> For the complete documentation index, see [llms.txt](https://docs.plura.io/ko/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.plura.io/ko/v6/fn/comm/systemmgmt/system/forensic.md).

# 포렌식

{% hint style="info" %}
에이전트 설치 후 시스템의 설정 정보를 자동으로 수집하여 보관합니다.\
이후 이상 징후가 발생하면 새로운 설정 정보를 수집하여 기존 데이터와 비교함으로써 침해 여부를 확인할 수 있습니다.

**포렌식 메뉴 설정**

포렌식 기능을 사용하려면 **메뉴 노출 설정**이 필요합니다.\
기본값은 **OFF**로 설정되어 있으며, 아래 경로에서 설정을 활성화할 수 있습니다.

* **설정 경로**:\
  `관리` > `사용` > `호스트 보안` > `포렌식` 

**권한 설정**

* **메뉴 노출 설정 권한**: 관리자만 가능
* **수집/초기화 권한**: 관리자 및 운영자
  {% endhint %}

<figure><img src="/files/IyLCN6lfSoRa49kltHc6" alt=""><figcaption></figcaption></figure>

### 1. 수집  대상 <a href="#id-1" id="id-1"></a>

#### 1-1. 시스템 설정 관리 <a href="#id-1-1" id="id-1-1"></a>

* 시스템 및 네트워크 설정

#### 1-2. 아티팩트 위변조 관리 <a href="#id-1-2" id="id-1-2"></a>

* 시스템 무결성 검사
* 시스템 최적화 및 사용 패턴

#### 1-3. 아티팩트 동적 관리 <a href="#id-1-3" id="id-1-3"></a>

* 네트워크 활동

#### 1-4. 사용자 지정 관리 <a href="#id-1-4" id="id-1-4"></a>

* 파일 및 데이터 관리
* 시스템 및 네트워크 설정
* 사용자 활동 및 트래킹

#### 1-5. 메모리 및 저장소 검사 <a href="#id-1-5" id="id-1-5"></a>

* 메모리 및 저장소 검사
* 시스템 및 네트워크 설정

#### 1-6. 자동 실행 관리 <a href="#id-1-6" id="id-1-6"></a>

* 시스템 및 네트워크 설정
* 시스템 무결성 검사

#### 1-7. 소프트웨어 및 패치 관리 <a href="#id-1-7" id="id-1-7"></a>

* 소프트웨어 및 패치 현황
* Sysmon 관리

#### 1-8. 사고 대응 관리 <a href="#id-1-8" id="id-1-8"></a>

* 프로세스 관리
* 시스템 무결성 검사

### 2. 데이터 수집 (자동) <a href="#id-2" id="id-2"></a>

에이전트 설치 후, 시스템 상태를 자동으로 수집합니다.

* **최초 수집 시점**: 에이전트 설치 직후
* 마우스를 해당 항목에 오버하면 **수집된 날짜 및 시간**이 툴팁으로 표시됩니다.

<figure><img src="/files/rl1f4sFAyeOOTCP9xCRP" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/YuyluZ3kXC0QdQiti0BV" alt=""><figcaption></figcaption></figure>

* 수집된 데이터는 **AI분석**, **복사 및 다운로드**할 수 있습니다.

<figure><img src="/files/PqJSMbfeBydDz9y2FEcD" alt=""><figcaption></figcaption></figure>

### 3. 데이터 수집 (수동) <a href="#id-3" id="id-3"></a>

파일 경로를 직접 입력하거나 수집 대상을 선택하여 데이터를 수집할 수 있습니다.

* 특정 파일 수집 아이콘 클릭

<figure><img src="/files/1ef5HxD7G6k9EAroV09G" alt=""><figcaption></figcaption></figure>

### 4. 현재 값 수집 <a href="#id-4" id="id-4"></a>

* 수집이 필요한 항목을 선택한 후 `수집` 버튼을 클릭하여 데이터를 수집합니다.
* 복수 항목 선택은 플래티넘 라이선스 이상에서만 지원합니다.
* 최근 1시간 이내에 수집한 항목은 주황색 아이콘으로 표시됩니다.
* 수집된 정보는 복사 및 다운로드할 수 있습니다.

<figure><img src="/files/ncrrfS3N7MkCf0oIwLz5" alt=""><figcaption></figcaption></figure>

### 5. 초기화 <a href="#id-5" id="id-5"></a>

* 초기화할 항목을 선택한 후 `초기화` 버튼을 클릭하면 기존 정보가 삭제되고, 현재 데이터가 이전 값으로 업데이트됩니다.
* 주의: 현재 정보가 없는 항목은 초기화할 수 없습니다.

<figure><img src="/files/kJuS61QGqs1TuqBX9SpV" alt=""><figcaption></figcaption></figure>

### 6. 비교 (diff) <a href="#id-6" id="id-6"></a>

* 이전 수집 값과 현재 값을 비교했을 때 변경된 부분이 있는 경우 `diff` 버튼이 표시됩니다.

<figure><img src="/files/jqGAbMihxxJVnUNMfQ7R" alt=""><figcaption></figcaption></figure>

* `diff` 버튼을 클릭하면 변경된 데이터를 확인할 수 있습니다.

<figure><img src="/files/sWVTND9pJJfHMzKMuXPc" alt=""><figcaption></figcaption></figure>

### 📖 PLURA-Blog

* [PLURA 포렌식으로 빠르게 대응하세요: 몇 분 안에 확인해야 할 것들](https://blog.plura.io/ko/column/plura_forensic_quick_analysis/)
* [PLURA를 활용한 BPFDoor 탐지: Audit 로그와 포렌식 기반 대응](https://blog.plura.io/ko/respond/bpfdoor_with_plura/)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://docs.plura.io/ko/v6/fn/comm/systemmgmt/system/forensic.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.