USB 포렌식 실습해보기(1)

USB memory

 

1. 파일시스템을 NTFS로 선택해서 USB 메모리 포맷

 

2. USB 메모리에 문서, 이미지, 실행파일 등 다양한 파일을 복사

• USB 메모리에 복사한 파일의 일부분 삭제, 다른 파일 복사 및 삭제를 반복
• 3회 이상 반복한다.

 

3. USB 메모리 속성

 

FTK-Imager -이미지 생성

 

- Disk Image 생성

-

- 조사 정보 입력

 

- 이미지 생성 옵션 설정

• Image Destination Folder : Imaging하는 드라이브와 다른 드라이브에 저장 폴더 지정
• Image Fragment Size : 지정한 용량으로 파일 분할, 0이면 단일 파일
• Compression : 압축율과 압축속도 옵션값 조

 

- 이미지 생성 실행

 

 

 

- Start

- 이미지 생성 완료

 

 

 

 

 

FTK-Imager 이미지 증거 항목 추가

 

 

 

 

 

 

 

 

 

Autopsy

 

- New case 생성

- 사건 정보 등록

- 조사자 정보 등 사건 추가 정보 등록

 

- Case에 추가할 데이터 유형 선택

 

- 디스크 이미지 파일 선택

 

- 데이터 소스 선택 : 지원하는 이미지 파일 포맷확인

- 데이터 수집/분석 조건 설정

 

- 데이터 소스 기본 분석

 

- 데이터 소스 요약 정보 확인