백그라운드 작업의 흔적

자리를 비운 뒤에도 생기는 기록

한 조사에서, 업무가 끝난 밤 11시대에 특정 공유 폴더의 파일 수십 개가 연속으로 열린 기록이 나왔습니다. 마침 그 시각 사무실에 남아 있던 직원이 있어, 처음에는 그 사람이 자료를 열람한 것처럼 보였습니다. 그러나 백업이나 색인 생성 프로그램이 파일을 읽었을 가능성도 있습니다.

저는 접근한 시각보다 그 기록을 만든 동작을 먼저 살핍니다. 보안 검사, 미리보기, 동기화도 파일을 처리하며 같은 흔적을 남깁니다. 다만 실제로 어떤 기록이 남는지는 운영체제와 프로그램, 설정에 따라 달라지므로, 한 환경의 경험을 다른 환경에 그대로 대입하지 않습니다.

자동 실행을 판단하는 단서

예약 작업의 설정, 실행 계정, 관련 프로세스와 프로그램 로그를 함께 봅니다.

• 일정한 간격으로 반복되는지, 특정 서비스가 시작될 때 나타나는지 확인합니다.
• 규칙적인 시각만으로 자동 작업이라 확정하지 않습니다. 반복 작업을 사람이 직접 수행했을 수도 있어, 실행 당시의 로그와 설정이 맞물리는지 봅니다.
• 사용자 계정으로 실행되었다는 사실도 직접 조작의 충분한 근거는 아닙니다. 같은 계정으로 예약 작업이 수행될 수 있습니다.

실행과 설정을 나누어 봅니다

자동으로 실행된 작업이라도 누군가 그렇게 설정했을 수 있습니다. 파일 전송이 예약되어 있었다면 실행 방식과 설정 변경의 주체를 별도로 살핍니다. 필요하면 별도 시험 환경에서 동작을 재현하되, 현재 버전에서 재현한 결과를 과거 환경에 그대로 적용하지 않도록 버전과 설정 차이를 확인합니다.

정리

분석 결과는 직접 조작을 뒷받침하는 경우, 자동 작업으로 설명되는 경우, 자료가 부족해 구분하기 어려운 경우로 나뉩니다. 표면 단서인 시각의 규칙성이나 계정 이름으로 사람을 특정하기 전에, 기록을 만든 동작을 먼저 분리하고 실행과 설정을 나눠 보는 것이 핵심입니다.