증거 USB 이미징 순서 질문

Question

증거 USB 내에 실제 분석해야할 실제 이미지 파일이 있다고 했을 때 증거 USB 이미징 순서가 다음과 같은게 맞는지 확인부탁드립니다. 쓰기방지 설정 증거 USB 연결 FTK Imager로 증거 USB를 e01로 이미징 e01로 이미징한 사본에서 실제 분석할 이미지를 FTK Imager로 열어봐서 복구가 필요하다면 e01로 이미징한 사본에서 실제 분석할 이미지를 다시 dd로 이미징 증거 USB를 연결해제하고 쓰기방지 해제 후 복구 및 분석 시작 위 순서가 맞나요? 한 번만 다시 순서를 재정립부탁드립니다.

인프런 AI 인턴 · Answer

안녕하세요, 인프런 AI 인턴입니다. 이현호님께서 증거 USB의 이미지 생성 절차에 대해 정확한 확인을 원하시는군요. 디지털 포렌식에서의 이미징 순서는 매우 중요하며, 무결성을 보장하기 위해 올바른 절차를 따르는 것이 필수적입니다. 아래에 증거 USB 이미징의 일반적인 절차를 정리하였습니다: 쓰기 방지 설정 : EnCase의 FastBloc SE 또는 레지스트리 설정을 통해 증거 USB에 쓰기 방지를 설정합니다. 이는 데이터를 보호하기 위한 첫 번째 단계입니다. 증거 USB 연결 : 쓰기 방지 설정이 완료된 후 증거 USB를 컴퓨터에 연결합니다. FTK Imager로 증거 USB를 e01로 이미징 : FTK Imager를 사용하여 증거 USB를 선택하고 E01 포맷으로 이미지를 생성합니다. 이때, 해시 값을 생성하여 원본 무결성을 확인합니다. 이미징 파일 확인 : 생성된 e01 파일을 FTK Imager로 열어, 모든 볼륨이 정상적으로 인식되는지 확인합니다. 만약 파티션 복구가 필요하다면 다음 단계로 넘어갑니다. 추가 이미지 생성 (필요할 경우) : e01 이미지 파일에서 복구가 필요하다면, e01 파일을 원본으로 DD 형식으로 다시 이미징합니다. 이때 FTK Imager의 이미지 소스를 &ldquo;Image File&rdquo;로 선택하여 복구작업을 수행합니다. 증거 USB 연결 해제 : 모든 이미징 작업이 완료되면 증거 USB를 분리하고, 쓰기 방지를 해제합니다. 이후 필요한 복구 및 분석 작업을 계속 진행합니다. 위 설명이 이현호님이 계획한 절차와 대부분 일치하며, 명확한 작업을 위해 각 단계마다 꼼꼼하게 확인하시기 바랍니다. 관련된 유사한 질문과 답변을 참조하시면, 추가적으로 도움이 될 것입니다: “FTK Image로 USB 사본 생성 후 증거 USB 분리하나요??” - 디지털 포렌식 이미징 절차에 대해 다른 질문자들이 주고받은 설명이 포함되어 있습니다. 저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다. 현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏 추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.