'분류 전체보기' 카테고리의 글 목록 (2 Page) — 나의 이야기

전체 글

👉🏻 2023-08-12 창경궁

창경궁에 갔다왔어요 원래는 창덕궁을 가려했으나 5시까지만 한다는걸 몰라서…. 어쩔 수 없이 옆에 있는 창경궁에 갔어요 아무 생각 없이 들어와서 처음 입구 사진은 없어요 주말이어서 그런가 사람들이 꽤 많았어요 들어오면 돌다리가 있어요 이게 궁 내부랑 외부랑 구분해주는 역할을 한대요 다리를 건너고 명정문을 지나면 아 이게 궁궐이구나 싶은 풍경을 볼 수 있어요. 오른쪽으로 빠지면 이런 큰 호수도 있어요 안에는 물고기도 많이 살아요 호수 옆으로 꽤 괜찮은 산책로도 있어요 여긴 밤에 봐야 진짜 이쁜데 사진을 못찍었어요 끝까지 가보면 조그만한 식물원도 있어요 다들 저 앞에서 사진 찍는 모습 보는 것도 나름 재밌었어요 안에 들어가보니 식물도 많고 괜찮았어요 창경궁 왔으면 한 번은 와볼만 해요 나오니까 귀여운 고양이들..

👉🏻 06. 정보확인

Autopsy 정보 확인 방법 Hash값 확인 증거 USB의 Hash값 구하기 FTK Imager를 이용하여 이미지를 생성하면 자동으로 로그파일이 생성되면 로그파일에서 Hash값을 확인할 수 있다. 하지만 로그파일과는 별개로 Autopsy에서도 확인할 수 있다. Autopsy에서 확인시, Tree Viewer의 ‘Data Sources’ 항목 Host 클릭 후, Result Viewer의 이미지 파일을 클릭하고 Content Viewer의 File Metadata에서 확인할 수 있다. 특정 파일의 Hash값 구하기 특정 파일의 Hash값을 구하려면 파일을 클릭 후, Content Viewer의 File Metadata에서 확인할 수 있다. 증거물 매체의 정보 확인 매체관련 정보 FTK Imager를 사용..

Series/Digital Forensic

👉🏻 05. 파일시스템 복구

파일 시스템 복구 훼손된 파티션 확인 FTK Imager로 증거매체를 불러와서 확인하면 파티션 옆에 Unrecognized File System, Recovered 또는 Deleted로 나오는 경우가 있다. 이런 경우는 파일 시스템이 훼손된 경우이다. Unrecognized File System으로 나오는 경우 파티션 복구가 필요하다. 하지만 Recovered 또는 Deleted는 Autopsy에서 열 경우 복구하지 않아도 안에 내용을 확인할 수 있어 복구할 필요가 없다. FAT 파일 시스템 복구 생성한 이미지를 확인한 결과 FAT32 파티션에 문제가 있다면, RAW(DD) 파일로 이미지를 다시 생성하고 HxD에서 복구해주어야 한다. ‘도구 -> 디스크 이미지 열기’에서 이미지 파일을 불러오면 된다. 기..

Series/Digital Forensic

👉🏻 04. Autopsy

Autopsy 설정 Case 생성하기 Autopsy를 실행하고 New Case를 클릭한다. Case Name과 Case파일이 저장될 경로를 설정해 준다. Case Number와 분석관 정보를 입력하면 된다. 선택사항으로 그냥 넘어가도 된다. 다음 역시 그냥 넘어가면 된다. 분석하려는 Data(연결된 기기 또는 이미지 파일)의 유형을 선택하면 된다. 분석하려는 이미지 파일과 시간대, 섹터 사이즈를 선택한다. 분석 옵션 설정 분석 모듈을 선택해야 한다. 상황마다 다르지만 보통은 저렇게 체크해 주면 된다. 각 항목의 의미는 다음과 같다. Recent Activity: 운영체제, 설치된 프로그램, 웹브라우저 등의 사용자 행위 분석 Hash Lookup: 해시값 산출 File Type Identification:..

Series/Digital Forensic

👉🏻 03. FTK Imager 사용법

FTK Imager 사용법 증거매체 불러오기 FTK Imager를 실행 후 좌측 상단의 ‘Add Evidence Item’을 클릭하면 대상이 되는 매체 또는 파일을 불러올 수 있다. 불러올 대상을 선택할 수 있는데 각 항목의 의미는 다음과 같다. Physical Drive: 물리적인 드라이브 전체를 불러옴 Logical Drive: 특정 파티션만을 불러옴 Image File: 이미 생성되어 있는 이미지를 불러옴 Contents of a Foloer: 특정 폴더와 그 하부 파일들을 불러옴 USB의 이미지를 생성하기 위해선 Physical Drive를 선책해야 한다. 불러올 매체를 선택할 수 있다. 용량을 보고 USB를 찾아 선택하면 된다. 불러오기를 완료하면 위와 같은 화면이 나오며, USB의 정보, 폴더..

Series/Digital Forensic

👉🏻 02. 쓰기 방지

레지스트리 수정을 통한 쓰기 방지 디지털 포렌식에서 이미지 생성 전 필수적인 단계이다. 만약 쓰기 방지가 되어 있지 않다면 증거 자료의 무결성이 깨질 수 있다. 레지스트리 수정은 윈도우 시스템에서 가장 기초적인 방법으로, Encase 등의 소프트웨어를 이용한 방법을 사용할 수 없을 때를 대비하여 알고 있어야 하는 기본이다. ‘윈도우키+R’ 후 regedit를 입력하여 레지스트리 편집기를 실행시켜 준다. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies 해당 경로에 Key(폴더)가 있는지 확인한다. 없을 경우 마우스 우클릭 후 ‘새로 만들기’ -> ‘키(K)’ 클릭하고 이름을 StorageDevicePolicies라고 입력하..

Series/Digital Forensic

👉🏻 01. 포렌식 도구

포렌식 도구의 종류(이미지 생성 및 분석) 포렌식 도구는 다양하게 있지만 위의 세 개의 도구가 주로 사용된다. FTK Imager FTK Imager는 사본 이미지 생성 전용 프로그램으로 증거매체를 연결하여 사본 이미지를 생성하는 데 사용된다. 증거 매체 및 사본 이미지를 간략하게 확인할 수 있지만 시그니처, 삭제된 파일의 복구 등 전문 분석은 한계가 있어서 따로 분석 전용 프로그램을 사용해야 한다. 또한 Encase와는 다르게 쓰기방지 프로그램을 제공하지 않기 때문에 이미지 생성 전 Encase, FastBloc SE, 레지스트리 수정 등을 통해서 별도의 쓰기 방지를 실시해야 한다. Encase 전 세계적으로 가장 많이 사용되는 신뢰도 높은 디지털 포렌식 프로그램이다. FTK Imager와는 다르게 이..

Series/Digital Forensic

👉🏻 06. 도커파일

Dockerfile 이해 및 빌드 도커파일은 도커 이미지를 생성하기 위한 설정 파일이다. 도커파일을 사용하면 이미지에 포함할 파일, 환경 변수, 실행할 명령 등을 지정할 수 있어 이미지를 보다 효율적으로 생성하고 관리할 수 있다. 도커파일은 다음과 같은 구조를 갖는다. 옵션 설명 FROM 이미지를 생성하는 데 사용할 기본 이미지를 지정 LABEL(선택) 이미지에 메타데이터(버전, 제작자, 라이선스 등)를 추가 RUN 이미지에 설치하거나 실행할 명령을 지정 EXPOSE 컨테이너가 외부에 노출할 포트를 지정. 도커 실행 시 -p 옵션으로 호스트와 연결할 포트를 지정할 수 있음 ENV 환경 변수를 지정 ADD 로컬 파일이나 디렉터리를 도커 이미지에 추가. 자동으로 압축 파일을 해제하고 URL로부터 파일을 다운..

👉🏻 05. 도커 네트워크

도커 네트워크 설정 도커 네트워크는 도커 컨테이너 간에 통신을 가능하게 하는 가상 네트워크이다. 도커 네트워크를 사용하면 컨테이너를 별도의 네트워크에 연결하여 서로 통신할 수 있다. 도커 네트워크는 다음과 같은 유형이 있다. Bridge 네트워크 : 기본 네트워크 유형으로, 호스트 머신의 네트워크에 연결된다. Host 네트워크 : 컨테이너가 호스트 머신의 네트워크와 직접 연결된다. None 네트워크 : 컨테이너가 네트워크에 연결되지 않는다. 도커 네트워크를 설정하는 방법은 다음과 같다. # 도커 네트워크 확인 sudo docker network ls # Bridge 네트워크 생성 sudo docker network create --driver=bridge my-network1 # Host 네트워크 생성 ..

👉🏻 04. 도커 볼륨과 네트워크

도커 볼륨 도커 볼륨은 컨테이너와 호스트 시스템 간의 데이터 공유를 위한 기능이다. 컨테이너는 기본적으로 읽기 전용 이미지를 기반으로 생성되기 때문에 컨테이너 내부의 데이터는 컨테이너가 삭제되면 함께 삭제된다. 이런 경우를 대비해 도커 볼륨을 사용하면 컨테이너 내부의 데이터를 호스트 시스템과 공유하여, 컨테이너가 삭제되더라도 데이터를 유지할 수 있다. 여기선 볼륨을 생성하고 볼륨과 연결된 데이터베이스 컨테이너를 실행한다. 이후 데이터베이스 데이터가 볼륨에 백업되는 것을 확인하고 새로운 컨테이너를 생성할 때 기존 볼륨을 연결하여 데이터를 복원하는 과정을 해 볼 것이다. 도커 볼륨을 생성하고 사용하는 방법은 다음과 같다. # 도커 볼륨 생성 sudo docker volume create my-data-1 #..

이전
1
2
3
4
5
다음

티스토리툴바