'분류 전체보기' 카테고리의 글 목록 (9 Page)

SECURITY/FORENSICS 2020. 11. 3. 16:09

1. 메모리 포렌식이란? : 컴퓨터 하드웨어 중 주 기억장치(RAM)에 남아있는 데이터 흔적을 분석하는 기법이다. RAM 은 휘발성이 강하지만 프로세스 정보, 네트워크 연결 정보, 악성코드 파일 정보, 시스템 관련 데이터 구조, 사용자 활동 정보 등의 고유의 독특한 정보가 남아있다. (컴퓨터 시스템은 구조적으로 중앙처리장치(CPU, Central Processing Unit)에 의해 연산이 이루어지는데, 여기서 어떠한 소프트웨어라도 메모리인 RAM에 그 데이터와 코드가 적재되어야만 중앙처리장치에서 연산이 가능하기 때문) 따라서 메모리 포렌식의 주 목적은 악성코드와 관련있는 데이터를 추출하고, 어떻게, 어떤 이벤트가 발생했는지 등의 RAM 에 남아있는 악성코드 감염과 관련된 다양한 흔적을 분석하여 침해 사..

새볼륨 디스크 이미지 덤프

SECURITY/FORENSICS 2020. 10. 30. 15:56

FTK Imager 을 이용한 간단 디스크 이미지 분석

SECURITY/FORENSICS 2020. 10. 30. 12:14

원도우 10 을 UEFI 부팅이 가능하도록 설치하면 총 4개의 partition 이 생성된다. EFI system partition / Microsoft reserved partition / Recovery Partition / C drive (EFI 시스템 파티션 / MS 예약 파티션 / 복구 파티션 / C 드라이브) 그 파티션들을 디스크 이미지를 통해 확인할 수 있었다. 이제 각 파티션이 무엇을 의미하는지, 어떤 정보가 저장되어있는지 살펴보겠다. 1) EFI system partition (Extensible Firmware Interface / ESP) : data storage device 의 partition 으로, 컴퓨터 부팅 시 UEFI (Unified Extensible Firmware I..

FTK Imager 사용법 및 복원

SECURITY/FORENSICS 2020. 10. 29. 17:01

FTK Imager 을 이용해서 USB 드라이버의 디스크 이미지를 덤프하고, 해당 디스크 이미지를 분석해보도록 하겠다. 1. FTK Imager 간단 사용법 실습에 앞서 FTK Imager 의 대표적인, 유용한 기능들을 살펴보자. 우선, FTK Imager 실행 화면은 다음과 같다. 상단 아이콘에서 다양한 기능을 지원하는 것을 확인할 수 있는데, 메모리 캡쳐, 암호화된 파일 여부를 확인할 수 있는 기능을 선택할 수 있다. 또한 메뉴 바의 File 에서 여러 기능을 선택할 수도 있는데, 상단 아이콘에는 이 기능들이 들어가있는 것이다. 따라서 편의에 따라 사용하면 되고, 대표적인 기능을 몇 가지 살펴보자. 1.1 Add Evidence Item 말 그대로 증거 자료를 Evidence Tree 에 추가하는 과..

FTK Imager 설치 및 내 디스크 이미지 덤프하기

SECURITY/FORENSICS 2020. 10. 25. 20:13

1. 설치 1) FTK 다운로드 홈페이지에 접속 (accessdata.com/product-download) 2) FTK Imager 클릭 후 Download Page 클릭 3) DOWNLOAD NOW 클릭 (이 후에 이메일 등을 입력하면, 이메일로 다운로드 링크를 보내준다.) 2. 내 디스크 이미지 덤프하기 1) File -> Create Disk Image 2) Physical Drive 선택 - Physical Drive : 물리적 드라이브 (HDD 전체를 지정) - Logical Drive : 논리적 드라이브 (HDD 를 C, D 등으로 분할하여 사용할 경우 이 옵션 선택) - Image File : 이미징 파일 - Contents of a Folder : 특정 폴더의 콘텐츠 3) 해당하는 디스크..

이미지 파일 통합분석 도구 :: FTK, Encase, X-Ways Forensics

SECURITY/FORENSICS 2020. 10. 25. 20:13

0. 이미지 파일 통합 분석 도구 이미지 파일 분석에서 필요한 기능을 통합하여 하나의 도구로 구현한 것으로, FTK, EnCase, Forensic Explorer, X-Ways Forensics, BlackLight, Autopsy, Mac Marshal Forensic Edition 등이 있다. (FTK 와 EnCase 가 전세계 포렌식 도구의 쌍벽을 이룬다..) 1. FTK (Forensic Tool Kit) : AccessData 에서 만든 통합 포렌식 도구. Windows 환경에서 실행 가능한 사용 소프트웨어로, 공식홈페이지에서 약 529만원에 구입 가능하다. 데이터베이스를 사용하여 분석 데이터를 관리하는 것이 특징이며 Postgre라는 데이터베이스를 사용한다. 또는 사용자 운영체제에서 MS S..

디스크 이미지 파일이란?

SECURITY/FORENSICS 2020. 10. 25. 20:12

1. 디스크 이미지 파일 (Disk Image) : 전체 디스크의 모든 내용과 구조를 저장하는 파일 CD, DVD, Blu-Ray 디스크, 하드 디스크, USB 등의 디스크를 복사하는 것으로, 파일, 폴더, 속성 및 디스크 이름과 같은 소스의 모든 속성이 유지된다. 따라서 디스크의 백업 사본을 저장하는 방법이 될 수 있고, 운영체제 등의 소프트웨어를 디스크 이미지로 제공하여 다운받아 사용할 수 있게 제공하기도 한다. 이런 성질을 이용하여 디스크 이미지를 별도의 가상 CD/DVD 소프트웨어를 이용하여 마치 실제 CD/DVD 미디어를 사용하는 것처럼 에뮬레이트하는 데 쓸 수도 있다. (이렇게 디스크 이미지를 드라이브에서 사용하는 것을 마운트라고 한다. 가상 머신을 실행하고 Ubuntu 디스크 이미지를 마운트..

디지털 포렌식이란? :: 네트워크 포렌식, 모바일 포렌식, 디스크 포렌식

SECURITY/FORENSICS 2020. 10. 25. 20:10

0. 디지털 포렌식이란? (Digital Forensic) : 디지털 기기 또는 인터넷 상에 남아 있는 각종 디지털 정보를 분석해 범죄 단서를 찾는 수사 기법 컴퓨터와 인터넷을 통한 정보의 흐름을 조사하고 범죄 사실에 대한 증거를 확보하는 기술을 말한다. 크게 증거 수집, 증거 분석, 증거 제출과 같은 절차로 구분된다. - 증거 수집: 디지털 저장 매체에 있는 데이터를 취합하는 과정. 원본 데이터의 무결성을 보장하는 이미징 기술 등을 사용한다. - 증거 분석: 수사에 필요한 유용한 정보를 데이터 속에서 끌어내기 위해 분석하는 가정. 일부 데이터가 숨겨져 있을 수 있으므로 삭제된 파일을 복구하거나 암호화된 파일을 해독하는 기술 등을 사용한다. - 증거 제출: 증거 자료의 신뢰성을 확보하고 법정 증거로 채택..

ABOUT ME

🏰 🏰

티스토리툴바