디지털 포렌식 1주차 스터디

해당 강의를 수강하며 정리한 내용입니다.

[무료] 기초부터 따라하는 디지털포렌식 - 인프런 | 강의

---

강의 진행 전 준비 사항
- C 드라이브 이외에 D, E 드라이브 등 추가 드라이브가 존재해야 함
- 추가 드라이브가 없다면, USB가 1개 이상 존재해야 함

해당 강의에서는 컴퓨터, 디스크, 메모리를 다룰 것! (포렌식에서 기술적인 부분만)

 

- 실습에 필요한 7zip, Everthing, notepad++, HxD, FTK Imager 이미 설치된 상태에서 시작

- sysinternals suite, Autopsy 추가 설치 

• HxD : 파일의 hex값을 볼 때 사용함. 검색기능 등 다양한 기능이 있음
• Everything: 포렌식 도구는 아니지만, 컴퓨터 전체 안에서 파일을 빠르게 찾을 수 있도록 파일의 위치를 찾아주는 도구 (찌꺼기 파일까지 검색 가능)
• 7zip: 압축해제 프로그램, 7z 등 다른 해제 프로그램으로 못 푸는 파일들을 풀 수 있음 (반디집도 있는데 반디집은 광고 개많음 <- 이거 실제로 개똥구림 내가 실제로 써보고 내 노트북이 그냥 광고로 범벅됨)
• notepad++: 여러가지 파일을 한 번에 볼 수 있고, 전체파일에 대해서 검색도 할 수 있기 때문에 편함 
• sysinternals suite: 도구들의 모임
  • 자주 쓰는 도구들 (strings, procexcp, procmon)이 포함되어 있음
  • 침해사고분석할 때 자주 사용할 예정
• FTK Imager: 디스크 이미지 관리 도구 
• Autopsy: 디스크 이미지 관리 + 강력한 추가적인 기능 (심지어 무료임)

 

1. 디스크 이미징

: 디스크 안의 내용을 파일의 형태로 가져오는 것

 

해당 강의에 나오는 실습을 따라하기 위해서 D 드라이브를 만들어주었다.

[꿀팁] 윈도우10 D드라이브 만들기 [윈도우10 디스크 분할, 파티션 나누기]

 

 

(1) FTK Imager 다운로드

 

이미 설치되어 있는 파일이어서 해당 과정은 넘어갔다

 

 

(2) FTK Imager 관리자 권한으로 실행

 

(3) create image disk 클릭

 

(4) Physical Drive

(5) USB 드라이브 (용량이 적은 것으로 선택)

 

(6) Select Image Type: E01

• Raw보다 압축된 타입임

(7) Evidence item information: skip

• 실제 수사할 때 입력하는 내용 -> skip

(8) image destination folder 선택, filename 입력

• 이미지 파일을 저장할 위치와 저정한 파일 이름

(9) image fragment size: 0

• 이미지 파일이 크기 때문에 이미지파일을 쪼개서 저장할 거냐는 것 ! 우리는 쪼개지 않으므로 0 입력)
• finish

 

 

(10) start 클릭

- 오류 발생 "이미지의 도착지점이 이미징되는 디스크에 올 수 없다"

 

즉, 이미징하는 디스크와 이미징 파일을 다른 디스크에 저장해야 한다는 의미이다.

예를 들면, C드라이브를 이미징하면 저장 경로는 D드라이브가 되어야 한다는 것이다. 

나는 USB의 이미지를 저장하므로, C드라이브에 해당 이미지 파일을 저장할 것이다. 

 

디스크 이미징 완료

 

2. 디스크 마운팅

: 디스크 이미지를 다시 드라이브처럼 컴퓨터에 붙이는 것

//(이미지 파일 -> 드라이브..)

 

 

(1) 이미지 마운팅 클릭

(2) 생성한 img 파일(E01) 선택 - 나머지 항목 자동 설정됨

(3) Mount 클릭

 

 

-  파일 시스템에 자동으로 E드라이브가 추가된 것을 확인할 수 있다. 

 

+) Evidence Item 추가

(1) Add Evidence Item 클릭

(2) Physical Drive 선택

(3) 새로 생성된 가상 저장소 선택 

 

컴퓨터에 있는 드라이브나 이미지 파일 사용 시 굳이 마운트를 할 필요는 없음

 

이미지 파일을 분석할 때는 마운트가 크게 필요하지 않음

그러나, 마운트를 하는 이유는 컴퓨터 폴더에서 이미지 파일을 똑같이 보기 위함임

PATH 가 잡혀야 Registry 분석 도구, Web Browser 분석 도구 등의 여러 도구들을 사용할 수 있기 때문 

(마운트 하면 좋음~)

 

3. 메모리 덤프

: 시스템의 물리 Memory를 File 형태로 저장하는 방법

 

(1) Capture Memory 클릭

 

(2) path 설정, 나머지는 기본값

(3) Capture Memory 클릭

 

- HxD에서 해당 파일 확인 가능

 

우리는 메모리의 일부만 사용하기 때문에 메모리 덤프는 찌꺼기 데이터가 많음 (용량이 매우 큼)

-> 쓸모있는 데이터를 찾는 과정이 필요함

 

---

4. 삭제된 파일 복구

 [root]에 들어가보면 X표시가 있는 파일이 존재함

• 삭제된 파일들은 X 표시가 뜸

 

(1) 복구할 파일에 오른쪽 클릭 후 Export Files 클릭

 

 

(2) Autopsy

Autopsy는 내부적으로 윈도우 파일 시스템 내부의 아키텍처 지원을 하고 있음

디스크 이미지를 Autopsy에 넣는 경우, 많은 데이터를 뽑아낼 수 있음

1. new case 클릭
2. 원하는 이름, 원하는 경로로 설정
3. Optional Information은 pass - finish
4. Select Host - Generate new host name based on data source name
5. Select Data Source Type - Disk Image or VM File
6. Path - 생성한 이미지
7. 전부 next를 클릭 후 Finish

 

 

- 삭제된 파일의 내용을 확인할 수 있다.

 

- 파일 타입에 따라서 발견된 파일들을 정리

- DB에서 발견된 파일을 나열해주고 볼 수도 있게 해줌

- 문서 파일도 모아서 보여줌

* 프로그램 이미지가 커질수록 정리가 중요 -> Autopsy가 유용하게 사용될 수 있음