Autopsy 정보 확인 방법 Hash값 확인 증거 USB의 Hash값 구하기 FTK Imager를 이용하여 이미지를 생성하면 자동으로 로그파일이 생성되면 로그파일에서 Hash값을 확인할 수 있다. 하지만 로그파일과는 별개로 Autopsy에서도 확인할 수 있다. Autopsy에서 확인시, Tree Viewer의 ‘Data Sources’ 항목 Host 클릭 후, Result Viewer의 이미지 파일을 클릭하고 Content Viewer의 File Metadata에서 확인할 수 있다. 특정 파일의 Hash값 구하기 특정 파일의 Hash값을 구하려면 파일을 클릭 후, Content Viewer의 File Metadata에서 확인할 수 있다. 증거물 매체의 정보 확인 매체관련 정보 FTK Imager를 사용..

파일 시스템 복구 훼손된 파티션 확인 FTK Imager로 증거매체를 불러와서 확인하면 파티션 옆에 Unrecognized File System, Recovered 또는 Deleted로 나오는 경우가 있다. 이런 경우는 파일 시스템이 훼손된 경우이다. Unrecognized File System으로 나오는 경우 파티션 복구가 필요하다. 하지만 Recovered 또는 Deleted는 Autopsy에서 열 경우 복구하지 않아도 안에 내용을 확인할 수 있어 복구할 필요가 없다. FAT 파일 시스템 복구 생성한 이미지를 확인한 결과 FAT32 파티션에 문제가 있다면, RAW(DD) 파일로 이미지를 다시 생성하고 HxD에서 복구해주어야 한다. ‘도구 -> 디스크 이미지 열기’에서 이미지 파일을 불러오면 된다. 기..

Autopsy 설정 Case 생성하기 Autopsy를 실행하고 New Case를 클릭한다. Case Name과 Case파일이 저장될 경로를 설정해 준다. Case Number와 분석관 정보를 입력하면 된다. 선택사항으로 그냥 넘어가도 된다. 다음 역시 그냥 넘어가면 된다. 분석하려는 Data(연결된 기기 또는 이미지 파일)의 유형을 선택하면 된다. 분석하려는 이미지 파일과 시간대, 섹터 사이즈를 선택한다. 분석 옵션 설정 분석 모듈을 선택해야 한다. 상황마다 다르지만 보통은 저렇게 체크해 주면 된다. 각 항목의 의미는 다음과 같다. Recent Activity: 운영체제, 설치된 프로그램, 웹브라우저 등의 사용자 행위 분석 Hash Lookup: 해시값 산출 File Type Identification:..

FTK Imager 사용법 증거매체 불러오기 FTK Imager를 실행 후 좌측 상단의 ‘Add Evidence Item’을 클릭하면 대상이 되는 매체 또는 파일을 불러올 수 있다. 불러올 대상을 선택할 수 있는데 각 항목의 의미는 다음과 같다. Physical Drive: 물리적인 드라이브 전체를 불러옴 Logical Drive: 특정 파티션만을 불러옴 Image File: 이미 생성되어 있는 이미지를 불러옴 Contents of a Foloer: 특정 폴더와 그 하부 파일들을 불러옴 USB의 이미지를 생성하기 위해선 Physical Drive를 선책해야 한다. 불러올 매체를 선택할 수 있다. 용량을 보고 USB를 찾아 선택하면 된다. 불러오기를 완료하면 위와 같은 화면이 나오며, USB의 정보, 폴더..

레지스트리 수정을 통한 쓰기 방지 디지털 포렌식에서 이미지 생성 전 필수적인 단계이다. 만약 쓰기 방지가 되어 있지 않다면 증거 자료의 무결성이 깨질 수 있다. 레지스트리 수정은 윈도우 시스템에서 가장 기초적인 방법으로, Encase 등의 소프트웨어를 이용한 방법을 사용할 수 없을 때를 대비하여 알고 있어야 하는 기본이다. ‘윈도우키+R’ 후 regedit를 입력하여 레지스트리 편집기를 실행시켜 준다. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies 해당 경로에 Key(폴더)가 있는지 확인한다. 없을 경우 마우스 우클릭 후 ‘새로 만들기’ -> ‘키(K)’ 클릭하고 이름을 StorageDevicePolicies라고 입력하..

포렌식 도구의 종류(이미지 생성 및 분석) 포렌식 도구는 다양하게 있지만 위의 세 개의 도구가 주로 사용된다. FTK Imager FTK Imager는 사본 이미지 생성 전용 프로그램으로 증거매체를 연결하여 사본 이미지를 생성하는 데 사용된다. 증거 매체 및 사본 이미지를 간략하게 확인할 수 있지만 시그니처, 삭제된 파일의 복구 등 전문 분석은 한계가 있어서 따로 분석 전용 프로그램을 사용해야 한다. 또한 Encase와는 다르게 쓰기방지 프로그램을 제공하지 않기 때문에 이미지 생성 전 Encase, FastBloc SE, 레지스트리 수정 등을 통해서 별도의 쓰기 방지를 실시해야 한다. Encase 전 세계적으로 가장 많이 사용되는 신뢰도 높은 디지털 포렌식 프로그램이다. FTK Imager와는 다르게 이..