投稿した質問数 1

0

안녕하세요 박준석님!

질문 주신 부분이 시험을 처음 보시는 분들에게 정말 헷갈리는 부분 중 하나입니다!

말씀해주신것처럼 최근 시험에서는 시나리오상 현장에서 수사관이 증거를 이미징해서 수사관이 소유하고 있던 USB나 외장하드 등의 저장장치에 저장하는 내용으로 많이 나오고 있습니다.
이런 경우 '시나리오에서 수사관이 이미징을 해서 이미지 파일로 저장을 했다고 했으니' 별도의 이미징이 필요가 없습니다. 제공받은 USB에서 이미지 파일을 분석 노트북으로 복사해서 붙여넣기 하시고 추가 이미징 작업 없이 바로 분석을 진행하시면 됩니다.(이미 수사관이 이미지을 한 시나리오이기때문에)

단, 시험시 제공 받은 USB가 증거원본인지 아니면 이미 이미징한 사본 파일을 담은 단순 저장용 USB인지는 시나리오를 정확히 보시고 판단을 하셔야합니다.

예를 들어서 시나리오 상 현장에서 수사관이 USB를 하나 발견했는데(수사관의USB가 아닌 현장에서 발견된), 그 안의 파일이 .e01 파일 하나가 저장되어있을 경우 파일만 보면 이미징을 이미 했구나 착각할수 있거든요. 그런데 이 경우에는 증거원본이기때문에 쓰기방지>이미징을 해주셔야합니다.

시나리오를 꼼꼼하게 확인하시고 판단을 해주세요!

정리해드리면,
1.증거 원본 USB인경우
- 쓰기방지 > FTK Imager로 이미징

2.사본인 경우
-쓰기방지 > 이미징 불필요!(이미 사본이기때문에)
-단, 사본이어도 e01 파일이었고, 파티션 복구가 필요한 경우에는 DD파일이 필요하므로
이 e01 이미지 파일을 원본으로 잡고 DD로 이미징을 해주셔야합니다.

이 이미지 원본/사본의 구분과 그에 따른 이미징 작업 필요 여부에 대해서는 많은 분들이 처음에 어려워하시는 부분입니다. 시나리오에서 같은 말도 어떻게 하느냐에 따라서 헷갈릴수 있는 부분이다보니 한 마디로 정리가 안되는 부분이기도 하고요.
무엇보다 시나리오를 꼼꼼하게 보시고 상황판단을 해주셔야합니다!
관련해서 얼마전에 올려드린 유튜브 라이브 특강(섹션 20)에서 조금 더 자세히 다루고 있으니 참고 부탁드릴게요~