시나리오 3 관련 USB의 모델명 관련 질문입니다.

Question

AUTOPSY 최신 버전(4.21.0)의 문제인지, 제 PC 설정의 문제인지 몰라서 추가 질문 드립니다.   시나리오3-문제10- 증거 USB 모델명 관련 해서 Device Model이 강사님 답처럼 Ultra Flair가 아닌 Product Number로 조회가 되는데, 혹시 따로 추가적인 설정이 필요할까요?

nstyxn · Answer

안녕하세요 blue님! 올려주신 스크린샷을 보니 모델명이 아닌 Product ID가 나오는 것으로 보이는데, 강의해서 사용했던 Autopsy의 버전은 4.20.0 으로 현재 최신버전은 말씀해주신 4.21.0 입니다. 그래서 혹시나 다른점이 있을지 싶어서 4.21.0 버전을 이용해서 제 데스크탑(Win10 Pro)과 노트북(Win11 Pro)에서 동일한 이미지 파일을 가지고 분석을 돌려봤는데, Device Model 정보가 강의영상에서처럼 'Ultra Flair'로 표시되는 것을 확인했습니다. 말씀해주신 상황이 어떠한 이유로 그렇게 표현이 되는지는 정확히 알 수는 없으나, 레지스트리 값을 읽어오면서 연결되어서 읽어오는 과정에 잠시 문제가 발생한게 아닌가 싶은데요, 어디까지나 제 개인적인 생각입니다. 혹시 해당 이미지를 새로운 케이스로 생성해서 분석을 돌려보셨을까요? 해당정보는 레지스트리 분석해서 가져온 내용을 그대로 보여주는 것이기 때문에,이에 관한 옵션 설정은 없는 것으로 알고 있습니다. 그와 별개로, 말씀해주신것처럼 모델명에 PID(Product)만 나오는 경우라도, 실제 시험에서는 해당 내용을 그대로 쓰셔도 크게 문제가 없을 것으로 보입니다. 1) Device Model : Ultra Flair 2) Device Model : Product : 5591 위의 두 가지 형태로 표시가 됐다고 가정했을때, 1)은 맞고, 2)는 틀리는 것이 아닌, 표시된대로 답안을 작성하셔도 됩니다. USB 연결정보 문제의 경우 마치 객관식 문제의 답처럼 출제자가 "Device Model의 답은 'Ultra Flair' 만 인정한다" 라고 정해놓는 것이 아니고, 출제 의도도 해당 정보를 확인할 수 있는 능력이 있는지를 확인하는 것이기때문에, 써있는 그대로 스크린샷 파일과 함께 답안을 작성해주시면 됩니다.   참고로 보내주신 스크린샷에서 [Device Model : Product:5591]이라는 정보 역시 해당 USB를 확인시켜주는 것인데, 시나리오3의 레지스트리를 REGA를 이용해서 분석하면 HKLM(HKEY_LOCAL_MACHINE)\SYSTEM\ControlSet001\Enum\ 이하의 [USB] 와 [USBSTOR]에서 [USB] VID_0781&PID_5591 > 04014073e~ [USBSTOR] Disk&Ven_SanDisk&Prod_Ultra_USB_3.0~ > 04014073e~ 인 것을 확인할 수 있는데, 두 곳의 정보를 종합하면 같은 USB라는 것을 확인할 수 있습니다. [USBSTOR]에서는 제조사와 모델명 정보를, [USB]에서는 제조사 고유번호와 제품고유번호(5591)을 확인할 수 있는데, 올려주신 스크린샷에서 확인했던 [Product:5591]은 위의 [USB]에서 제품고유번호입니다. 참고해주세요 ~