Encase - 1

Digital Forensic 

증거 이미지 - 세 가지 기본 요소(헤더, 체크섬, 데이터 블록)으로 구성 되며, 이를 분석시 컴퓨터 디스크의 상태를 Self-Checking하여 제공

CRC(Cyclical Redundancy Check) - 순환 중복 검사 - CRC는 체크섬과 매우 비슷한 방식으로 동작하지만 체크섬과 달리 Order-sensitive 특성을 지님 이는 문자열은 같은 체크섬을 가지지만 문자열 마다 서로 다른 CRC를 가지게 된다. 대부분 하드웨어는 각 섹터마다 하나의 CRC를 저장하며 디스크에서 READ 에러가 발생했다는 것은 디스크 섹터의 CRC와 해당 섹터가 읽어진 후 드라이브 하드웨어에 의해 재계산 된 값이 서로 다르다는 것을 의미한다. 

증거이미지 포맷 - 각각의 파일은 정확하게 섹터 대 섹터 사본을 의미한다. 파일이 생성될 때, 사용자는 조사와 관련된 정보를 제공하게 된다. Encase는 이러한 정보 및 증거이미지 안에 있는 다른 정보를 아카이브에 넣는다. 또한 Encase는 디스크 이미지 전체에 대한 CRC 값이 아닌 서로 다른 CRC를 계산하여 그 무결성과 속도를 높인다. Encase는 Physical drive나 Logical drive 의 이미지 생성시, MD5 해쉬값을 계산하여 증거이미지에 그 일부로서 기록한다. 증거이미지를 Case 파일에 추가할 경우, CRC 값과 Hash 값을 통해 변경여부를 확인한다.

Encase는 데이터를 압축하여 작은 크기로 저장한다. 이에 시간은 소모되지만 이와 반대로 증거이미지에는 전혀 영향을 끼치지 않으며, 압축 블록은 비압축 블록과 동일한 과정으로 검증된다. 즉, 이말은 Hash Value는 동일한 값을 가진다.