mitec mail viewer

안녕하세요 김원상님!확인해보니 말씀하신대로 다운로드 링크가 깨져있는것 같습니다.제가 가지고 있던 파일을 공유해드리니 다운로드해서 사용해주세요~https://drive.google.com/file/d/17xTWA2FFGVxVrRP6mlqYUoDM2VqPTFVz/view?usp=drive_link

26회 리뷰 중 signal forensic decoder

안녕하세요 absolutely09님!현재 상황이 아래 스크린샷처럼 동일하게 나온다는 말씀이신거죠?(사진)위 스크린샷에서 중간쯤에 'python was not found' ~ 이런 에러메시지까지 동일하신 경우라면,파이썬을 설치하셨는지 확인한번 부탁드리겠습니다.혹시 설치 전이시라면 파이썬을 설치하셔야하는데, 리뷰영상에서 소개시켜드린것처럼(혹은 해당 강의 영상의 수업노트 참고) 파이썬을 설치후에 재시도해보시고 말씀부탁드릴게요~

22회 시험 e01 파일 관련 질문

안녕하세요 재영님!이미지 파일이 여러번 반복해서 나오다보니 헷갈리시는것 같습니다.아무래도 디지털 포렌식 공부를 시작한지 얼마 안되시는 분들이 처음 부딪히는 부분이 이 '이미지' 파일의 이해 부분인데요 하나씩 설명을 드릴게요.우선 이미지 파일은 아시다시피 DD파일(.001)과 E01(.e01) 파일정도로 크게 나눠서 볼수 있고,DD파일은 원본그대로 저장된 형태, E01은 압축해서 용량을 줄인형태정도로 생각해볼수 있죠?그런데 이 파일들이 일상에서는 볼수없는 확장자이고, 또 디지털 포렌식에서 사용하는 '이미지'파일 이라고 처음 마주하게 되면 뭔가 특별한것 같아서 조심스러워 집니다.이 이미지 파일들은 그냥 압축파일이라고 생각해보세요.22회 시험에 나온것처럼 비슷하게 구성을 해본다면,예를 들어서 제 친구가 동영상 파일 1개가 있고 이 파일을 저에게 주려고 하는데,영상의 용량은 16기가인데 USB의 용량은 8GB이고, 그러한 usb가 2개가 있습니다.그래서 이 파일을 USB2개에 나눠서 저장하기 위해서 8GB씩 분할압축을 했다고 가정할게요.> 동영상파일 1개(16GB) >> 분할압축 : 동영상.zip(8GB), 동영상.z01(8GB)이렇게 1개의 동영상 파일이 동영상.zip과 동영상.z01 이라는 2개의 파일로 분할이 되어서 압축되었습니다.이때 이 동영상.zip 파일과 동영상.z01 파일은 22회 시험에서 봤던 image.e01, image.e02, image.e03, image.e04와 같다고 생각하면 되겠죠 ?그래서 이 USB 2개를 친구가 저에게 줬고, 그 USB를 받은 저는 각각의 USB에 들어있던 동영상.zip 파일과 동영상.z01파일을 제 PC로 복사를 했습니다.그리고 나중에 확인하기 위해서 우선은 보관을 할건데, 분할압축파일이어서 혹시라도 나중에 파일 한개가 실수로 삭제되거나 해서 압축을 해제할수없는 일을 방지하기 위해서2개의 압축파일을 그냥 1개로 저장해서 보관을 하려고해요.그래서 동영상.zip 파일과 동영상.z01 파일을 선택해서 다시 1개의 파일로 압축을 했고, 파일명은 압축.zip 으로 지정했습니다.이때 이 압축.zip 파일은 22회 시험에서 맨처음 수사관이 저장했던 '수사관의 usb.001'파일로 생각하시면 되겠죠?이처럼 이미지 파일은 결국 여러개의 파일들은 한개 또는 소수의 파일로 보관/관리 하기 위해서 압축해놓은 압축파일로 생각하시면 편합니다.우리가 많이 사용하는 압축파일처럼 생각하면 별다른게 없는데, '디지털 포렌식'이라는 상황과 '이미지파일'이라는 뭔가 복잡할것 같은 느낌의 이름이 합쳐지면 뭔가 다른것 같고, 뭔가 특별한 방식으로 진행을 해야할것 같다는 생각때문인것 같아요.어쨌든 압축을 여러번 한 상황이라고 생각하시면 될것 같은데, 다시 문제로 돌아가서 궁금하신점을 설명을 먼저 드리면[이 다음으로, FTK Imager로 'image.e01' 파일만 따로 추출하고 훼손됐는지 확인하는 게 맞는지 궁금합니다.]> 네 확인하시는게 좋습니다.22회 시험에서는 사실상 2번을 확인할것을 요구하고 있는 경우입니다.1. 수사관의 usb.001 > ftk imager로 확인 > 파티션 훼손 > HxD에서 확인 후 수정 > ftk imager로 복구 여부 확인 > 복구완료되었으며, 내부에 image.e01 ~image.e04 존재확인> 수사관의 usb.001 이라는 이미지 파일(압축파일)을 복구해서 확인해보니 그 안에 다른 이미지 파일(압축파일)이 있으니 또 확인을 해봐야겠죠.2. image.e01 ~ image.e04 추출 > ftk imager에서 image.e01 불러오기> 조심해야하는 점은 image.e01 / image.e02 / image.e03 / image.e04가 각각 별개의 파일이 아닌 한 몸입니다.분할압축시에도 압축.zip / 압축.z01 / 압축.z03 파일이 있다고 가정했을때 이 3개의 파일이 모두 한 곳에 같이 있어서 압축을 해제할수 있듯이위의 image.e01~image.e04 역시 한 곳에 같이 있어야 이미지 파일에 접근이 가능하거든요.3. ftk imager에서 image.e01 을 불러와서 확인해보니 파티션이 훼손되거나 문제가 있는 부분이 없는 경우 > 그대로 탐색을 진행하는등 다음 단계로 진행하시면 되고4. 만약 ftk imager에서 image.e01을 불러왔는데 파티션 훼손의 경우에 볼수 있는 Unrecognized File system 등의 에러 메시지가 보이고 접근이 불가능하다등의 문제가 발생시에는 동일한 방법으로 파티션 복구를 진행을 해주시면 됩니다.이미지 파일이 중복으로 나오다보니 뭔가 복잡해보이고, 실제로 어려워들 하시는데, 조금만 적응하시면 아무것도 아닌 단순한 내용입니다.앞에서 복구하신것처럼 그 과정을 한 번 더 진행하시면 해결되는 문제거든요!> 물론 복구를 위해서는 압축된 형태인 e01 파일로는 불가능하기때문에 dd파일로 변환을 한 후에 hxd에서 수정을 하셔야하는데 이 부분은 별론이므로 따로 추가로 설명은 안드릴게요.조금 길게 설명을 드렸는데 이해가 되셨을지 모르겠습니다.다시 한번 정리하면,1. 이미지 파일 발견(수사관의 usb.001)2. 안에 뭔가 있을테니 확인해야겠다!3. ftk imager로 불러오니 접근 불가(파티션 훼손)4. 파티션 복구 진행5. 복구여부 확인을 위해서 수정한 이미지 파일을 다시 ftk imager에서 불러오기6. 정상적으로 접근 가능한것을 확인7. 복구된 이미지 파일을 탐색중에 또 다른 분할 이미지 파일(image.e01~image.e04) 확인8. 이미지 파일이니 확인 필요9. 4개의 분할 이미지 파일 추출10. 첫번째 파일은 image.e01 파일을 ftk imager에 불러오기11. 정상적으로 불러와지고 접근이 가능하다면 내부 탐색만약 unrecognized file system 등 파티션 훼손의 흔적이 보이면 앞에서와 같이 hxd에서 이미지 파일을 불러와서 파티션 복구 진행(e01 파일인 경우 이므로, hxd 수정이 필요한경우 dd파일(.001)로 재 이미징 진행12. 재이미지한 파일(예: reimaging.001)을 hxd로 불러와서 파티션 복구 진행이렇게 된다고 생각해주세요~혹시 이해가 안되는 부분이 있으시면 다시 질문 해주세요~ :)

시나리오1 관련 질문

안녕하세요 재영님!아시는것처럼 시나리오1번 9번 문제관련된 증거파일인 신청서.pdf 파일(=신청서.zip) 내부에 2개의 파일이 압축되어있습니다.보고서상에서 각각의 파일(1.mp4 & 2.jpg)의 해시값이 적혀있는 부분이 어떻게 계산되어서 나온건지 궁금하신것 같아요~이부분은 제가 관련 영상을 하나씩 다 확인하진 못했지만, 제 기억에 관련되어서 설명을 따로 드리진 않은것 같아서 헷갈리실수 있을것 같습니다!설명드리면, 저 2개의 파일의 해시값은 별도로(autopsy가 아닌) 계산해서 제가 기재한 부분이고,실제 시험에서 따로 물어보지 않는이상 굳이 적으실 필요까진 없습니다.autopsy등의 분석 프로그램을 이용해서 분석을 완료하면 이미지 안에 있는 모든 파일들의 해시값을 자동으로 산출해서 보여주게 됩니다(물론 해당 인제스트 모듈을 실행을 해야하는데, 기본적으로 하는것으로 안내를 드리고 있어요~)그래서 바로 특정 파일의 해시값을 알수가 있는데, 이번 케이스처럼 압축 파일 안에 압축되어져있는 파일의 경우에는 기본적으로 해시값을 알수가 없습니다.그래서 이런 경우에는 가장 간단한 방법은 압축을 해제해서 나온 해당 파일(1.mp4 와 2.jpg)을 [HachCalc]이라는 해시산출프로그램을 이용해서 빠르게 확인할수가 있습니다.프로그램을 실행한후 해시값을 확인하고자하는 파일을 불러오거나 드래그&드롭하면 자동으로 바로 계산을 해주고, 또 여러 hash알고리즘을 지원해서 다양하게 확인이 가능합니다이 프로그램의 사용법은 너무 간단해서 한번 해보시면 바로 알수있습니다!그런 프로그램을 이용해서 따로 산출한 값을 보고서에 기재한 경우이며,어디까지나 보고서를 처음보는 분들을 위해서 증거파일에 대한 정보를기본적으로 파일명/저장위치/해시값/설명 정도로 기재하자는 것을 보여드리기 위해서 자세히 쓴 경우이고실제 시험에서는 앞서 말씀드린것처럼 문제에서 직접적으로 물어보는 경우가 아닌이상이 케이스처럼 압축 파일 안에 있는 파일까지 굳이 해시값을 쓰지 않으셔도 큰 문제는 없습니다.그냥 어디까지나 '이런 형식으로 보고서를 작성한다'라는것을 보여드리기 위해서 실제 시험장에서 쓸수 있는 내용보다 조금 더 많이 채워서 넣은 샘플이라고 생각을 해주세요~(사진)궁금하신점이 있으시다면 절대 부담갖지 마시고 언제든지 질문 남겨주세요 :)

강의 기간 연장 방법

안녕하세요 이지성님!현재 인프런에서 일부기간등에 대한 연장 결제가 시스템상 불가능하다고 합니다. 시험일까지 수강가능일이 애매하게 남은 경우가 가끔 발생해서 문의를 주시는데 이 부분에 대해서 제가 해드릴수 있는 방법이 없다보니 죄송하다는 말씀밖에 드릴수가 없을것 같습니다. 양해부탁드리겠습니다 !

켜져있는 장치에 대한 이미징 관련 질문사항입니다.

안녕하세요 yhoon047님!말씀하신것처럼 증거의 수집시 환경에 대해서 크게 2가지로 나눠볼수가 있을것 같습니다.1) pc의 전원이 꺼져있는 경우2) PC의 전원이 켜져있는 경우1)의 경우는 우리가 시험에서도 흔히 다루는 꺼져있는 시스템에서 저장장치를 복제하여 이미지로 생성하는 경우가 대표적이죠. 이 경우 원본 SSD(HDD)와 이미징한 파일의 hash값의 비교가 가장 확실한 동일성 판단 여부일것 입니다.다만 2)의 경우처럼 시스템이 켜져있는 상태의 경우에는 조금 달라집니다.이렇게 pc의 전원이 켜져있는 경우 바로 전원을 차단하면 안됩니다.그렇게 하는 가장 중요한 이유는 전원을 차단하면 RAM 등에 남아있는 휘발성 데이터가 바로 사라지고 복구가 불가능 하기때문입니다.그래서 이런 경우에는 1) 주변 환경 촬영 - 컴퓨터에 실행된 프로그램, 네트워크 연결 정보 등 컴퓨터의 화면에 나와있는 정보들과 함께 컴퓨터의 본체에 연결된 여러 기기들의 정보등을 사진이나 동영상으로 심도있게 촬영을 해서 기록합니다. 2) 휘발성 데이터 수집 - RAM, 프로세스, 네트워크 등의 휘발성 데이터를 전문 프로그램을 이용하여 수집 3) 비휘발성 데이터 수집 - SSD or HDD등의 비휘발성 데이터 수집 - 전원이 켜진 상태에서의 라이브 수집 or 전원을 끈 후 수집이런 순서로 진행을 하게 되는데 중요한점은 이게 절대적이지 않고 상황에 따라서 달라진다는 점입니다.예를들어서 특정 볼륨이 Bitlocker등으로 암호화되어있고, 현재 전원이 켜진 컴퓨터의 상황이 비트라커로 암호화된 볼륨이 복호화되어 접근 가능한 상태인 경우에는 휘발성 데이터 수집과 함께 전원이 켜진 상태에서 해당 볼륨의 이미징을 진행해야합니다. 전원을 끄고 SSD를 이미징 장치에 연결해서 이미징을 하려는 경우 암호화되어있던 볼륨에는 접근 할수 없기때문입니다.이렇게 활성 상태에서 (라이브) 이미징을 할 경우 이미징후의 원본과 이미징한 파일의 동일성이 사실상 동일하기가 어렵습니다. 라이브인 만큼 실시간으로 데이터가 변할수 있기때문이죠.그래서 이때 가장 염려되는 부분이 말씀해주신것처럼 동일성을 담보할수 있느냐에 문제일텐데다행히도 법정에서는 이렇게 수집한 파일의 증거능력에 대해서 단순하게 hash값이 동일하느냐만을보고 판단하지 않습니다. 물론 일반적인 이미지 파일과 마찬가지로 hash값을 참고 하기도 하겠지만 그와 더불어 수집 당시의 상황과 그렇게 수집할수 밖에 없었던 이유, 그 과정에 대한 상세한 기록 등을 전반적으로 확인해서 증거능력을 부여하기때문입니다.라이브 포렌식은 정해진 순서나 방법이 있다기보다는 상황에 따라서 순서나 방법이 얼마든지 달라질수 있다 정도만 기억을 해주시고, 단순히 hash값뿐만 아니라 상황과 그에 따른 기록 등을 전반적으로 참고해서 증거능력을 부여한다 정도로 기억해주세요~

encase 검색 질문.

안녕하세요 rkddnjsrb1231님! 먼저 강의소개 페이지와 공지사항을 통해서 안내드린것처럼 2023년 10월 이후부터는 Encase에 대한 추가 강의 업데이트 및 질문에 대한 답변이 불가능합니다.제가 더이상 Encase를 사용할수 없는 상황이 되어서 안내를 드린적이 있는데요,단순히 제 기억만을 가지고 답변을 드리기에는 마지막으로 사용을 한지 3년이 되어가다보니(그동안 업데이트도 많이 됐기도 하고요) 틀릴 가능성이 높아서 해당 내용이 안내된 인섹시큐리티의 관련 웹페이지로 안내를 드리고자 합니다.참고 부탁드리며, 다시 한번 Encase에 대한 더이상의 지원이 어려운점 양해의 말씀을 드립니다 감사합니다![인섹시큐리티 Encase Condition 활용방법 안내 페이지 바로가기]

encase 사용 안해도 합격 가능한가요?

안녕하세요 thing no님!질문에 대해 결론부터 말씀드리면, Encase 를 사용하지 않으셔도 합격 가능합니다!우선 시험에서 사용되는 프로그램을 모두 하나씩 설명드리기에는 어려워서최근에 있었던 2급 26회 시험에서 시험본부에서 시험에 제공하는 프로그램의 목록이 담긴 게시물의 링크를 안내드릴게요.https://exam.forensickorea.org/web/bbs/view/boardView.do?bbsId=1&nttId=2853위의 목록에 있는 프로그램은 시험본부에서 제공하는 전체 프로그램의 목록이며,여기에 있는 프로그램들은 대부분이 무료 프로그램으로 인터넷에서 누구나 다운로드 받아 사용할수 있습니다.물론 Encase는 가격 자체가 일반인이 구입하기에는 꽤 고가의 프로그램이고, 또 쉽게 구입하기도 어려운 프로그램으로 수사기관이나 기업, 교육기관 등에서 주로 구입한다고 생각해주세요.디지털 포렌식 2급 시험을 준비하시면서 필요한 프로그램을 크게 나눠본다면,1. 분석 프로그램 - Encase(유료) or Autopsy(무료)2. 이미징 프로그램 - FTK Imager(무료)3. Hex 에디터 - HxD(무료)4. 기타 아티팩트별 분석프로그램 - Rega(레지스트리 분석, 무료), DB Browser for SQLite(DB파일 분석, 무료), NTFS Log Tracker(NTFS 로그 분석, 무료), Mail Viewer(이메일 파일 분석, 무료) 등 많은 프로그램이 있고 대부분 무료 프로그램입니다.이러한 프로그램들은 설치파일형태로 시험시에 제공이 됩니다.바탕화면에 이러한 프로그램들의 설치파일이 담긴 폴더를 제공하고, 개인의 선택에 따라 필요한 프로그램을 설치해서 시험에 활용하시면 됩니다.동일한 목적을 가진 프로그램도 여러가지이고, 개인의 성향 차이 등이 반영되는 부분이라서 모든걸 다 소개시켜드리기는 어렵지만, 우선 기본적으로1. Autopsy- 분석프로그램2.FTK Imager - 이미징&간단한 확인 및 분석3. HxD - 헥스 에디터4. NTFS Log Tracker - NTFS 로그 분석5. Rega - 레지스트리 분석이렇게 5개를 기본으로 공부하고 추가로 필요한 아티팩트의 분석에 사용되는 프로그램을 공부한다고 생각해주세요.제 강의에서는 모두 무료 프로그램을 가지고 진행을 하니 처음부터 모든 프로그램을 찾아서 알아보고 설치하실 필요는 없으며, 강의의 진행에 따라서 필요한 부분의 프로그램을 하나씩 다운로드 받고 설치해서 진행하시는 것을 추천드립니다!

증거 USB 이미징 순서 질문

안녕하세요 이현호님!개인적인 일이 있어서 답변이 조금 늦었습니다.우선 '증거 USB 내에 실제 분석해야할 실제 이미지 파일이 있다고 했을 때' 라는 말씀이 약간 오해의 소지가 있어서 확인을 해야할것 같긴한데,'증거 원본 USB'라는 의도로 말씀하신걸까요 ?아니면 '이미지 파일이 있다고 했을때'라는 말이 정말 말그대로 USB안에 별다른 파일이 없고, 이미지 파일만 들어있는 경우를 말씀하시는걸까요? 질문하신 의도에 따라 답변이 조금 달라지기 때문에 확인이 필요한 내용이긴 합니다만, 우선 당장 내일이 시험이시니 간략하게 정리를 해드리면참고 https://inf.run/TegLC기본(증거원본 USB인 경우)제공된 USB 자체가 용의자의 소유이거나 용의자에 대해 압수수색을 진행하던중 발견한 USB인 경우로, USB자체가 증거인 경우입니다.이 경우 순서는쓰기방지USB 연결이미징(e01 or DD)FTK Imager로 이미징한 파일 확인(파티션 복구 여부 판단을 위해서)파티션복구가 필요한 경우파티션 복구를 위해 DD파일이 필요하므로, 최초 이미징한 파일이 e01인 경우에는 e01파일은 원본으로 해서 DD파일을 추가로 이미징.방금 이미징한 파일을 hxd에서 불러와서 구조를 확인하고 문제가 있는 파티션 복구수정한 이미지 파일을 다시 FTK Imager 불러와서 복구 여부 확인복구된 이미지 파일을 Autopsy에 불러와서 분석 진행파티션 복구가 필요없는경우이미지 파일을 Autopsy에 불러와서 분석진행위의 순서가 가장 기본이라 생각해주시고, USB가 증거 원본이 아닌 경우는 위의 기본 순서에서 생략되는 부분들이 있다고 생각해주세요증거 USB 원본이 아닌 경우이 경우는, 시나리오상 수사관이 어떤 내용을 발견후에 '이미징하였다' 등의 표현을 사용하면서 '수사관이 소지하고 있던 USB에 저장하였다' 등의 내용을 보고 증거 원본이 아닌것을 추정할수 있습니다. 이 부분을 잘 보셔서 증거 원본인지 사본인지를 먼저 판단을 하셔야합니다.이 경우 순서는USB 연결USB에 저장된 이미지파일(e01 or dd 등)을 분석용 노트북으로 '복사'FTK Imager로 복사한 이미지 파일 확인(파티션 복구 여부 판단을 위해서) --- ▼ 이하 동일파티션복구가 필요한 경우파티션 복구를 위해 DD파일이 필요하므로, 최초 이미징한 파일이 e01인 경우에는 e01파일은 원본으로 해서 DD파일을 추가로 이미징.방금 이미징한 파일을 hxd에서 불러와서 구조를 확인하고 문제가 있는 파티션 복구수정한 이미지 파일을 다시 FTK Imager 불러와서 복구 여부 확인복구된 이미지 파일을 Autopsy에 불러와서 분석 진행파티션 복구가 필요없는경우이미지 파일을 Autopsy에 불러와서 분석진행증거 원본이 아닌 경우와 증거원본인 경우의 차이는 처음에 쓰기방지후 이미지 생성을 하느냐의 차이라고 생각해주세요. 원본은 당연히 쓰기방지후에 이미지 파일을 생성을 해야하고, 사본의 경우에는 이미 시나리오상 수사관이 이미징을 한 상태등으로 시나리오에서 알려주기때문에 사본 이미지를 단순히 수사관의 가지고 있던 USB에 담아서 우리에게 주는 것에 불과합니다. 그 경우 원본이 아니기때문에 쓰기방지나 이미징 작업이 필요가 없습니다.증거 원본인지 사본인지 모를경우시나리오를 읽어봐도 이게 증거원본인지 사본인지 모를 경우가 있을수 있는데,그 경우에는 증거원본이라고 생각하고 과정을 진행해주세요.이미징 후에 FTK Imager로 들어갔을때 수많은 파일 대신에, 이미지 파일 1개 또는 2개 정도만 있는 경우에는 앞에서 본것처럼 수사관등이 이미 이미징을 한 상태일 가능성이 매우 높은데, 어쨌든 그 파일을 추출한 다음 다시 FTK Imager로 열어서 파티션 복구 여부 등에 대한 판단하는 과정을 반복해야하는 약간의 번거로움이 있지만, 증거 원본인지 아닌지 확신이 들지 않는다면, 원본이라 생각하고 진행해주세요~증거원본/사본 판단은 어떻게 보면 매우 간단하지만, 처음에는 정말 헷갈리는 부분이기도 합니다.시나리오를 최대한 집중해서 읽어보시면 도움이 되실거예요~

MSG 형식의 이메일 파일 확인 방법

안녕하세요 당근열개님!기본적으로 .msg 파일은 Mail Viewer로 확인이 가능한 확장자입니다.다만 확인이 안된다는 그 상황이 정확히 어떤 상황인지 확인이 조금 필요할것 같아서 질문드리면,.msg 파일이 어떻게 열리지 않는지 설명 해주실수 있으실까요 ? 메일뷰어의 어떤 화면에서 어디 선택을 하셨는지 등에 대한 과정(사진)