인터락 로그를 엑셀로 열기 전 수식 해석 여부 점검하기

TL;DR

인터락 로그를 표 계산 프로그램으로 읽을 때는 텍스트가 수식으로 해석되지 않는지 별도 확인해야 합니다. 공급자가 실제로 지원하는 내보내기 형식을 먼저 확인하고 원본과 검토용 파일을 분리하세요. 한글이 정상으로 보인다는 사실만으로 수식 해석 문제까지 해결됐다고 판단하지 않습니다.

읽어야 할 기록이 실행할 수식으로 바뀌지 않게 합니다

이 글은 실제 구성에서 CSV 같은 텍스트형 로그를 제공받는 경우의 검토 절차입니다. 모든 인터락 장치가 CSV를 내보내거나 같은 필드를 가진다는 뜻은 아닙니다. 형식이 전용 프로그램 파일이라면 임의로 확장자만 바꿔 열지 말고 공급자가 안내한 읽기 방법부터 확인합니다.

OWASP는 스프레드시트로 CSV를 열 때 등호로 시작하는 셀이 수식으로 해석될 수 있다고 설명합니다. 차량 별칭이나 사용자 메모처럼 외부 입력이 포함된 열이 있다면 파일을 만든 내부 시스템이라는 이유만으로 모든 내용이 단순 텍스트라고 가정하지 않는 편이 좋습니다. 문자 인코딩을 맞춰 한글이 읽히는 문제와 셀이 어떤 형식으로 취급되는지는 구분해야 합니다.

원본을 보존하고 검토 환경을 정합니다

먼저 원본 파일의 제공 경로와 생성 프로그램을 확인하고 원본을 덮어쓰지 않는 복사본으로 검토하도록 제안합니다. 알 수 없는 파일을 개인 PC에서 곧바로 열어 경고를 무시하는 방식은 피합니다. 기관의 정보보안 담당자가 정한 환경과 허용된 가져오기 절차를 사용하고 필요한 설정을 확인하기 어렵다면 지원 담당자에게 문의합니다.

Microsoft 공식 안내는 Excel이 CSV를 열 때 현재 기본 데이터 형식 설정으로 각 열을 해석하며 텍스트 가져오기에서 열 형식을 지정할 수 있다고 설명합니다. 실제 메뉴와 기본 동작은 프로그램 버전에 맞춰 확인해야 합니다. 열을 문자열로 읽겠다고 선택한 뒤에도 위험한 입력이 실제로 실행되지 않는지 검토용 자료로 확인하고, 그 설정 하나가 모든 프로그램에서 같은 효과를 낸다고 보장하지 않습니다.

확인할 것은 글자 모양보다 셀의 해석입니다

로그에 그런 열이 없다면 없는 필드를 만들어 위험이 존재한다고 보고할 필요는 없습니다. 실제 내보내기 항목과 입력 경로를 바탕으로 검토 범위를 정합니다. 반대로 이름이 메모 열이라는 이유만으로 원문을 수식으로 실행해도 된다고 볼 수는 없습니다. 불명확한 접두 문자나 제어 문자가 있는 행은 검토 대상으로 표시하고 측정값을 임의로 고치지 않습니다.

표시용 처리와 원자료의 의미를 구분합니다

수식 해석을 막으려고 문자나 접두부를 추가하는 경우 그 문자가 파일의 실제 데이터에 남을 수 있습니다. 사람이 보기 위한 사본을 다시 시스템으로 가져오면 식별자 대조나 자료 처리에 영향을 줄 수 있으므로 원본 로그를 대신하는 자료로 조용히 바꾸지 않습니다. 어떤 방식을 적용할지는 실제 스프레드시트와 다음 소비 시스템에 맞춰 검토해야 합니다.

OWASP는 저장 후 다시 열 때 따옴표나 이스케이프 처리의 효과가 달라질 수 있고 모든 환경에 보편적으로 안전한 한 가지 처리법이 없다고 안내합니다. 따라서 인터넷에서 찾은 한 줄 치환 규칙을 모든 파일에 적용하고 검증 완료로 표시하지 않습니다. 가공본이 필요한 업무라면 저장·재열기와 다음 가져오기까지 기관 담당자가 확인하고 원본과의 차이를 기록하도록 제안합니다.

문의 자료는 파일과 읽기 절차를 연결합니다

디에이텍 또는 연동 담당자에게 문의할 때에는 실제 내보내기 형식, 열의 용도, 사용하는 프로그램 버전과 가져오기 경로를 나누어 설명할 수 있습니다. 개인 식별정보가 불필요한 시험 자료로 재현할 수 있는지 검토하고 원본 전체를 여러 사람에게 배포하지 않습니다. 화면의 계산 결과를 장치가 기록한 값으로 돌려보내는 실수도 피해야 합니다.

마무리

텍스트 로그는 내용의 출처와 읽는 프로그램의 해석을 함께 확인합니다. 원본, 표시용 가공본과 시스템 재입력 자료를 구분하고 실제 환경에서 검증한 절차로 수식 해석 여부를 점검하세요.