For3nsic54

• 

  Encase - MBR PS - 물리적인 섹터 숫자 표시LS - 논리적인 섹터 숫자 표시CL - 클러스터 숫자 표시, ~번째 클러스터SO - 섹터 시작부터의 거리( byte)FO - 파일 시작부분까지의 거리(byte)LE - 선택영역의 크기 표시(byte) X - Deleted, Overwritten File : 파일이 삭제되고 다른 파일에 의해 덮어써진 파일로 완전 복구는 불가능O - Deleted File : 삭제되었으나 겹쳐쓰기 되지 않았다는 의미, 완전 복구 가능Lost File(Folder, Unallocated) : parent 폴더가 존재하지 않는 파일들을 모아서 가상의 폴더에 저장한다. Internal File - 파일시스템과 같이 운영체제가 만드는 파일Invalid Cluster - 파일이름 흔적은 있으나 저장.. For3nsic/Forensic 2015. 10. 30.

• 

  Encase For3nsic/Forensic 2015. 10. 29.

• Encase - 1 Digital Forensic 증거 이미지 - 세 가지 기본 요소(헤더, 체크섬, 데이터 블록)으로 구성 되며, 이를 분석시 컴퓨터 디스크의 상태를 Self-Checking하여 제공 CRC(Cyclical Redundancy Check) - 순환 중복 검사 - CRC는 체크섬과 매우 비슷한 방식으로 동작하지만 체크섬과 달리 Order-sensitive 특성을 지님 이는 문자열은 같은 체크섬을 가지지만 문자열 마다 서로 다른 CRC를 가지게 된다. 대부분 하드웨어는 각 섹터마다 하나의 CRC를 저장하며 디스크에서 READ 에러가 발생했다는 것은 디스크 섹터의 CRC와 해당 섹터가 읽어진 후 드라이브 하드웨어에 의해 재계산 된 값이 서로 다르다는 것을 의미한다. 증거이미지 포맷 - 각각의 파일은 정확하게 섹.. For3nsic/Forensic 2015. 10. 29.

• Forensic 증거분석하기 전 증거 분석하기전에 해야하는 작업으로 포렌식 절차에서 증거 PC하드디스크를 디스크 복사기에 넣고 공 하드에 섹터 그대로 옮긴 후 해당 옮겨진 데이터를 가진 증거 사본 하드디스크를 분석하기 전에 해당 하드디스크와 원본 하드디스크의 SHA 해시, md5 해시를비교해서 같은 후 Read-Only 상태로 분석을 시작해야 한다.증거 분석 방식에는 두가지 방식이 존재하는데 1) 사본 HDD를 마운트 시켜서 분석하는 방법2) 사본 HDD를 또 한번 이미지로 떠서 이미지 파일 자체로 분석하는 방법이 있다.HDD RPM 속도에 의해 속도가 달라지기 때문에 본인 HDD가 SSD(시바 속도 돋네)라면 이미지로 떠서 분석하는게 초당 평균 120MB/s로 분석이 가능하다. 가장 첫번째로 해야할 디스크 해시값 검증 But whit.. For3nsic/Forensic 2015. 10. 29.