개요
KAC 스크린셰어(SS)는 제보나 의심 정황이 있을 때 상대 PC에 남은 Windows 흔적을 정해진 순서로 모아 하나의 판정으로 닫는 검사 절차다. 이 문서는 그 절차를 처음 하는 사람도 끝까지 따라갈 수 있도록 정리한 안내서다.
한 문장으로 줄이면 이렇다. 유저모드 흔적(Ring3)을 먼저 보고, 서로 독립된 증거가 같은 결론을 가리킬 때만 판정 단계를 올리며, 무엇을 확인했는지 증거로 남긴다.
스크린셰어(Screen share)란 무엇인가
"스크린셰어"라는 이름은 검사 방식에서 왔다. 의심받는 플레이어가 AnyDesk·TeamViewer 같은 원격 도구로 자기 PC의 조종 권한을 검사자에게 넘겨주면, 검사자가 그 PC를 원격으로 직접 조작해 호스트에 남은 기록을 들여다본다. 화면 공유 앱 자체를 가리키는 말이 아니라, 동의를 받은 호스트 위에서 이루어지는 사후 검사를 가리킨다. 세션은 전부 이 원격 조작 방식으로 진행한다.
SS는 안티치트가 아니다. 안티치트는 게임과 함께 상주하며 실시간으로 막거나 서버로 신호를 보낸다. SS는 제보가 들어온 뒤에 시작되는 사람 주도의 검사로, 안티치트가 놓친 것을 호스트에 남은 기록으로 재구성하는 보완 수단이다. 판정 문장은 밴이 아니라 증거의 상태를 말하는 라벨이고, 실제 제재 여부는 서버나 조직의 별도 정책이 정한다.
무엇을 검사하나
SS 한 세션은 보통 30분에서 45분이다. 그 시간 동안 하는 일은 세 가지다.
- 아티팩트 수집과 교차. 동의한 범위 안에서 프로세스, 디스크 흔적, 실행 이력 같은 서로 다른 종류의 기록을 모아 대조한다.
- Ring3 흔적부터 확인. 커널이나 외부 장치까지 가기 전에 유저모드에 남는 흔적부터 순서대로 확인한다.
- 증거와 판정 기록. 무엇을 봤고 무엇을 보지 못했는지를 스크린샷 캡처와 영상 녹화로 함께 남기고, 마지막에 판정을 기록한다.
Ring3만으로 결론이 서지 않고 정해진 조건을 충족한 경우에만 커널(Ring0)이나 외부 장치(DMA) 검사로 넘어간다.
다루는 범위
이 사이트는 Windows PC에서 하는 검사를 다룬다. macOS와 Linux, 모바일(PojavLauncher 등), 콘솔, Minecraft Bedrock Edition은 범위 밖이다.
왜 Ring3부터인가
흔적은 세 개의 층에 남는다. 아래로 내려갈수록 더 강력해지는 것이 아니라, 더 좁은 조건에서만 여는 층이다.
| Layer | 무엇 | 언제 |
|---|---|---|
| Ring3 | 유저모드 디스크·프로세스 흔적 | 1순위. 기본적으로 전부 본다 |
| Ring0 | 커널·드라이버·코드 무결성 | Ring3로 결론이 서지 않을 때만 |
| L0 / DMA | 외부 장치·IOMMU 경로 | Ring3로 결론이 서지 않을 때만. 환경이 갖춰졌다고 확정은 아니다 |
Ring3를 1순위로 두는 이유는 실무적이다.
- 증거 밀도. Windows는 유저모드 활동을 추적하는 기록을 스스로 만든다. Prefetch, USN 저널, BAM, 이벤트 로그는 전부 OS가 자기 목적(성능·호환·감사)으로 남긴 것이라, 같은 시간에 가장 많은 독립 축을 확인할 수 있다.
- 동의와 안전. 유저모드 조회는 대부분 읽기 전용이라 호스트 상태를 바꾸지 않는다. 메모리 덤프나 커널 도구는 별도 동의와 위험 고지가 필요하다.
- 재현 가능성. 디스크 아티팩트는 다른 검사자가 같은 도구로 다시 확인할 수 있어 판정을 뒷받침하는 재료가 된다.
아티팩트·타임라인·환경·판정
세션에서 나오는 재료는 네 종류이고 역할이 다르다. 이 넷의 관계를 이해해야 개별 도구 사용이 판정으로 연결된다.
- 아티팩트는 OS가 남긴 기록이다. Prefetch의 실행 흔적, USN의 파일 변경 저널, BAM의 사용자별 실행 기록, 이벤트 로그의 감사 기록이 대표적이다. 각각은 "무엇이 실행됐나", "파일이 언제 생기고 지워졌나", "누가 마지막으로 돌렸나"처럼 한 가지 질문에 답한다.
- 타임라인은 아티팩트들의 시각을 한 줄로 정렬한 것이다. 제보가 가리키는 매치 시각과 겹치는지, 어느 구간에 공백이 있는지가 판정 재료가 된다.
- 환경은 판정의 조건이다. HVCI나 IOMMU가 꺼져 있다든가, 2PC를 쓴다든가 하는 사실은 가중치일 뿐 단독으로 유죄 근거가 되지 않는다.
- 판정은 위 셋을 교차해 내리는 문장이다. 라벨은 넷뿐이다.
핵심 원리는 교차다. 아티팩트 하나는 그저 단서이고, 서로 독립된 축 두 개 이상이 제보 시간대에서 같은 가설을 가리키며 정상 설명이 무너질 때 비로소 Confirmed가 된다.
판정 라벨
모든 세션은 아래 네 라벨 중 하나로 끝난다.
| 라벨 | 의미 |
|---|---|
| Confirmed | 독립된 축이 교차하고, 설명이 치트 쪽으로만 수렴한다 |
| Suspicious | 신호는 있으나 교차나 대안 설명이 아직 해소되지 않았다 |
| Insufficient | 시간·권한·도구·휘발 때문에 판단할 수 없는 축이 있다 |
| Clean(조건부) | 검사한 범위 안에서 유의미한 이상이 없다. 무죄 선언이 아니라 범위를 한정한 진술이다 |
한 가지 원칙이 판정 전체를 관통한다. 하나의 신호만으로는 결론을 올리지 않는다. 다음은 어느 것도 단독으로 Confirmed를 만들 수 없다.
- 스캐너 히트, 아티팩트 단일 축
- Ring0 또는 DMA 발견물(DMA는 Insufficient가 기본 출발점이다)
- HVCI·IOMMU 같은 환경 설정
- 무서명 파일,
malfind히트 - 커뮤니티 자료만 근거로 삼은 판정
자세한 기준은 판정 루브릭에 있다.
이 사이트의 구조
사이트는 여섯 갈래로 나뉜다.
| 섹션 | 내용 | 언제 보는가 |
|---|---|---|
| get-started | 개요·빠른 시작·원칙 10·검사받는 사람을 위한 안내 | 처음 배울 때, 검사 직전 재확인, 검사를 받기 전 |
| learn | 위협 모델·3-Layer·Windows 흔적·치트 계열·안티포렌식 | 왜 그렇게 하는지 이해할 때 |
| run | 표준 절차·Ring3 축 카드 10장·증거 패키지 | 라이브 세션 중 축별 절차 |
| judge | 판정 루브릭·FP 베이스라인 | 라벨을 쓰기 전 |
| escalate | 에스컬레이션 판단·Ring0·DMA 안전 깊이 | Ring3로 결론이 안 날 때 |
| reference | 용어·플랫폼 환경·LOLDrivers·도구 카탈로그·개인정보·법적 고려 | 모르는 용어나 출처가 나올 때, 동의·녹화·보존 기준을 확인할 때 |
어디서 시작하나
상황에 따라 권장 경로가 다르다.
| 상황 | 권장 경로 |
|---|---|
| 처음 배운다 | 개요 → 원칙 → 위협 모델 → Windows 흔적 → 빠른 시작 |
| 지금 라이브로 검사 중 | 빠른 시작 → 표준 절차 → 필요한 카드 → 루브릭 |
| Ring3로 결론이 안 난다 | 절차 소결 → 에스컬레이션 |
| 용어가 막힌다 | 용어집 |
| 검사를 받게 됐다 | 검사받는 사람을 위한 안내 |
| 동의·녹화·보존 기준이 필요하다 | 개인정보·법적 고려 |
Sources
- 절차: 표준 절차
- 판정: 판정 루브릭 · 오탐 베이스라인
- 층 구조: 3-Layer 모델
- MS Learn — Change Journals (USN 저널의 OS 목적)
- MS Learn — Event Logging (이벤트 로그 구조)
- Magnet — Prefetch 포렌식 분석 (실행 후보 아티팩트로서의 Prefetch)
Next
- 실무로 진입 → 빠른 시작 (30~45분)
- 원칙부터 → 원칙 10
- 배경 이해 → 위협 모델