FTK Imager에서 메모리 캡쳐 하기 FTK Imager기능 중에서 메모리 캡쳐기능이있다.먼저 메모리 칩같이 생긴 것을 클릭한다. 클릭을 하면 이창이 나오는데 메모리 캡쳐가 되면 수집된 파일을 저장할 목적지 경로를 설정 하는 곳이다. 경로를 설정하고 Capture Memory를 이용하여 캡쳐를 시작한다. 이는 또한 옵션으로 Pagefile.sys 파일을 포함하고 AD1증거 파일 형식으로 만들 수 있다. 윈도우 상에서는 실행중인 레지스트리 파일을 복사하거나 저장할 수 없다. 이경우 FTK를 이용하여 보호된 레지스터를 얻고, 복사할 레코드를 얻을 수 있다. 메뉴바에서 표시된 것을 클릭하면 이러한 창이 뜨는데 이창에서는 얻어낸 파일을 저장할 폴더를 정해 주는 것이다.선택항목은 암호를 복구할 것인지 전체 레..

FTK를 이용하여 증거물 추가와 미리보기 기능을 알아보자메뉴바에서 File -> Add Evidence Item을 클릭하면 이러한 창이 나온다.그후 다음을 클릭하면 이러한 창이나오는 이창은 하드 디스크를 지정하는 창이다. USB같은 것이 연결 되어있을 경우 지정 가능하다. FINISH를 누르면 나오는 창이다. 그리고 옆에 보면 Evidence Tree 창에 증거물이 출력된다. 다음은 포렌식을 하기위한 이미지 생성을 알아보자! 이는 메뉴바에 보면 디스크 모양이 있는 것을 확인할수 있다. 디스크 모양을 클릭하여 이미지를 만들수있다. 클릭을 하면 이러한 창이 뜨는 것을 확인 할수있는데 Raw, SMART, E01, AFF가 이미지 타입으로 FTK에서 지원한다. 타입을 선택하고 다음을 누르게 되면 이러한 창을 ..

가끔 컴퓨터를 하다보면 파일을 모르고 삭제할 수 있다.이를 살리기 위해FTK Imager를 사용하여 살려보자. FTK Imager 실행 하면 밑에의 창이 뜬다. 여기서 FILE -> Add Evidence Item...을 누르면 이러한 창이뜨면 다음 이 창은 하드디스크를 선택하는 창이다. 저자는 가상으로 하는 거라 68GB로 잡혀있다. 여러가지가 잡힐수도 있다. Finish를 하면 이러한 창이 뜨는데 옆에 플러스를 누르면 이렇게 파티션 1, 2 가 나오는 것을 확인하고 처음에는 350MB를 봤을 때 부팅을 도와주는 시스템으로 보인다. 파티션 2를 누르면 Root가 나오는 데 Root 매우 중요하다!!! Root -> Recycle.Bin에 들어가면 삭제한 파일들이 나온다. 이렇게 간단하게 찾아 낼수 있다..