FTK Imager 설치 및 내 디스크 이미지 덤프하기

1. 설치

 

1) FTK 다운로드 홈페이지에 접속 (accessdata.com/product-download)

2) FTK Imager 클릭 후 Download Page 클릭

3) DOWNLOAD NOW 클릭

(이 후에 이메일 등을 입력하면, 이메일로 다운로드 링크를 보내준다.)

 

 

 

2. 내 디스크 이미지 덤프하기

 

FTK Imager 실행 화면

 

 

1) File -> Create Disk Image

2) Physical Drive 선택

 

- Physical Drive : 물리적 드라이브 (HDD 전체를 지정)

- Logical Drive : 논리적 드라이브 (HDD 를 C, D 등으로 분할하여 사용할 경우 이 옵션 선택)

- Image File : 이미징 파일

- Contents of a Folder : 특정 폴더의 콘텐츠

 

3) 해당하는 디스크 선택 후 Finish

4) Add 클릭

5) (보통 많이 사용하는) E01 선택

(E01 은 EnCase 의 디스크 이미지 파일로, 가장 대중적으로 이용되고 있다.)

 

 

 

6) 자신의 상황에 맞게 작성

 

7) 이미지를 저장할 폴더 와 이미지 파일 이름(확장자 제외) 작성

 

단, 이미지를 저장할 폴더는 덤프할 디스크와 같은 곳에 존재하면 안된다.

(나의 경우는 다른 USB 드라이버에 디스크 이미지를 생성했다.)

 

Image Fragment Size 는 Image 파일을 분할하여 저장하는 경우, 어느 크기로 분할할지 지정하는 것이다.

0 으로 설정하면 한 파일에 디스크 이미지를 생성하도록 하는 것이다.

Compression 은 압축 정도인데, 9에 가까울수록 용량은 적어지겠지만 이미지 파일을 만드는 시간은 오래 걸린다.

 

 

8) Start 누르면 이미지 덤프가 시작된다.

컴퓨터와 디스크 용량에 따라 오래걸릴 수 있다.

 

9) 끝

 

 

작업이 끝나면 Drive/Image Verify Results 가 나오고, 이는 증거의 무결성에 사용되는 해시값들을 보여준다.

 

 

저장한 폴더에 가면 지정한 대로 1500MB 씩 끊어서 이미지가 저장된 것을 확인할 수 있다.

 

 

 

 

+) 참고: Low Disk Space Warning 

디스크 이미지 생성 중, 다음 화면이 뜨면 디스크 이미지를 저장할 공간이 부족하다는 것이다.

 

저장 공간을 더 만들어주거나, 다른 공간에다가 저장해주는 방법이 있다.

 

 

 

Ref. 

[1] post.naver.com/viewer/postView.nhn?volumeNo=8457013&memberNo=21532239

.