22회 시험 e01 파일 관련 질문

Question

안녕하십니까 강사님! 2급 22회 시험 리뷰 영상을 보다 시험 진행 흐름에 궁금한 사항이 생겨 질문 남겨봅니다. 증거원본으로만 연습하다가, 증거사본 이미징 파일로 연습해 보려니 조금 막히는 부분이 있는 것 같습니다. 제가 이해했고, 궁금한 시험 진행 흐름을 아래에 적어보겠습니다. (증거사본 이미지를 제공한 경우) USB에 '수사관의 usb.001' 파일만 존재 FTK Imager로 열어보니 Unrecognized HxD로 파티션 BR 복구 FTK Imager로 다시 열면 내부구조 확인가능 (.e01~.e04까지 있음) 이 다음으로, FTK Imager로 'image.e01' 파일만 따로 추출하고 훼손됐는지 확인 하는 게 맞는지 궁금합니다. (2급 22회 시험리뷰 1 강의 52분 40초부터 image.e01 파일을 FTK로 불러오는데 그 이전 과정을 이해하지 못하고 있는 것 같습니다.) 항상 좋은 강의 감사드립니다!

nstyxn · Answer

안녕하세요 재영님! 이미지 파일이 여러번 반복해서 나오다보니 헷갈리시는것 같습니다. 아무래도 디지털 포렌식 공부를 시작한지 얼마 안되시는 분들이 처음 부딪히는 부분이 이 '이미지' 파일의 이해 부분인데요 하나씩 설명을 드릴게요. 우선 이미지 파일은 아시다시피 DD파일(.001)과 E01(.e01) 파일정도로 크게 나눠서 볼수 있고, DD파일은 원본그대로 저장된 형태, E01은 압축해서 용량을 줄인형태정도로 생각해볼수 있죠? 그런데 이 파일들이 일상에서는 볼수없는 확장자이고, 또 디지털 포렌식에서 사용하는 '이미지'파일 이라고 처음 마주하게 되면 뭔가 특별한것 같아서 조심스러워 집니다. 이 이미지 파일들은 그냥 압축파일이라고 생각해보세요. 22회 시험에 나온것처럼 비슷하게 구성을 해본다면, 예를 들어서 제 친구가 동영상 파일 1개가 있고 이 파일을 저에게 주려고 하는데, 영상의 용량은 16기가인데 USB의 용량은 8GB이고, 그러한 usb가 2개가 있습니다. 그래서 이 파일을 USB2개에 나눠서 저장하기 위해서 8GB씩 분할압축을 했다고 가정할게요. > 동영상파일 1개(16GB) >> 분할압축 : 동영상.zip (8GB), 동영상.z01(8GB) 이렇게 1개의 동영상 파일이 동영상.zip 과 동영상.z01 이라는 2개의 파일로 분할이 되어서 압축되었습니다. 이때 이 동영상.zip 파일과 동영상.z01 파일은 22회 시험에서 봤던 image.e01, image.e02, image.e03, image.e04와 같다고 생각하면 되겠죠 ? 그래서 이 USB 2개를 친구가 저에게 줬고, 그 USB를 받은 저는 각각의 USB에 들어있던 동영상.zip 파일과 동영상.z01파일을 제 PC로 복사를 했습니다. 그리고 나중에 확인하기 위해서 우선은 보관을 할건데, 분할압축파일이어서 혹시라도 나중에 파일 한개가 실수로 삭제되거나 해서 압축을 해제할수없는 일을 방지하기 위해서 2개의 압축파일을 그냥 1개로 저장해서 보관을 하려고해요. 그래서 동영상.zip 파일과 동영상.z01 파일을 선택해서 다시 1개의 파일로 압축을 했고, 파일명은 압축.zip 으로 지정했습니다. 이때 이 압축.zip 파일은 22회 시험에서 맨처음 수사관이 저장했던 '수사관의 usb.001'파일로 생각하시면 되겠죠? 이처럼 이미지 파일은 결국 여러개의 파일들은 한개 또는 소수의 파일로 보관/관리 하기 위해서 압축해놓은 압축파일로 생각하시면 편합니다. 우리가 많이 사용하는 압축파일처럼 생각하면 별다른게 없는데, '디지털 포렌식'이라는 상황과 '이미지파일'이라는 뭔가 복잡할것 같은 느낌의 이름이 합쳐지면 뭔가 다른것 같고, 뭔가 특별한 방식으로 진행을 해야할것 같다는 생각때문인것 같아요. 어쨌든 압축을 여러번 한 상황이라고 생각하시면 될것 같은데, 다시 문제로 돌아가서 궁금하신점을 설명을 먼저 드리면 [이 다음으로, FTK Imager로 'image.e01' 파일만 따로 추출하고 훼손됐는지 확인하는 게 맞는지 궁금합니다.] > 네 확인하시는게 좋습니다. 22회 시험에서는 사실상 2번을 확인할것을 요구하고 있는 경우입니다. 1. 수사관의 usb.001 > ftk imager로 확인 > 파티션 훼손 > HxD에서 확인 후 수정 > ftk imager로 복구 여부 확인 > 복구완료되었으며, 내부에 image.e01 ~image.e04 존재확인 > 수사관의 usb.001 이라는 이미지 파일(압축파일)을 복구해서 확인해보니 그 안에 다른 이미지 파일(압축파일)이 있으니 또 확인을 해봐야겠죠. 2. image.e01 ~ image.e04 추출 > ftk imager에서 image.e01 불러오기 > 조심해야하는 점은 image.e01 / image.e02 / image.e03 / image.e04가 각각 별개의 파일이 아닌 한 몸입니다. 분할압축시에도 압축.zip / 압축.z01 / 압축.z03 파일이 있다고 가정했을때 이 3개의 파일이 모두 한 곳에 같이 있어서 압축을 해제할수 있듯이 위의 image.e01~image.e04 역시 한 곳에 같이 있어야 이미지 파일에 접근이 가능하거든요. 3. ftk imager에서 image.e01 을 불러와서 확인해보니 파티션이 훼손되거나 문제가 있는 부분이 없는 경우 > 그대로 탐색을 진행하는등 다음 단계로 진행하시면 되고 4. 만약 ftk imager에서 image.e01을 불러왔는데 파티션 훼손의 경우에 볼수 있는 Unrecognized File system 등의 에러 메시지가 보이고 접근이 불가능하다 등의 문제가 발생시에는 동일한 방법으로 파티션 복구를 진행을 해주시면 됩니다. 이미지 파일이 중복으로 나오다보니 뭔가 복잡해보이고, 실제로 어려워들 하시는데, 조금만 적응하시면 아무것도 아닌 단순한 내용입니다. 앞에서 복구하신것처럼 그 과정을 한 번 더 진행하시면 해결되는 문제거든요! > 물론 복구를 위해서는 압축된 형태인 e01 파일로는 불가능하기때문에 dd파일로 변환을 한 후에 hxd에서 수정을 하셔야하는데 이 부분은 별론이므로 따로 추가로 설명은 안드릴게요. 조금 길게 설명을 드렸는데 이해가 되셨을지 모르겠습니다. 다시 한번 정리하면, 1. 이미지 파일 발견(수사관의 usb.001) 2. 안에 뭔가 있을테니 확인해야겠다! 3. ftk imager로 불러오니 접근 불가(파티션 훼손) 4. 파티션 복구 진행 5. 복구여부 확인을 위해서 수정한 이미지 파일을 다시 ftk imager에서 불러오기 6. 정상적으로 접근 가능한것을 확인 7. 복구된 이미지 파일을 탐색중에 또 다른 분할 이미지 파일(image.e01~image.e04) 확인 8. 이미지 파일이니 확인 필요 9. 4개의 분할 이미지 파일 추출 10. 첫번째 파일은 image.e01 파일을 ftk imager에 불러오기 11. 정상적으로 불러와지고 접근이 가능하다면 내부 탐색 만약 unrecognized file system 등 파티션 훼손의 흔적이 보이면 앞에서와 같이 hxd에서 이미지 파일을 불러와서 파티션 복구 진행 (e01 파일인 경우 이므로, hxd 수정이 필요한경우 dd파일(.001)로 재 이미징 진행 12. 재이미지한 파일(예: reimaging.001)을 hxd로 불러와서 파티션 복구 진행 이렇게 된다고 생각해주세요~ 혹시 이해가 안되는 부분이 있으시면 다시 질문 해주세요~ :)

communityai8509 · Answer

안녕하세요, 인프런 AI 인턴입니다. 재영님! 질문하신 상황에서는 image.e01 파일만 따로 추출하는 것이 아니라, 함께 생성된 image.e02 , image.e03 , image.e04 등 모든 분할 이미지 파일을 동일한 폴더에 보관한 뒤 image.e01 을 불러와야 합니다. E01 이미지는 여러 개의 분할 파일로 구성될 수 있으므로, E01 파일만 단독으로 추출하면 FTK Imager나 Autopsy에서 정상적으로 열리지 않을 수 있습니다. 따라서 다음과 같이 진행하는 것이 적절합니다. HxD로 파티션 및 BR 복구 복구 후 생성된 이미지 관련 파일 전체 추출 image.e01 image.e02 image.e03 image.e04 기타 함께 생성된 관련 파일 모든 파일을 동일한 폴더에 위치 FTK Imager 또는 Autopsy에서 image.e01 파일을 선택하여 열기 즉, image.e01 을 기준 파일로 열기는 하지만, 실제로는 나머지 분할 파일들이 함께 있어야 전체 증거 이미지를 정상적으로 읽을 수 있습니다. E01 파일 자체가 손상되었는지 확인하기 위해 E01만 별도로 분리하는 방식은 권장되지 않습니다. 관련 내용은 아래 기존 질문과 답변에서 확인하실 수 있습니다. 22회 실기 관련 문의 해당 답변에서도 E01~E04와 같은 분할 이미지 파일이 존재하는 경우, E01 파일 하나만 추출하지 말고 증거 이미지 파일 폴더 전체를 추출한 후 FTK Imager, Autopsy 또는 EnCase에서 E01 파일을 열어야 한다는 점 을 안내하고 있습니다. 추가로, 증거 사본 이미지가 제공된 경우의 이미징 및 파티션 복구 절차는 아래 게시글의 설명도 참고하시면 도움이 됩니다. 이미징 방법(기초) 저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다. 현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏 추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.