답변
장애 결과만으로 특정인의 범행을 단정할 수 없습니다. 부정한 명령·자료 훼손 등 행위와 정보처리 장애 사이의 관계, 다른 기술적 원인을 확인해야 합니다.
구체적으로 살펴보면
이 질문에서 먼저 구분할 점은 무엇인가요?
느려진 원인이 비정상 접속 때문인지 기술 자료로 확인할 필요가 있습니다. 일반 장애·서버 문제와 의심 접속을 구별하세요.
접속 지연만으로 범인을 특정할 수 있나요?
서비스가 느려졌다는 결과만으로 누군가의 컴퓨터 업무방해가 증명되는 것은 아닙니다. 정보처리장치나 전자기록의 손괴, 허위정보·부정한 명령 입력 등 행위가 있었고 그로 인해 정보처리에 장애가 생겨 업무가 방해됐는지를 확인해야 합니다. 정상 이용자 증가나 설정 오류도 같은 증상을 낼 수 있습니다(형법 제314조 제2항 참조).
기술 자료에서는 무엇을 구별하나요?
장애 전후 접속량, 요청 형태, 명령 실행과 설정 변경 시점을 비교하면 외부 공격인지 내부 결함인지 좁힐 수 있습니다. 특정 IP의 접속이 많다는 사실만으로 실제 행위자나 고의가 확정되지는 않습니다. 복구 작업을 하면서 로그가 덮어써질 수 있으므로, 서비스 회복과 별도로 원본 로그·백업을 확보해 분석 경위를 남기는 것이 좋습니다.
확인하고 준비할 자료
- 접속·오류 로그
- 장애 시간표
- 운영업체 분석
- 복구 내역