쪽팔리면 질문하지 맙시다. 소중한 답변 댓글을 삭제하는건 부끄러운 일 입니다
회사에 감사가 나왔는데 포렌식으로 운영중인 서버에 데이타 복사를 이야기 하고 있습니다
그냥 상식적으로 서버 파워 Off하고 디스크 떼서 이미지 떠간다고 하면 당연히 이해가 가는데 운영중인 서버를 갑자기 포렌식으로 복사 해간다??
이해가 안가는데 어떤 방식인지 경험있으신분들 조언좀 부탁드립니다 참고로 운영자 권한이 없어서 파워 Off도 쉽지 않은 상황이라서 어떤 준비가 필요할지 알아야 대응이 될거 같아서 질의 드립니다
김동균
막연하게 덤프 만들어서 하면 된다...로 하기는 확인되어야 할 부분들이 있을겁니다..
OS 가 무엇인지
서버 구성이 어떤지
어떠한 데이터가 목적인지 등등
원격이든 콘솔이든 해당 서버에 슈퍼(root,sa)권한으로 접근해야 메모리나 디스크 파일시스템, 로그, 프로세스, DB 등 각종 자료를 수집하지 않을까 싶습니다.
추출하는 툴들은 다양하게 있어서 고가의 툴이나 DIY 로 현장에서 사용하기 편한 종합선물세트 툴이 있지 싶습니다.
추출 데이터를 받는 방식은 저장매체를 연결해서 이용하거나 nas?처럼 네트웍으로 받으면 편하긴하겠네요.
받은 여러종류의 데이터들은 분석툴에 집어 넣으면 상관도랑 관련 연관 정보를 아주 이쁘게 보고서로 만들어주지 않을까 싶습니다.
최근 다행 스럽게 제가 있는 곳은 아니지만 동종 업계에 압수 수색이 들어와서 DB 를 그냥 운영중인서버에서 운영에 영향 없이 바로 가져가는 일이 있었습니다.
참고로 윈도우 리눅스 서버 PC등등 여러가지입니다 ㅜㅜ
미리 사전에 시뮬레이션하셔서 문제가 없는지 체크해보시는것도 작업시간을 줄이는 방법일것 같습니다.
감사를 받으시는 수준의 시스템 정도이시면 내부 정교한? 보안SW들이 가만히 넋놓고 있지는 않을듯합니다.
db서버라면 아마 db백업 수준일듯 합니다. db를 백업 후 그 백업파일의 해시값정도를 계산한다는 의미일것 같습니다.
관련 업계(?)에서 일을 한 경험으로 봤을 때, 현재 국내에 db서버를 온라인상태에서 디스크 이미지를 떠 갈 감사업체는 없을듯 합니다.
그리고 db서버는 디스크 이미지를 떠 가면 그걸 다시 dbms에 올려서 데이터를 보는것이 그리 녹록한 일은 아닙니다.
서버 데이터는 그냥 온라인 백업정도일듯 하고, 일반 사용자 pc나 포렌식 프로그램 돌리는 수준일겁니다.