디지털 포렌식 6주차 스터디

해당 강의를 수강하며 정리한 내용입니다.

[무료] 기초부터 따라하는 디지털포렌식 - 인프런 | 강의

---

1. Event Logs

• 로그
  • 컴퓨터를 이용했을 때 컴퓨터 내에 (자동으로) 남는 기록 
• 이벤트 로그(Event Logs)
  • Windows 운영체제에서 시스템의 로그를 남기는 방식
  • 이벤트 뷰어(Event Viewer)를 통해 확인할 수 있음 (윈도우 기본 프로그램)
  • 이벤트 로그에는 시스템 로그, 응용 프로그램 로그, 보안 로그 등이 존재
  • 응용 프로그램 로그, 보안 로그, Setup 로그, 시스템 로그, 응용 프로그램 및 서비스 로그 등이 존재

overview

• 응용 프로그램 로그 (Application)
  • 데이터베이스 오류나 AV 로그와 같이 시스템 구성 요소를 제외한 응용 프로그램에서 발생한 이벤트 기록
  • 기록할 이벤트 유형은 응용 프로그램 개발자가 결정
• 보안 로그 (Security)
  • 파일 만들기, 열기 등의 리소스 사용 이벤트 및 로그인 성공/실패, 보안 정책 변경과 같은 보안 이벤트 기록을 말한다. 기록할 이벤트 유형은 관리자에 의해 변경 가능 (유일하게 사용자가 변경 가능)

• 설치 로그 (Setup) 
  • 응용 프로그램 설치 및 설정과 관련한 이벤트 기록
• 응용 프로그램 및 서비스 로그
  • Internet Explorer, Microsoft Office 및 Windows Application 들에서 생성하는 다양한 로그
  • Windows Defender(디펜더), Partition Diagnostic(USB 연결 흔적), WLAN Autoconfig(Wifi 연결) 등

 

File Path :  C:\Windows\System32\winevt\Logs

 

 

 

 

이벤트 ID

• 각각의 이벤트 로그는 이벤트 ID를 가진다.
• 이벤트 ID 별로 나타내는 활동이 유사하다. (ex. 시스템 Logon은 4624를 사용하고, 시스템 Logoff는 4634를 사용)

어떤 이벤트 ID를 찾을것인가? 

• spotting the Adversart with WIndows Event Log Monitoring, NSA
• Windows 10 and Windows Server 2016 security auditing and monitoring reference, Microsoft
• 윈도우 이벤트 로그 (EVTX) 분석 및 포렌식 활용방안, 강세림 

 

이벤트 ID 검색 사이트 

EventTracker Knowledgebase

Windows Security Log Encyclopedia

 

실습

 

 

(1) 이벤트 뷰어를 열어 사용자 지정 보기 만들기를 클릭한다.

(2)   Windows 로그와 응용 프로그램 및 서비스 로그를 체크한다.

 

소프트웨어 설치, 업데이트 및 삭제와 관련된 이벤트 ID 에 대해 필터링을 진행한다

: 6, 7045, 1022, 1033, 903-908, 800, 2, 19

 

필터링을 적용한 결과를 software라는 이름으로 저장한다.

 

 

 

사용자 로그인과 관련된 이벤트 ID로 필터링

: 4740, 4728, 2732, 4756, 4735, 4624, 4625, 4648

 

필터링을 적용한 결과를 User Login이라는 이름으로 저장한다.

 

 

---

2. VSS(Volume Shadow Copy Service)

VSS는 특정한 시각의 파일, 폴더의 복사본이나 볼륨의 스냅샷을 저장해두고 복원할 수 있는 기능을 말한다.

VSS를 통해 컴퓨터 전체를 복원 지점으로 되돌리거나 특정 파일/폴더를 이전 버전으로 되돌릴 수 있다.

 

VSS 설정

1. 복원 지점 만들기
2. 구성 - 시스템 보호 사용 설정
3. 구성 - 디스크 공간 설정
4. 만들기 - 시스템 복원

 

 

 

실습 

cmd에서 명령어를 통해서도 VSS 확인이 가능하다.

 

(1) vssadmin list shadows 명령어를 입력

- 복사본이 생성되는 것을 확인할 수 있다.

 

 

(2) mklink /d <링크 폴더> <섀도 복사본 볼륨>\ 입력 

- 링크 폴더: 우리가 접근할 폴더 

- mklink /d c:\vssadmin_link  \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\

** 섀도 복사본 볼륨 입력하고 백슬래시 입력하는 것 잊지않기

 

 

(3) 파일 탐색기로 확인 가능 

 C:\vssadmin_link는 로컬 디스크 (C:)에 접근했을 때와 동일 

 

 

 

+) ShadowExplorer를 사용하여 VSS를 확인할 수 있다.

-> 따로 링크를 생성할 필요 없이 복원 지점을 선택할 수 있다.

https://www.shadowexplorer.com/downloads.html

ShadowExplorer.com - Downloads

---

3. Windows Search 

Windows 검색 기능으로 작업 표시줄 아이콘을 클릭하거나, Windows + S 단축키를 눌러 실행할 수 있다.

 

Windows Indexing

• 검색 기능을 구현하기 위해 미리 Indexing 작업을 수행
• 파일 이름과 전체 파일 경로를 포함하여 파일의 모든 속성이 인덱싱됨
• 텍스트가 포함된 파일의 경우에는 콘텐츠까지 일부 인덱싱됨
  
  • 파일은 삭제되었는데 인덱싱이 되어 있을 때, 컨텐츠까지 남아있을 수 있어 유용함

Windows.edb

• Windows Search에 사용하기 위한 Indexing 정보가 저장되어 있다.
• path: %ProgramData%\Microsoft\Search\Data\Applications\Windows

 

Windows.edb 온라인 상태에서 수집할 때는 Windows Search(Wsearch) 서비스를 종료시켜야 한다.

서비스 동작 중 복사하거나 포렌식 도구로 수집 시 정상적인 구조가 아닌 “Dirty” 상태로 수집된다.

• Dirty 상태: 응용 프로그램이 데이터베이스를 사용하는 중의 상태
• Clean 상태: 데이터베이스 API를 사용하여 트랜잭션을 모두 처리한 상태

 

 

실습

 

(1) 서비스를 열어 Windows Search를 찾아준다.

 

 

(2) Windows Search를 더블클릭 한 다음 시작 유형을 "사용 안 함"으로 설정해준다

설정한 다음 서비스 중지 버튼을 클릭한다.

 

 

 

(3) Windows.edb 경로로 접속하여 Windows.edb의 복사본을 생성한다.

복사본의 이름을 copy_Windows.edb로 변경해주었다.

 

하지만 나는 edb가 없고 db파일만 있다. 윈도우 11 이라서 그런 것 같다.

 

(4) 복사본의 상태가 Dirty인지 Clean인지 확인하기 위해 "esentutl /m <파일이름> | findstr State" 명령어를 입력한다.

cmd를 열어 esentutl /m copy_Windows.edb | findstr State 명령어를 입력하면 파일 상태가 Clean인 것을 확인할 수 있다.

 

(5) Clean Shutdown 상태의 파일을 보기 위해 WinSearchDBAnalyzer를 다운로드한다.

https://moaistory.blogspot.com/2018/10/winsearchdbanalyzer.html

 

(6) WinSearchDBAnalyzer를 관리자 권한으로 실행하여 copy_Windows.edb 파일을 열어준다

(7) Time zones를 UTC+9로 설정한다.

-> C 드라이브 안에 Indexing 되어있는 데이터들을 확인할 수 있다.

---

4. Recycle Bin

휴지통(Recycle Bin):  파일을 삭제하고, 복원하거나 영구 삭제할 수 있다.

 

파일 탐색기 보기 설정에서 숨긴 항목을 표시하면 로컬 디스크 (C:)에서 $Recycle Bin 폴더를 확인할 수 있다.

 

안보여요ㅜㅜ..

 

휴지통 아이콘 

• 모든 볼륨의 휴지통 폴더를 통합하여 보여준다.
• 그러나 하나의 폴더로 존재하는 것은 아니다.

 

 휴지통 아티팩트(파일 삭제 시)

• path:  <Volume>\$Recycle.Bin\<SID>\이다. 
• 삭제된 원본 파일: $R<임의문자열 6자리>.<원본 파일 확장자>
• 삭제 관련 메타 데이터: $I<임의문자열 6자리>.<원본 파일 확장자>  
  • 원본 파일의 경로, 휴지통으로 삭제된 시각 등에 대해 담겨있다.

휴지통 아티팩트(파일 복원시)

• 삭제된 파일($R)은 사라진다
• 삭제 관련 메타데이터 ($I) 파일은 남아 있다.

휴지통 아티팩트(휴지통 비우기)

• • 삭제된 파일($R) 및 삭제 관련 메타데이터 ($I) 파일은 모두 사라짐 
  • 그러나, 복원되었던 파일을 다시 삭제했을 때에는 $I가 남아있다

 

실습

남겨진 기존의 $I 파일인 메타 데이터를 분석하기 위해 Windows File Analyzer를 다운로드한다.

 

MiTeC Homepage

 

 

(1) Windows File Analyzer를 열어 $RECYCLE.BIN\을 열어준다.

(2) 남겨진 기존의 $I 파일인 메타 데이터에 대한 파일 경로, 삭제된 시점, 크기 확인 등을 확인할 수 있다.