 GPT랑 클로드를 다 제치고 1등..
애플의 첫 폴더블1 아이폰 '아이폰 듀오(iPhone Duo)'가 10월 23일 한국에 출시되자마자 논란의 중심에 섰습니다. 출시 몇 시간 만에 안쪽 화면이 깨졌다는 제보가 쏟아졌고, 해외에서는 '크랙게이트(Crackgate)'라는 별명까지 붙었습니다. 국내에서는 유명 IT 유튜버의 검증 방송을 둘러싼 공정성 논쟁도 번졌습니다.이 글에서는 왜 이슈가 됐는지, 정확히 무엇이 문제인지, 왜 비판받는지를 사실과 추측을 나눠서 정리합니다.2026년 10월 30일까지 나온 공식 발표와 보도를 기준으로 정리했습니다. 애플은 아직 불량 비율이나 정확한 원인을 공개하지 않았습니다.아이폰 듀오는 어떤 폰인가화면: 펼치면 7.6형 안쪽 화면, 접으면 5.4형 바깥 화면가격: 한국 256GB 시작가 3,290,000원 (미..
분석 업무를 하다 보면 스캔한 계약서, 캡처 화면, 사진으로 찍은 서류처럼 글자가 '그림'으로만 들어 있는 자료를 자주 만납니다. 그림 속 글자는 검색도, 복사도 안 됩니다. 이걸 컴퓨터가 읽을 수 있는 글자로 바꿔 주는 기술이 OCR1입니다.예전 OCR은 작은 글자를 읽으려고 이미지를 크게 키우고 여러 단계를 거쳐야 해서 느리고, 표나 읽는 순서는 자주 엉망이었습니다. 요즘은 VLM2 기반 OCR이 등장하면서 속도와 정확도가 함께 좋아졌습니다. 이 글에서는 무료로 내려받아 쓸 수 있는 OCR 모델들을 벤치마크3 점수로 비교하고, 무엇이 왜 빨라졌는지 쉽게 정리합니다.점수는 모두 각 개발사 논문·모델 카드가 공개한 값입니다(2026년 10월 30일 기준). 제가 직접 같은 조건에서 다시 측정한 결과가 아..
회의나 면담 녹음을 글로 옮기는 일은 생각보다 시간이 많이 듭니다. 1시간짜리 녹음을 사람이 받아 적으면 보통 3~4시간이 걸립니다. 그래서 허깅페이스1에 공개된 Whisper large-v3-turbo와 화자분리 모델 pyannote를 묶어서 녹음 파일을 "누가, 언제, 무슨 말을 했는지" 정리된 대본으로 바꿔 주는 서비스를 직접 만들어 운영하고 있습니다.결과물 품질은 기대 이상이었습니다. 다만 쓰다 보면 반드시 만나는 문제가 하나 있습니다. 아무도 말하지 않은 문장이 대본에 끼어드는 '환각'입니다. 이 글에서는 전체 파이프라인을 쉽게 풀어 보고, 환각을 어떻게 잡는지까지 정리합니다.이 글의 대화 예시와 처리 시간은 설명을 위해 만든 예시 값입니다. 모델 사양(파라미터 수, 층 수 등)은 공식 자료를 ..
디지털 포렌식 조사나 침해사고 분석을 시작할 때 가장 먼저 마주하는 개념이 아티팩트(Artifact)1입니다. 운영체제나 애플리케이션이 동작하면서 시스템 곳곳에 남기는 흔적으로, 사용자가 의도하지 않아도 자동으로 기록되기 때문에 사건의 타임라인을 재구성하는 핵심 근거가 됩니다.이 글에서는 디지털 증거의 기본 분류부터, 실무에서 가장 자주 확인하는 윈도우 핵심 아티팩트 14종을 분석 목적(파일·폴더 접근, 프로그램 실행, 시스템·외부장치 흔적)에 따라 체계적으로 정리합니다.이 글은 Windows 7부터 Windows 10·11 환경까지 이어지는 주요 호스트 아티팩트를 기준으로 정리했습니다. 아티팩트별 세부 경로와 보존 기간은 윈도우 빌드 및 그룹 정책 설정에 따라 달라질 수 있습니다.디지털 증거의 두 가지..
서버 환경에서 발생하는 침해사고나 비인가 접근을 조사할 때 가장 먼저 확보해야 할 핵심 증거는 리눅스 로그 아티팩트(Linux Log Artifact)1입니다. 리눅스 운영체제는 시스템 부팅부터 커널 이벤트, SSH 원격 접속, 권한 상승(sudo), 웹 요청, 파일 전송에 이르는 거의 모든 활동을 /var/log 디렉터리 아래에 체계적으로 기록합니다.이 글에서는 실무 침해사고 대응(DFIR)과 서버 보안 감사에서 반드시 확인해야 하는 리눅스 핵심 로그 아티팩트 12종을 역할별(시스템·커널, 사용자 인증·접속, 웹·메일·파일 전송 서비스)로 분류하고, 텍스트 로그와 바이너리 로그를 각각 어떤 명령어로 분석하는지 실전 예제와 함께 정리합니다.리눅스 배포판 계열에 따라 로그 파일 이름이 다를 수 있습니다. ..
보안 관제나 디지털 포렌식 실무에서 침해사고(Security Incident)를 마주했을 때, 단순히 감염된 악성코드 파일 하나를 지우는 것만으로는 사고를 수습할 수 없습니다. 공격자가 어떤 경로로 처음 침투했고, 내부에서 어떻게 권한을 높여 핵심 서버까지 이동했는지 전체 공격 시나리오를 파악해야 재발을 막을 수 있기 때문입니다.이 글에서는 침해사고의 법적·실무적 정의와 주요 위협 요소(크리덴셜 탈취, APT, 백도어, 랜섬웨어 등)를 정리하고, 공격자의 행동 양식을 체계적으로 추적하는 프레임워크인 사이버 킬 체인(Cyber Kill Chain), 고통의 피라미드(Pyramid of Pain), 그리고 MITRE ATT&CK의 TTPs와 Active Directory(AD) 환경에서의 측면 이동까지 한 ..
로컬 우분투(Ubuntu) 서버나 개인 홈 서버에 CTFd 같은 웹 애플리케이션을 띄웠다면, 다음 단계는 복잡한 공인 IP 주소와 포트 번호(예: http://203.0.113.10:8000) 대신 누구나 기억하기 쉬운 도메인 주소와 안전한 HTTPS(SSL/TLS) 암호화 연결을 붙이는 작업입니다.이 글에서는 이전 글(CTFd 서버 구축)에 이어, ① 도메인 발급 및 DNS 레코드 설정, ② 공유기 포트 포워딩, ③ Nginx 리버스 프록시(Reverse Proxy)1 구성, ④ Let's Encrypt(Certbot) 무료 SSL 인증서 발급과 갱신 오류 대처법까지 외부 서비스 공개의 전 과정을 단계별로 정리합니다.실습이나 개인 프로젝트 용도라면 유료 도메인(Namecheap, GoDaddy, 가비아..
보안 동아리 세미나, 사내 해킹 방어 훈련, 혹은 개인 스터디를 진행하다 보면 직접 만든 문제를 올리고 점수를 집계할 수 있는 CTF(Capture The Flag)1 플랫폼이 필요해집니다. 밑바닥부터 로그인, 문제 풀이 검증, 실시간 스코어보드를 직접 개발하려면 상당한 시간이 걸리지만, 오픈소스 프레임워크인 CTFd를 활용하면 단 몇 분 만에 완성도 높은 워게임 사이트를 구축할 수 있습니다.이 글에서는 Ubuntu LTS 서버(또는 윈도우 WSL22 환경)에서 Docker와 Docker Compose를 이용해 CTFd 플랫폼을 가장 깔끔하게 배포하는 방법과, 초기 관리자 설정 및 문제 출제(정적·동적 배점) 과정을 단계별로 정리합니다.별도의 클라우드 서버(AWS, GCP, Azure)가 없더라도 윈도우..
시스템 프로그래밍, 리버싱(역공학), 그리고 디지털 포렌식을 깊이 이해하기 위해 가장 먼저 다져야 할 기초가 컴퓨터 구조(Computer Architecture)와 디지털 저장매체의 동작 원리입니다. 프로그램이 실행될 때 데이터가 디스크(HDD·SSD)에서 주기억장치(RAM)를 거쳐 CPU 내부의 캐시(Cache)와 레지스터(Register)로 어떻게 이동하는지 알아야 메모리 덤프 분석이나 삭제된 파일 복구의 원리를 설명할 수 있습니다.이 글에서는 컴퓨터를 구성하는 핵심 연산·저장 장치(CPU, GPU, 레지스터, 캐시, RAM, HDD/SSD, 램 디스크)의 역할을 메모리 계층 구조에 따라 체계적으로 비교하고, 디지털 포렌식 관점에서의 휘발성(Volatility)1과 저장매체별 증거 수집 특성까지 함께..
