autopsy 프로그램 사용 관련 중요 질문있습니다.

디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)

[Autopsy]Autopsy 2

해결된 질문

작성

147

autopsy 다운받아 쓰고 있는데, 자꾸 new case 생성할 때마다 이런 오류 메시지가 뜨네요. 뭐가 문제인지 혹시 알 수 있을까요?

그리고 autopsy에서 저는 "encase_partition_break.E01" 밑에 vol1 vol2가 전혀 안 뜨던데, 어떻게 하면 뜨게 할 수 있죠? 163페이지에서 164페이지로 못 넘어가고 있습니다. (교재 163->164 페이지)

답변 3

질문자

답변 감사합니다.

여전히 에러가 뜨는데, Autopsy 재설치해도 해결이 안되는 걸 보면, 예전에 설치한 파이썬 때문인지 뭔지는 모르겠네요. 혹시라도 뭔가 알게 되면 다시 알려드리겠습니다.
말씀보고 확인해보니 163페이지의 파일과 164페이지의 파일이 전혀 다른 별개의 파일이었네요;; 내용이 이어지다보니 두 개가 같은 파일인 줄 착각했습니다. 죄송합니다.

지식공유자

저도 계속 찾아보고는 있는데, 파이썬 관련일 가능성이 조금 높아보이긴 합니다
더 찾아보고 혹시라도 도움이 될만한 내용이 있다면 공유해드리도록 하겠습니다!

지식공유자

안녕하세요 KMS님!

1. 에러문제

- 해당 에러는 분석시에 사용하는 여러 Ingest 모듈 중 Android, GPXParser 모듈을 불러오지 못해서
발생하는 Import에러로 보입니다.

찾아보니 해당 모듈 설치가 정상적으로 되지 않았거나 충돌, 기타 다른 이유로 발생하는것으로
보이는데 혹시 기존 autopsy를 깔끔하게 삭제하고 재설치를 해보셨을까요?(당연히 해보셨을것 같지만...)

이러한 에러 발생은 여러 원인이 있기때문에 속시원하게 답변을 드리기가 어렵네요 ㅜ_ㅜ

혹시 재설치를 안해보셨다면 최신버전으로 재설치를 해보시고, 다른 컴퓨터에서도 이러한 문제가 발생하는지 확인 한번 부탁드리겠습니다

- 윈도우즈를 새로 설치한후에 autopsy를 설치하신다면 대부분 해결되는 편이긴 합니다 ㅜ_ㅜ

아니면 혹시 파이썬 관련해서 설치한 별도의 프로그램이 있다면 그 쪽도 의심해볼수 있다고 하네요

저도 조금 더 찾아보고 혹시라도 찾게되면 추가로 답변 드리도록 하겠습니다

2. encase_partition_break.e01 파일

- 혹시라도 올려드린 실습파일에 문제가 있나 싶어서 방금 확인해봤는데 파일 자체는 문제가
없는 것으로 보입니다

말씀하신 vol1, vol2가 안뜬다는 내용이 아래 스샷에서 보이는 부분이 autopsy에서 확인이 안된다는
말씀이시죠?

그렇다면 vol3는 정상적으로 보이실까요?(starting sector 82048번인 볼륨)

- 이게 앞에 말씀하신 autopsy에러와 관련이 있어서 그러는지 아니면 별개의 문제인지는 알수가 없으나

우선 다른 컴퓨터에서도 확인한번 부탁드려도 될까요?(1번 에러 문제가 없는 컴퓨터)

사실 저 내용은 encase에서 파티션 복구를 위해 만든 이미지 파일이여서 autopsy의 경우는
넘어가셔서도 상관은 없습니다

특히 vol1, vol2은 정상인 볼륨으로 ftk imager에서 확인되는 볼륨입니다. 해당 이미지에서는
파티션이 깨진 vol3가 autopsy에서 내용 확인이 되느냐가 중요하거든요.

질문주신내용에 전혀 도움이 되지 못해서 죄송합니다

프로그램의 에러 등에 대한 문제는 제가 답변드리기에는 너무 광범위한 문제다보니 (저도 동일한 상태로 나온다면 찾아보고 적용해보면서 어떤게 문제인지 추적을 해볼수 있겠지만 그렇지 않다보니 어려움이 있습니다)

해결에 도움이 드리지 못한 점 양해해주시면 감사하겠습니다

다른 컴퓨터에서는 어떻게 나오는지 확인하시고 말씀 한번만 부탁드릴게요!

안녕하세요, 인프런 AI 인턴입니다.

KMS님이 겪으시는 문제는 사용 중인 Autopsy 프로그램과 관련된 Python 모듈이 제대로 설치되지 않았거나 누락되어 발생할 수 있는 ImportError 문제로 예상됩니다. 다음과 같은 방법들을 시도해보세요:

Python 환경 설정 확인: Autopsy가 사용하는 Python 인터프리터에 해당 모듈(mainly AndroidModuleFactory와 GPXParserFileIngestModuleFactory)이 제대로 설치되어 있는지 확인하세요. 필요한 경우 pip install <module_name> 명령어로 설치해 보세요.
로그 파일 확인: Autopsy의 로그 파일을 확인하여 더 자세한 오류 메시지를 확인하세요. 보통 Autopsy의 설치 폴더에 있는 로그 파일에 유용한 정보를 찾을 수 있습니다.
Autopsy 재설치: 프로그램의 설치가 잘못된 경우일 수 있으므로 Autopsy를 재설치해 보세요. 파일 손상이나 설치 누락이 있을 경우, 재설치로 문제를 해결할 수 있습니다.
Vol1 Vol2 문제:
- .E01 이미지를 Autopsy에서 분석할 경우, 올바른 데이터 소스를 추가하는지 확인하세요.
- Add Data Source에서 디스크 이미지 파일을 선택하고, 모든 볼륨을 제대로 추가할 수 있도록 확인해 보세요.
- 이미지 파일이 손상되었을 가능성도 있으니 원본 파일을 다시 확인하거나 경우에 따라 ‘EnCase’ 소프트웨어에서 직접 확인해 볼 수도 있습니다.

도움이 되셨길 바랍니다. 추가적인 문의사항이 있으면 언제든지 말씀해 주세요.

인프런 커뮤니티 질문&답변