← 회차 전체 문제편집복원자동 검사 완료2023년 정보보안기사 4회 필기 · 시스템 보안 · NTFS 대체 데이터 스트림 · 10번
NTFS 파일 `report.txt`의 일반 크기는 작지만 `report.txt:payload.exe` 형태의 실행 흔적이 발견됐다. 조사 방향으로 옳은 것은?
- 1
DNS 캐시만 삭제한다.
오답 이유DNS 캐시는 파일 스트림 분석의 직접 대상이 아니다. - 2
대체 데이터 스트림을 열거·해시하고 생성·실행 주체와 관련 로그를 분석한다.
정답 근거숨겨진 스트림의 내용과 행위 연계를 확인하는 절차다. - 3
파일 확장자가 txt이므로 즉시 정상으로 판정한다.
오답 이유주 파일 확장자만으로 별도 스트림의 안전성을 판단할 수 없다. - 4
디스크 전체를 포맷한 뒤 증거를 수집한다.
오답 이유포맷하면 실행 흔적과 타임라인 증거가 손실된다.
정답·상세해설정답 2번
NTFS ADS는 하나의 파일에 이름 있는 별도 데이터 스트림을 저장할 수 있어 일반 탐색 화면에서 크기와 내용이 눈에 덜 띌 수 있다. 스트림 존재와 실행 경로를 확인하고 원본 증거를 보존해야 한다.
콘텐츠 기록콘텐츠 정보
- 자료 유형
- 편집복원
- 검수 상태
- 자동 검사 완료
- 최종 검수
- 2026-08-23