보고서 정리

디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)

해결된 질문

작성

120

수정됨

안녕하세요. 보고서 정리 시 어느정도 까지 정리를 해야되는지 잘 모르겠습니다.

간단한 단답형으로도 답안 작성이 가능한 문제(ex. 운영체제 설치일을 구하라, 복구한 파티션의 총 섹터수, 전체 용량등등을 구하라.)같은 경우에도 찾는 과정등을 설명하면서 답안을 작성하는 게 좋을까요?

강사님의 보고서에는 표와 사진으로 작성하였는데,
보통 문제들이 "기술하라"라는 단어로 끝맺음을 해서 서술형으로 적어야 하나 라는 생각이 들었습니다.

파티션 정보나, 볼륨 정보에 대해서 정답에 대한 사진을 첨부할 때, Hex값 없이 FTK Imager에 정리된 내용(Properties)만 첨부해도 괜찮을까요?
혐의에 대한 증거파일을 찾았는데, 그 파일이 스테가노그래피인 경우에는 내부에 숨겨진 파일도 증거목록에 넣어야 하나요?(ex. 답안 제출 시 문제 1번이 스테가노그래피에 관련된 질문사항인 경우, 문제1번 폴더에 답안인 한글 파일, 기존 스테가노그래피 파일을 넣고 추출한 파일도 같이 넣어야 하나요? 아니면 증거원본에 있던 파일만 답안폴더에 넣는 것이 맞나요?)

양질의 강의를 올려주셔서 시험 준비를 잘 하고 있습니다. 감사합니다.

Forensic

답변 2

nstyxn

지식공유자

안녕하세요 yhoon047님!

질문주신 순서대로 답변 드릴게요~

1.단답형 문제의 답안 작성

문제에서 요구하는 답만 작성을 하셔도 큰 문제는 없습니다.
(예) 문) 총 섹터수를 구하라 > 답) 1,000,000 개
문) 운영체제 설치일은 언제인가 > 답) 2025.6.10.

단 이렇게 답만을 기재하는것은 가장 기본적으로 들어가야할 부분이고, 문제에서 요구하는 답을 찾는 과정을 함께 써주는것은 +α 정도로 생각하시는게 좋을것 같아요.

시간여유가 있거나 찾는 과정을 함께 작성하는데 큰 시간이 들지 않는다면 함께 써주는게 가장 좋을것 같고, 시간 여유가 없다면 우선 최소한 문제에서 요구한 답만 작성하는 것으로 방향을 잡아주세요~

파티션/볼륨 정보의 캡처이미지

네, FTK Imager에서 확인한 propreties 부분만 캡처해서 추가하셔도 문제가 없습니다.

다만 이 부분도 1번 질문에서와 같이 조금 더 '티'를 내고 싶다면 hxd에서 해당 값이 어디에 위치하고
그걸 확인했더니 어떤 값이 나왔는데 빅엔디안으로 변환해서 확인하면 ~~한 값이 나왔다 라고
하는 방법도 있겠죠.
이 부분도 최소한 프로그램에서 분석한 내용을 캡처해주고, 나머지는 +α 정도로 생각해주세요

파생증거에 대한 첨부유무

1개의 증거를 확인했는데 그 파일을 분석 하면서 그 원 증거파일로부터 추가로 생성되는 등 파생된 증거파일은 함께 제출해주세요!

개인적으로는 파생된 증거에 대해서 반드시 제출을 해야할 필요는 없다고 생각하긴 합니다만, 어차피 확인을 위해서 추출한 파일이고 추가로 제출하는데 큰 어려움이 있는게 아니기때문에 이왕이면 같이 제출해주시는것을 권해드립니다.

말씀하신 예 처럼 A.jpg라는 이미지를 확인했고, 분석을 해보니 a.jpg 안에 b.hwp 라는 파일을 숨겨놓은 경우, 확인을 위해서 b.hwp 부분을 분리 저장해서 확인을 하겠죠?
그렇게 추가적인 내용이 확인이 됐다면 b.hwp 파일도 증거로 함께 제출을 해주세요

보고서에도 이러한 과정을 써주세요~
(예: a.jpg 파일을 확인해보니 스테가노그래피 파일로 확인이 되었고, 숨겨진 내용을 분리해서 b.hwp로 저장후 열어서 확인해보니 ~라는 내용을 확인할 수 있었다 + 각각의 캡처 이미지 첨부)

우선 질문주신 내용별로 답변을 드렸는데, 답안 작성에 있어서 공통된 부분을 다시 한번 정리하자면

전제 : 채점기준을 정확히 알수는 없지만 디지털 포렌식을 할 수 있는 기본적인 능력을 확인하는 시험이라는 점을 생각해봤을때, 단순히 프로그램에서 분석해준 내용을 답안으로 쓰는것과 프로그램에서 분석해준 내용이 어떻게 해서 그런 값이 나오는지 이해하고 관련 내용을 쓰는것이 추가점을 받을 가능성이 있다고 가정
답안은 자세하면 자세할수록 좋습니다.
하지만 모든 걸 자세하게 하나하나 다 쓰기에는 시간의 문제가 있으므로 가능하다면 자세히 쓰는게 좋지만 시간을 봐가면서 최소한 정답에서 요구하는 답을 단답형이라도 써주시고 시간이 된다면 추가로 이러한 값을 어떻게 구했는지에 대해서 설명을 해주세요.
캡처 이미지는 중요한 부분만 첨부해주세요. 너무 없어도 안되겠지만 그렇다고 너무 많다고 점수를 더 받는건 아닙니다. 핵심적인 부분만 넣어주시는게 여러모로 좋습니다.
문제에 '~~ 과정을 기술하라' 식으로 찾는 과정에 대한 언급이 들어갔다면 무조건 전체 과정을 써주셔야합니다.

채점기준이 공개된것이 아니다보니 어디까지나 제 추측으로 말씀을 드리는것 인 점을 감안해주시고요,
그래도 이게 기본이 되지 않을까 하는 생각이 듭니다.

자세하게 쓰는것도 중요하지만 시간을 봐가면서 완성된 보고서를 제출하시는게 가장 중요합니다 !

yhoon047

질문자

일단 간단하게라도 보고서를 완성시키고 그 이후에 시간이 남으면 부가 설명을 적는 식으로 해보겠습니다. 감사합니다!

nstyxn

지식공유자

네 그렇게 연습을 해보시는것도 좋습니다. 다만 연습하시면서 간단한거는 한번에 완전히 끝내고 넘어가는 방법도 좋습니다. 시간이 남을때 다시 찾아서 추가로 작성하는게 헷갈릴수도, 번거로울수도 있어서요. 정해진 방법은 없기때문에 여러번 연습하시면서 나에게 가장 잘 맞는 방법을 찾으시는게 중요하니, 여러번 연습하시면서 편한 방법을 찾아보세요!

인프런 AI 인턴

안녕하세요, 인프런 AI 인턴입니다. yhoon047님!

포렌식 보고서 작성에 관한 질문을 주셨네요. 보고서 작성 시 많은 분들이 헷갈리는 부분들이죠. 아래는 관련된 질문과 답변을 잘 요약하고 설명한 기존 답변들입니다.

단답형 문제에 대한 답안 작성
- 간단한 문제라도, 답변 작성 시에는 찾는 과정을 간략히 설명해 주는 것이 좋습니다. 이렇게 하면 채점자가 결과에 도달하는 과정을 이해할 수 있으며, 충분한 점수를 받을 가능성이 높아집니다. 특히 이 답변에 따르면 다양한 경우에 대비하여 답변의 깊이를 맞추는 것이 중요하다고 조언하고 있습니다.
정답 첨부 시의 사진 자료
- FTK Imager의 정리된 Properties만 첨부해도 됩니다. 그러나 설명이 부족한 경우 추가적으로 필요한 정보를 첨부하면 더 완전한 보고서가 될 수 있습니다. 관련된 과거의 답변 중 이 게시글에서 용량 계산 및 정보 첨부에 대한 상세한 설명을 참고하시면 좋을 것 같습니다.
스테가노그래피 관련 증거 파일 처리
- 숨겨진 파일도 증거 목록에 포함시키는 것이 좋습니다. 문제의 폴더에 관련 답안 파일, 기존 스테가노그래피 파일, 추출한 파일 모두를 정리해 놓는 것이 좋습니다. 이는 모든 증거를 한눈에 볼 수 있게 하며, 누락을 방지할 수 있는 방법입니다. 이 답변에서는 구체적인 증거 파일 관리 및 제출 방법에 대한 팁이 제시되어 있습니다.

질문하신 모든 사항들이 많은 준비의 시간을 요구하는 복잡한 요소들을 포함하고 있습니다. 시험 준비에 대한 이해가 깊어질 수 있도록 세부적인 부분까지 잘 정리하고 이해하시는 것이 중요합니다.

저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다.
현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏
추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.

인프런 커뮤니티 질문&답변

보고서 정리