section 1) 디지털 포렌식 기초

디지털 포렌식 대상 : 컴퓨터, 디스크, 메모리, (네트워크 장비 등...)

디스크 이미징 : 디스크를 파일의 형태로 만들어 가져오는 것

디스크 마운트 : 디스크 이미징된 파일을 내 컴퓨터에 드라이브로 등록하는 것

메모리 덤프 : 특정 시점의 메모리 상태를 사진 찍듯이 가져오는 것, 켜져 있는 컴퓨터 수사 시 사용

 

 

 

디지털 포렌식 도구 설치 및 실습

1. FTK Imager

디스크 이미징, 마운트, 메모리 덤프 도구

physical drive -> next -> 드라이브 선택 -> finish

Image Destination에서 Add.. 클릭 -> 이미지 타입 중 E01(더 압축된 타입임) 선택 -> Image Destionation 폴더 위치 선택, Image fragment size 0으로 설정(= 이미지 파일 쪼개지 않는다는 뜻)

 

드라이브의 이미지는 해당 드라이브에 저장 불가능, 이미지는 다른 드라이브에 저장해야 한다.

 

2. hxd

파일의 hex값을 더 편하게 보고 검색할 수 있는 도구

다운로드 링크

https://mh-nexus.de/en/downloads.php?product=HxD20 

Downloads | mh-nexus

Download per HTTPS 선택 후 다운로드

다운로드 파일 압축 해제 후 exe파일 열어 설치 시작

쭉쭉 넘겨서 설치 완료

 

 

3. Everything 프로그램

컴퓨터 전체를 미리 전체 다 인덱스로 만들어서 파일을 찾는 것을 쉽게 하는 프로그램

https://www.voidtools.com/ko-kr/

voidtools

내 컴퓨터에 맞는 '64비트 설치파일' 선택하면 자동 다운로드 시작 

쭉쭉 다음으로 넘겨 설치

 

 

4. 7zip

압축 해제 프로그램, 반디집으로 대체 가능

.7z, .rar등과 같이 특수한 형태의 압축파일도 압축 해제 가능

https://www.7-zip.org/

7-Zip

 

내 컴퓨터에 맞는 64-bit 선택하여 다운로드, 설치 진행

 

 

 

5. notepad++

여러 소스 파일을 열어놓고 볼 수 있고, 검색 시 열려있는 파일 전체를 대상으로 검색 가능해 편리

https://notepad-plus-plus.org/downloads/v8.2.1/

Download Notepad++ v8.2.1 | Notepad++

 

Download 64-bit x64 하단 목록 중

Installer | GPG Signature 선택 후 다운로드

 

 

 

6. Sysinternals Suite

strings, procexcp, procmon 등 자주 사용하는 도구들의 모임

https://docs.microsoft.com/en-us/sysinternals/downloads/sysinternals-suite

Sysinternals Suite - Windows Sysinternals

 

Download Sysinternals Suite (45.9 MB) 선택해 다운로드

 

 

 

7. autopsy 다운로드

디스크 이미지 관리 + 추가 기능(무료지만 강력한 기능) => 상당히 유용

https://www.autopsy.com/download/

Autopsy - Download

 

파란 버튼 눌러 다운로드

 

 

 

 

 

 

삭제된 파일 복구