디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
안녕하세요, 이제 막 시험준비를 시작한 학생입니다. 다름이아니라 autopsy를 이용한 강의를 듣던도중 해당툴은 제공되는 기능이 더적고 이미징시간도 훨씬 오래걸린다는점을 알게되었습니다..ㅠㅠ ( 섹션 8 autopsy 1의 이미징돌리는데 30분이지나도 49%입니다..) 궁금한점이, 섹션8 이미징시간이 원래 이렇게 오래걸리는게 맞나요? 23.10월이후 encase 질문은 안받는다고하셨는데(그래서 시험준비시 autopsy를 선택한것이기도 합나다) 그이유를 알수있을까요? 제목과 같이, 두개의툴을 모두사용할수있는 상황인데 autopsy와 encase 중 어떤 툴이 더 시험보기에 편한지 궁금합니다. 둘다 평소에 사용하지않은툴이고 이제배워나가야하기에 현실적으로 시험에서 더편한 툴을 알고싶습니다! 강의에서 최근 사례는 autopsy를 이용한 툴밖에없어서 고민됩니다..ㅠㅠ
디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
우선 시나리오4 만드시고 강의하시느냐 고생 많으셨습니다. 개인적으로 스스로 수준을 검토하고 부족한 부분을 파악하기에 좋은 연습문제였다고 생각합니다. 다시한번 양질의 교육자료와 강의를 주신 강사님께 감사드립니다. 풀이 중 한가지 궁금한 점이 있어 문의드립니다. 시나리오 상 토렌토를 통해 받은 파일 중 첫번째 list.torrent 파일의 확인내용입니다. Log tracker로 확인시 해당 파일은 $RZ42HMH.torrent로 자동변경되어 휴지통으로 들어갔고 이내 삭제되었습니다. 삭제된 파일은 Autopsy 분석 삭제파일에서도 찾을 수 없었습니다. 이렇게 삭제된 파일에 대해서는 파일을 확인 할 수 없는 것인지 궁금합니다. 이때 Deleted File에서 복구하여 확인할 수 있는 파일과의 차이점도 궁금합니다.
디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
안녕하세요, 비트라커 관련 마운트 한 드라이브를 로지컬로 이미징하라는 강의는 잘 보았습니다. 그러면, 처음에 FTK를 통해 USB를 이미징하는것도 로지컬로 하는 의미인가요? 그거는 피지컬로 하면 되죠??? 그러니까, 마운팅한 드라이브를 이미징할떄는 로지컬로 하면 되고, 다른 이미징은 피지컬로 하면 된다는 말씀이신가요? 답변 부탁드립니다!!
디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
안녕하세요, 이미지 관련해서 좀 헷갈리는 부분이 있어 질문 남깁니다. 최근 시험에서는 실제 증거인 원본 USB를 제공하지 않고,증거 원본을 이미징한 사본 이미지 파일을 담은 (단순 저장용) USB를 제공하는 것 같습니다. 이럴 경우 쓰기 방지를 하고 create disk image에서 physical을 선택 하여 imaging을 하는 과정은 필요하지 않고 바로 FTK Imager로 해당 이미지 파일을 열어서 구조를 확인해보는 방향으로 하는 것이 맞을까요? 그런데 또 강사님 22회 시험 리뷰1 강의를 보면 (43분 58초) 해당 usb에 대하여 쓰기 방지 절차 진행 후 usb연결 후 이미징을 뜨라고 하셔서 이 부분이 좀 헷갈리네요.. 좋은 강의 항상 감사합니다!
디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
별도로 파티션 복구 실습을 위해 제가 가지고 있는 USB 를 E01으로 이미징하여 (FTK Imager사용) 해당 이미지 파일을 FTK Imager와 HxD로 헥사값을 비교 해보았으나, 두 프로그램에서의 데이터가 틀린값이 나오는데 왜그런건가요 ?? FTK Imager에서 NTFS 구조가 보이는 반면 HxD 로 보면 이상한 값이 현출되어 멘붕왔습니다. 무엇을 잘못한걸까요? 위는 FTK Imager로 보았을때 . 아래는 HxD 로 보았을때 추가적으로 동일 USB를 DD 파일로 이미징 해보았으나 이값 또한 전혀 다른 이상한 값이 현출됩니다.. 정리하자면, ① 동일 USB 이미징 파일(E01)이 왜 두 프로그램에서 이상한 값이 현출되는지 ? ② 동일 USB로 DD 파일로 이미징 하였을때 E01 이미징한 파일과 왜 값이 틀려지는지 ? 실제 시험장에서 이러면,,,,상당히 당황스러울껏같습니다..
디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
혹시 아래와 같이 직관적으로 MBR과 BR을 쉽게 구분하는 방법이 있을까요? (예시) MBR : Press Ctrl+Alt+Del to restart ..........가 없음, 바로 다음 섹터에 BOOTMGR이 없음 BR : Press Ctrl+Alt+Del to restart ..........가 있고, 바로 다음 섹터에 BOOTMGR이 있음
디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
안녕하세요 답안 제출 관련 문의드립니다. 실기시험 시 문제10번까지 있는 경우 문제를 풀며 D드라이브에 만들어놓는 것처럼 각 문제별 폴더화한 후 답안제출용 USB에 복사/붙여넣기해서 제출해도 되나요?(제공해주신 시나리오1의 완료보고서처럼 1개 파일로 만들어서 완성본 보고서를 제출해야할 것같아서요..) 폴더화하는 경우 답안 hwp 외 '증거파일(원본)' 넣어도 되나요? 예를 들어 문제1 폴더 내 .hwp 외 '증거파일 폴더(원본 증거파일 수록)'
디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
안녕하세요, 실기 시험 준비로 도저히 EnCase를 사용할 수 없는 환경입니다. 혹시, FTK Imager, Autopsy, LNK Parser 등 무료 Tool만으로도 실기 시험보는데 문제가 없을까요? (물론, EnCase가 없으면 다른 프로그램에서 봐야하는 등 번거로운 절차가 추가되는 건 상관 없습니다.) 예를 들어 아래 Autopsy 코스만 익혀도 실기시험 합격하는데에는 문제가 없는지 궁금합니다. 2. Autopsy 코스(아래 5번까지 모두 무료인가요?) 1) Autopsy 4.20.0 2) FTK Imager 4.7.1.2 3) HxD 2.5.0.0 4) REGA 1.5.3(DFRC) 5) LNK Parser(DFRC) 결론적으로 무조건 EnCase를 활용해야만 풀 수 있는 문제가 있는지 궁금합니다..........
디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
① 강의에서는 압축해체시 c-time 변경된다고 설명 되어 있으나, 기존 윈도우에 있던 파일 (txt, xlsx)을 압축 후 해제하여 mac 타임을 비교해보았는데 c-time 변경된 사항이 없습니다 . ※ 어느것도 변경된 정보가 없습니다. ② 단순 파일을 열고 닫을시 a-time등 변하지않나요? - 테스트 당시에는 변하지않음 ③ 위와 별게의 질문으로 파일의 논리적 크기의 값 정보는 있으나 디스크 할당크기가 0바이트로 표기되는 파일이 간혹있는데 어떤 이유때문인가요?
디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
안녕하십니까 강사님 디포 2급 준비하는 학생입니다. 실기에 사용하는 툴이 크게 1)FTK Imager, 2)Encase, 3)Autopsy 3가지로 알고있는데 Encase을 사용하고자는 하는데 해당 프로그램이 유료라서 평소에 연습이 불가하여 어쩔수 없이 무료인(?) Autopsy로만 사용하고 연습해야할 것 같은데 Autopsy 툴만 사용하여 시험을 봐도 무방합니까? 한개의 툴만 이용할 경우 시험장에서 제약적인 상황이 오지 않을까 염려하여 문의드립니다. 혹시 Encase 무료 설치할 수 있는 방법이 있다면 알려주시면 감사하겠습니다.
vol.py -h에서 오류가 납니다. Volatility Foundation Volatility Framework 2.4 *** Failed to import volatility.plugins.mimikatz (ImportError: No module named construct) *** Failed to import volatility.plugins.linux.netscan (ImportError: No module named yara) Traceback (most recent call last): File "C:\Vol\vol.py", line 192, in <module> main() File "C:\Vol\vol.py", line 169, in main config.parse_options() File "C:\Vol\volatility\conf.py", line 262, in parse_options self.optparser.print_help() File "C:\Vol\volatility\conf.py", line 97, in print_help optparse.OptionParser.print_help(self, file) File "C:\Python27\New Folder\lib\optparse.py", line 1664, in print_help file.write(self.format_help().encode(encoding, "replace")) UnicodeDecodeError: 'ascii' codec can't decode byte 0xc8 in position 596: ordinal not in range(128) 어떻게 해결할수 있을까요?
디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)
우선, 강사님께서 좋은강의 및 좋은 실습자료 들을 제공해주신덕분에 날이갈수록 분석하고 답안작성하는 부분에 있어서 발전하고 있는것이 체감되고있어서 감사드리는 마음으로 수강중입니다! 다름이아니라, 실습시나리오 3회차의 "보낸파일.pdf" 와 건축계획서.hwp"간의 연관성을 찾을때 file metadata 에서 볼수있는 "파일용량" 을 근거로 하는것 이외에도 text항목>>extracted text 에 나오는 정보들 중에 METADATA라고 보이는 항목 또한 근거로하여 "동일파일로 추정된다" 는 결론을 내려도 괜찮은 부분일지 여쭤보고싶어서 문의글 남겨드립니다! ▶ 질문요약 : text항목>> extracted text 에 출력되는 METADATA 정보를 근거로 하여 "보낸파일.pdf" 와 건축계획서.hwp" 이 동일한 파일로 추정된다 는 결론을 내려도 괜찮은 방법인지 궁금하여 질문드립니다 ▶ 분석도구(버전)정보 :Autopsy 4.21.0 ver ▶ 보낸파일.pdf 에대한 text항목>>extracted text 에 들어있는 METADATA 내용 ------------------------------METADATA------------------------------ Author: B의원 Comments: Content-Type: application/x-hwp-v5 Creation-Date: 2022-09-01T06:05:47Z Last-Author: admin Last-Modified: 2022-11-11T06:43:58Z Last-Save-Date: 2022-11-11T06:43:58Z X-Parsed-By: org.apache.tika.parser.DefaultParser comment: cp:subject: creator: B의원 date: 2022-11-11T06:43:58Z dc:creator: B의원 dc:title: 건축계획서 dcterms:created: 2022-09-01T06:05:47Z dcterms:modified: 2022-11-11T06:43:58Z meta:author: B의원 meta:creation-date: 2022-09-01T06:05:47Z meta:keyword: meta:last-author: admin meta:page-count: 0 meta:save-date: 2022-11-11T06:43:58Z modified: 2022-11-11T06:43:58Z title: 건축계획서 w:comments: 이상입니다! 열심히 배우고 익혀서 자격증 취득 외에도 추후 계획중인 수사업무에 도움 될 수 있도록 하겠습니다 감사합니다
