encase 검색 질문.

안녕하세요 rkddnjsrb1231님! 먼저 강의소개 페이지와 공지사항을 통해서 안내드린것처럼 2023년 10월 이후부터는 Encase에 대한 추가 강의 업데이트 및 질문에 대한 답변이 불가능합니다.제가 더이상 Encase를 사용할수 없는 상황이 되어서 안내를 드린적이 있는데요,단순히 제 기억만을 가지고 답변을 드리기에는 마지막으로 사용을 한지 3년이 되어가다보니(그동안 업데이트도 많이 됐기도 하고요) 틀릴 가능성이 높아서 해당 내용이 안내된 인섹시큐리티의 관련 웹페이지로 안내를 드리고자 합니다.참고 부탁드리며, 다시 한번 Encase에 대한 더이상의 지원이 어려운점 양해의 말씀을 드립니다 감사합니다![인섹시큐리티 Encase Condition 활용방법 안내 페이지 바로가기]

encase 사용 안해도 합격 가능한가요?

안녕하세요 thing no님!질문에 대해 결론부터 말씀드리면, Encase 를 사용하지 않으셔도 합격 가능합니다!우선 시험에서 사용되는 프로그램을 모두 하나씩 설명드리기에는 어려워서최근에 있었던 2급 26회 시험에서 시험본부에서 시험에 제공하는 프로그램의 목록이 담긴 게시물의 링크를 안내드릴게요.https://exam.forensickorea.org/web/bbs/view/boardView.do?bbsId=1&nttId=2853위의 목록에 있는 프로그램은 시험본부에서 제공하는 전체 프로그램의 목록이며,여기에 있는 프로그램들은 대부분이 무료 프로그램으로 인터넷에서 누구나 다운로드 받아 사용할수 있습니다.물론 Encase는 가격 자체가 일반인이 구입하기에는 꽤 고가의 프로그램이고, 또 쉽게 구입하기도 어려운 프로그램으로 수사기관이나 기업, 교육기관 등에서 주로 구입한다고 생각해주세요.디지털 포렌식 2급 시험을 준비하시면서 필요한 프로그램을 크게 나눠본다면,1. 분석 프로그램 - Encase(유료) or Autopsy(무료)2. 이미징 프로그램 - FTK Imager(무료)3. Hex 에디터 - HxD(무료)4. 기타 아티팩트별 분석프로그램 - Rega(레지스트리 분석, 무료), DB Browser for SQLite(DB파일 분석, 무료), NTFS Log Tracker(NTFS 로그 분석, 무료), Mail Viewer(이메일 파일 분석, 무료) 등 많은 프로그램이 있고 대부분 무료 프로그램입니다.이러한 프로그램들은 설치파일형태로 시험시에 제공이 됩니다.바탕화면에 이러한 프로그램들의 설치파일이 담긴 폴더를 제공하고, 개인의 선택에 따라 필요한 프로그램을 설치해서 시험에 활용하시면 됩니다.동일한 목적을 가진 프로그램도 여러가지이고, 개인의 성향 차이 등이 반영되는 부분이라서 모든걸 다 소개시켜드리기는 어렵지만, 우선 기본적으로1. Autopsy- 분석프로그램2.FTK Imager - 이미징&간단한 확인 및 분석3. HxD - 헥스 에디터4. NTFS Log Tracker - NTFS 로그 분석5. Rega - 레지스트리 분석이렇게 5개를 기본으로 공부하고 추가로 필요한 아티팩트의 분석에 사용되는 프로그램을 공부한다고 생각해주세요.제 강의에서는 모두 무료 프로그램을 가지고 진행을 하니 처음부터 모든 프로그램을 찾아서 알아보고 설치하실 필요는 없으며, 강의의 진행에 따라서 필요한 부분의 프로그램을 하나씩 다운로드 받고 설치해서 진행하시는 것을 추천드립니다!

증거 USB 이미징 순서 질문

안녕하세요 이현호님!개인적인 일이 있어서 답변이 조금 늦었습니다.우선 '증거 USB 내에 실제 분석해야할 실제 이미지 파일이 있다고 했을 때' 라는 말씀이 약간 오해의 소지가 있어서 확인을 해야할것 같긴한데,'증거 원본 USB'라는 의도로 말씀하신걸까요 ?아니면 '이미지 파일이 있다고 했을때'라는 말이 정말 말그대로 USB안에 별다른 파일이 없고, 이미지 파일만 들어있는 경우를 말씀하시는걸까요? 질문하신 의도에 따라 답변이 조금 달라지기 때문에 확인이 필요한 내용이긴 합니다만, 우선 당장 내일이 시험이시니 간략하게 정리를 해드리면참고 https://inf.run/TegLC기본(증거원본 USB인 경우)제공된 USB 자체가 용의자의 소유이거나 용의자에 대해 압수수색을 진행하던중 발견한 USB인 경우로, USB자체가 증거인 경우입니다.이 경우 순서는쓰기방지USB 연결이미징(e01 or DD)FTK Imager로 이미징한 파일 확인(파티션 복구 여부 판단을 위해서)파티션복구가 필요한 경우파티션 복구를 위해 DD파일이 필요하므로, 최초 이미징한 파일이 e01인 경우에는 e01파일은 원본으로 해서 DD파일을 추가로 이미징.방금 이미징한 파일을 hxd에서 불러와서 구조를 확인하고 문제가 있는 파티션 복구수정한 이미지 파일을 다시 FTK Imager 불러와서 복구 여부 확인복구된 이미지 파일을 Autopsy에 불러와서 분석 진행파티션 복구가 필요없는경우이미지 파일을 Autopsy에 불러와서 분석진행위의 순서가 가장 기본이라 생각해주시고, USB가 증거 원본이 아닌 경우는 위의 기본 순서에서 생략되는 부분들이 있다고 생각해주세요증거 USB 원본이 아닌 경우이 경우는, 시나리오상 수사관이 어떤 내용을 발견후에 '이미징하였다' 등의 표현을 사용하면서 '수사관이 소지하고 있던 USB에 저장하였다' 등의 내용을 보고 증거 원본이 아닌것을 추정할수 있습니다. 이 부분을 잘 보셔서 증거 원본인지 사본인지를 먼저 판단을 하셔야합니다.이 경우 순서는USB 연결USB에 저장된 이미지파일(e01 or dd 등)을 분석용 노트북으로 '복사'FTK Imager로 복사한 이미지 파일 확인(파티션 복구 여부 판단을 위해서) --- ▼ 이하 동일파티션복구가 필요한 경우파티션 복구를 위해 DD파일이 필요하므로, 최초 이미징한 파일이 e01인 경우에는 e01파일은 원본으로 해서 DD파일을 추가로 이미징.방금 이미징한 파일을 hxd에서 불러와서 구조를 확인하고 문제가 있는 파티션 복구수정한 이미지 파일을 다시 FTK Imager 불러와서 복구 여부 확인복구된 이미지 파일을 Autopsy에 불러와서 분석 진행파티션 복구가 필요없는경우이미지 파일을 Autopsy에 불러와서 분석진행증거 원본이 아닌 경우와 증거원본인 경우의 차이는 처음에 쓰기방지후 이미지 생성을 하느냐의 차이라고 생각해주세요. 원본은 당연히 쓰기방지후에 이미지 파일을 생성을 해야하고, 사본의 경우에는 이미 시나리오상 수사관이 이미징을 한 상태등으로 시나리오에서 알려주기때문에 사본 이미지를 단순히 수사관의 가지고 있던 USB에 담아서 우리에게 주는 것에 불과합니다. 그 경우 원본이 아니기때문에 쓰기방지나 이미징 작업이 필요가 없습니다.증거 원본인지 사본인지 모를경우시나리오를 읽어봐도 이게 증거원본인지 사본인지 모를 경우가 있을수 있는데,그 경우에는 증거원본이라고 생각하고 과정을 진행해주세요.이미징 후에 FTK Imager로 들어갔을때 수많은 파일 대신에, 이미지 파일 1개 또는 2개 정도만 있는 경우에는 앞에서 본것처럼 수사관등이 이미 이미징을 한 상태일 가능성이 매우 높은데, 어쨌든 그 파일을 추출한 다음 다시 FTK Imager로 열어서 파티션 복구 여부 등에 대한 판단하는 과정을 반복해야하는 약간의 번거로움이 있지만, 증거 원본인지 아닌지 확신이 들지 않는다면, 원본이라 생각하고 진행해주세요~증거원본/사본 판단은 어떻게 보면 매우 간단하지만, 처음에는 정말 헷갈리는 부분이기도 합니다.시나리오를 최대한 집중해서 읽어보시면 도움이 되실거예요~

MSG 형식의 이메일 파일 확인 방법

안녕하세요 당근열개님!기본적으로 .msg 파일은 Mail Viewer로 확인이 가능한 확장자입니다.다만 확인이 안된다는 그 상황이 정확히 어떤 상황인지 확인이 조금 필요할것 같아서 질문드리면,.msg 파일이 어떻게 열리지 않는지 설명 해주실수 있으실까요 ? 메일뷰어의 어떤 화면에서 어디 선택을 하셨는지 등에 대한 과정(사진)

디지털 증거 분석 보고서 작성

안녕하세요 당근열개님! 결론부터 말씀드리면 보고서는 작성을 하셔야합니다!단, '보고서'라는 말의 의미가 조금 애매해서 확실히 정리해서 말씀을 드려야할것 같아요.우선 실무에서 '디지털 증거 분석 보고서'라는 이름으로 보고서를 많이 쓰는데,① 어떤 사건인지에 대한 사건개요② 의뢰 분석물 정보 : 어떤 증거에 대해서 분석 의뢰를 받았는지(예 : 현장에서 발견된 USB)③ 의뢰 내용 : 어떤 정보를 분석해주실 원하는지(예: USB에 저장된 범행계획 문서)등에 대해서 기록을하고,분석의 과정과 분석을 통해서 확인한 내용을 서술하는 형태로 진행됩니다.말그대로 전반적인 내용이 모두 포함되게 되는데,우리 시험에서 이야기하는 디지털 증거 분석 보고서는 사실상 '답안작성' 정도로 이해하시면 됩니다.시험 초창기에는 이러한 실무에서 사용하는 디지털 증거 분석보고서의 형태를 약간 따라해서 작성을 하기도 했지만, 최근에는 묻는 질문에 대한 답안만을 쓴다고 생각하면 될 것 같아요.예를 들어서 문제 1. 파티션을 복구하고 아래의 질문에 답하라1) 파티션의 파일시스템2) 총 섹터의 수 문제 2. 용의자 A의 청탁을 받고 개인정보를 유출한 B기업 C사원이 받기로 한 댓가는 무엇인가?이런식의 문제가 여러개 있는데,워드파일(한글 or ms word) 1개 혹은 각 문제별로 파일을 만들어서(예1 : 답안(통합).hwp / 예2: 답안1.hwp, 답안2.hwp)문제1.이미징을 완료한 후 FTK Imager로 이미지 파일을 확인하니 접근이 불가능한 파티션을 하여HxD로 불러와서 확인결과 첫번째 파티션인 NTFS 파일시스템의 파티션의 BR이 훼손되어백업 BR를 복사하여 덮어쓴 후 저장하여 확인하니 정상적으로 접근이 가능하였다.(시간순으로 복구과정을 설명 + 스크린샷)문제2.관련 증거파일명 : abcd.jpg관련 증거파일의 저장위치 : c:\users\계정ID\Desktop\~에서 발견한 파일이 확장자 변조가 의심되어 확인해보니 실제로는 .eml 파일이었으며, 확장자 변경후에 접근이 가능했으며, 내용을 확인한 결과 A가 C에게 보낸 메일의 사본이고 C에게 개인정보를 유출시켜주면 1억원을 지급하기로 한 내용을 확인함.+스크린샷 등이런식으로 전체적으로 해당 문제에서 요구한 답을 찾는 과정과, 관련된 파일의 기본적인 정보(파일명, 저장위치)를 담아주세요.시험에서 얘기하는 보고서는 위와 같은 형태로 작성한 '답안파일'로 생각해주시고,1) 답안 파일 1개 or 문제마다 - 이부분은 당일 현장에서 시험관련 안내에서 별도로 지시하지 않는다면 편하신대로 작성해주세요2) 각 문제에서 요구하는 내용 관련 증거파일은 수정되지 않은 원본 그대로 추출하셔서 답안(보고서)와 함께 제출해주시고, 만약 당일 안내에서 별도로 증거파일은 제출하지 말라는 언급이 있지 않는이상 기본적으로 함께 제출한다 생각해주세요~

Autopsy로 분석 돌리면 언제쯤 ingest를 중단하면 좋을까요?

안녕하세요 오재훈님!우선 몇가지 질문드리면, 1) '어떤 이미지를 돌려도 89%에서 진척사항이 없어서' 라고 해주셨는데 모든 이미지에서 동일한 증상이 나타나는 상황이신가요? 제가 올려드린 실습문제 시나리오 등의 이미지 중 하나로 예를 들어서 말씀해주실수 있으실까요?2) 89%에서 진행이 안되는걸 확인한 시점이 대략 분석시작 몇분 후 정도일까요?3) 인제스트 모듈 선택시, 혹시 키워드 서치가 선택되어있진 않나요 ? 어떤 이미지든 89%에서 더이상 진행이 안된다고 하신걸 보면, 인제스트 모듈은 동일하게 가져가신것으로 보이는데, 정확히 어떤 인제스트 모듈을 선택을 하셨는지 말씀 부탁드리겠습니다~컴퓨터 스펙만 놓고 봤을때는 제 노트북 / 제 데스크탑보다 훨씬 좋은 스펙이신데,적어도 제가 올려드린 여러 연습용 이미지 파일이 모두 동일하게 89% 정도에서 진행이 안된다는건분명 스펙문제가 아닙니다. 그리고 제가 올려드린 이미지 파일들은 아무리 길어도 1시간 이하로 끝나야 정상입니다.그럼에도 불구하고 분석이 완료되지 않는다면 인제스트 모듈 선택 상의 문제가 아닐까 싶습니다.(특히 키워드서치 선택)또한 이런 문제 발생시 어느시점에 분석 중단을 해야할지에 대한 답변은말씀드릴수가 없습니다. 이게 상황에 따라 너무 다르기때문에 적당한 시점이라는건 있을수가 없거든요.또한 그렇게 취소를 해도 어느정도 분석이 다 된것처럼 보인다고 하셨는데, 분석이 안된 부분을 모르셨을수도있고, 또 중단시점이 다른 항목은 모두 분석완료했으나, 마지막 분석항목에 대해서 진행(예: 키워드 서치)중에 중단해서 마지막 항목만 완료가 안된경우등 상황이 너무 다양합니다.우선 제가 질문드린 내용을 먼저 확인한번 부탁드리겠습니다!

제25회 실습 자료 관련

안녕하세요 hwanny님!25회시험 리뷰 실습파일 말씀하시는게 맞으시죠?영상에서 설명드린 것 처럼, 25회 시험에서 파티션 복구는 아주 기본적인 부분만 나왔기때문에 리뷰영상에서는 따로 다루지 않았고, 실습파일도 파티션 복구가 필요하지 않은 상태로 올려드렸습니다.말씀하신대로 다른 파티션이 확인이 안되고 MS reserved partition 만 보이는 상태는 조금 예외적인 상황으로 보이는게, 파티션 복구가 필요한 상황일 경우라도, 해당 파티션에 접근이 안될 뿐이지 파티션은 보이는게 정상인데 오직 MS reserved 파티션만 보인다는 말씀이시죠?혹시 보고 계신 파일이 25회 실습 파일이 맞을까요?혹시나 싶어서 업로드한 파일을 다운로드 후 압축해제해서 FTK Imager로 확인을 해봤지만 말씀하신 문제는 발견할 수가 없었습니다.말씀하신 파일을 다시 한번 확인해보시겠어요?참고로 파일의 용량은 23.4GB (25,176,215,940 바이트) 입니다~

이미징 관련 기초적인 질문입니다..

안녕하세요 박준석님!질문 주신 부분이 시험을 처음 보시는 분들에게 정말 헷갈리는 부분 중 하나입니다!말씀해주신것처럼 최근 시험에서는 시나리오상 현장에서 수사관이 증거를 이미징해서 수사관이 소유하고 있던 USB나 외장하드 등의 저장장치에 저장하는 내용으로 많이 나오고 있습니다.이런 경우 '시나리오에서 수사관이 이미징을 해서 이미지 파일로 저장을 했다고 했으니' 별도의 이미징이 필요가 없습니다. 제공받은 USB에서 이미지 파일을 분석 노트북으로 복사해서 붙여넣기 하시고 추가 이미징 작업 없이 바로 분석을 진행하시면 됩니다.(이미 수사관이 이미지을 한 시나리오이기때문에)단, 시험시 제공 받은 USB가 증거원본인지 아니면 이미 이미징한 사본 파일을 담은 단순 저장용 USB인지는 시나리오를 정확히 보시고 판단을 하셔야합니다.예를 들어서 시나리오 상 현장에서 수사관이 USB를 하나 발견했는데(수사관의USB가 아닌 현장에서 발견된), 그 안의 파일이 .e01 파일 하나가 저장되어있을 경우 파일만 보면 이미징을 이미 했구나 착각할수 있거든요. 그런데 이 경우에는 증거원본이기때문에 쓰기방지>이미징을 해주셔야합니다. 시나리오를 꼼꼼하게 확인하시고 판단을 해주세요! 정리해드리면,1.증거 원본 USB인경우 - 쓰기방지 > FTK Imager로 이미징2.사본인 경우 -쓰기방지 > 이미징 불필요!(이미 사본이기때문에) -단, 사본이어도 e01 파일이었고, 파티션 복구가 필요한 경우에는 DD파일이 필요하므로 이 e01 이미지 파일을 원본으로 잡고 DD로 이미징을 해주셔야합니다. 이 이미지 원본/사본의 구분과 그에 따른 이미징 작업 필요 여부에 대해서는 많은 분들이 처음에 어려워하시는 부분입니다. 시나리오에서 같은 말도 어떻게 하느냐에 따라서 헷갈릴수 있는 부분이다보니 한 마디로 정리가 안되는 부분이기도 하고요.무엇보다 시나리오를 꼼꼼하게 보시고 상황판단을 해주셔야합니다!관련해서 얼마전에 올려드린 유튜브 라이브 특강(섹션 20)에서 조금 더 자세히 다루고 있으니 참고 부탁드릴게요~

파일 EOI 관련 질문

안녕하세요 ys_lab님!우선 용어 정리먼저 해드릴게요.1. 헤더 시그니처와 푸터 시그니처 특정 포맷의 파일임을 나타내는 '시그니처'가 파일의 시작과 끝에 있는것으로 각각 헤더 시그니처와 푸터 시그니처로 부릅니다. 이를 다르게 부르는 표현이 아래에서 보는 SOF와 EOF, SOI와 EOI가 있는데, 헤더/푸터 시그니처가 더 포괄적인 상위 개념이고, 그 아래 하부개념으로 파일의 형태에 따라 EOF 나 EOI등으로 부릅니다.2. SOF(Start Of File =BOF)와 EOF(End Of File) 파일의 시작부분과 끝에서 볼수 있는 시그니처로 위에서 말한 헤더시그니처와 푸터 시그니처와동일한 의미입니다.일반적으로 이미지가 아닌 파일의 헤더 시그니처는 BOF(Beginning Of File)로 더 많이 부르는데이는 JPG의 구조에 SOF(Start OF Frame) 라는 구조가 있어서 혼돈을 피하기 위해서 그렇습니다.3. SOI(Start Of Image)와 EOI(End Of Image)이미지 파일에서 사용되며, JPG를 예로 들면 JPG 파일은 FF D8로 시작해서 FF D9로 끝이난다고 볼수 있죠?우선 용어 정리먼저 해드렸습니다.그렇다면 우리가 아는 이러한 헤더 / 푸터 시그니처는 파일의 시작과 끝을 알려준다고 알고 있는데,기본적으로 헤더시그니처(예: FF D8)로 시작해서, 푸터시그니처(예 : FF D9)로 파일이 끝나는게 기본이고, 그 뒤에 다른 데이터가 있다면 그 데이터는 FF D9로 끝난 JPG 파일이 아닌 다른 파일로 보는게 맞긴합니다.그런데 이러한 기본만으로는 이해가 안되는 상황들이 조금 있습니다.(이부분은 조금 더 들어가는 부분이어서 일부러 설명을 안했거든요. 더 복잡해질수가 있어서)1. Zip파일의 구조를 가진 파일들 - 예시로 들어주신 .zip 파일의 경우에는 이 EOF라는 개념이 살짝 다릅니다. (.zip 파일의 구조를 갖는 .pptx, .docx, .xlsx, .hwpx도 동일합니다) .zip 파일의 구조를 보면 파일의 마지막 끝부분에 EOCD(End Of Central Directroy)라는 블록이 존재하게 되는데, 이 곳에는 압축파일안에 들어있는(압축되어진) 파일들의 정보를 담는 공간이 있습니다.이걸 EOCD라고 부르고, 일종의 목록 같은거라 생각해주세요. 마치 MBR 파티션 테이블에서 각각의 파티션의 기본적인 정보를 16바이트에 담고 있고, 누군가 접근을 할때 해당 파티션의 정보를 보고 알려주는 역할을 하듯이 .zip 에서는 압축되어진 파일의 정보를 EOCD에 담아두고 누가 물어보면 이걸 보고 우선 확인하는 목차같은 역할을 합니다.이 EOCD는 .zip 파일의 마지막에 존재하게 되고 제가 그동안 파일의 끝이다(=푸터 시그니처=EOF)라고만 간단히 설명드린 50 4b 05 06 이, 사실은 파일의 끝이 아니라 파일의 끝에 있는 EOCD의 시작부분입니다. (사진)위 스샷이 말씀하신 25회시험 리뷰 다섯번째 영상의 해당 부분의 스샷입니다.보시면 50 4B 05 06 이후에 18바이트가 추가가 되어있죠 ?50 4b 05 06 까지 포함하면 총 22바이트인데, 이 부분이 EOCD입니다.이렇게 EOCD는 최소 22바이트 이상(시그니처(50 4b 05 06) 4바이트 + 메타데이터 18바이트)로 구성이 되는데, 위의 예시파일에서는 최소인 22바이트로 구성이 되어있는것을 알수 있습니다.그래서 정확히 얘기하자면 50 4b 05 06 의 시그니처 이후 18바이트를 모두 포함을 해야합니다. (만약 저상태에서 50 4b 05 06까지만 잘라내서 새로운 파일로 저장을 하면 에러가 나겠죠)그래서 질문주신 내용에 대한 답변을 드리면, 위 스샷에서 EOF 로 알고 있던 50 4b 05 06이후 데이터는 필요없는게 아니고 필요한 데이터이며, 마찬가지로 헤더 시그니처 역시 처음이 아니라 앞에 다른 데이터가 조금 있어도 되는 그런건 아닙니다.정확히 파일의 헤더와 푸터 시그니처로 시작되고 마무리가 되어야합니다! 2.JPG 파일의 FF D9 뒤에 데이터가 추가로 있는 경우(사진)위 스샷은 실습시나리오 5번에서 다뤘던 증거인 photo.zip 이라는 파일입니다.이 파일은 이미지 5개를 photo.zip으로 압축한뒤 jpg 파일을 추가로 은닉시킨(스테가노그래피) 파일인데, 상단의 50 4b 05 06 ~ 2D 01 00 00(총 22바이트)의 압축파일이 끝나는 EOCD를 볼수 있습니다. 정확히 그곳까지가 이 .zip 파일인데, 그 뒤에 FF D8로 시작되는 jpg의 헤더 시그니처가 보이시죠? 우리가 그동안 이해한대로라면 50 4B 05 06뒤에 바로 FF D8이 와야할것 같은데, 정확히는 EOCD 22바이트가 있고, 그게 끝나자 마자 바로 새로운 JPG가 시작하는 경우입니다.이 부분은 이제 이해가 되실거예요.그런데 저 파일에서 FF D8로 시작하는 은닉한 JPG 파일이 하나 있는데, 이 파일의 끝을 보면 또 이해가 안되는 부분이 있어요.(사진).zip 파일의 경우 EOCD가 최소 22바이트이니 이해가 되는데, JPG의 경우는 무조건 FF D8로 시작해서 FF D9로 끝나야하는데 추가로 데이터가 있으니 혼란스럽죠.위의 경우에는 FF D9로 끝나는게 맞습니다. 그런데, 뒤의 데이터 문자열을 보면 뭔가 사진의 정보처럼 보이는 느낌이 들죠? Image_UTC Data1775036378071 = 사진 촬영 시간Camera_Scene_info2 , Color Display_P3, Photo_HDR_Info 사진의 추가정보를 담은 부분으로 보이는데 이러한 부분은 원래 없어야하는 부분이 맞습니다. 이 부분은 SEF로 불리는 메타데이터인데, SEF는 Samsung Extension Format의 약자로삼성 스마트폰으로 촬영한 사진의 경우 사진 촬영시 여러 정보(심도, 듀얼 카메라 픽셀정보, 모션포토)등의 정보를 기록한 부분입니다. 갤럭시로 촬영시 모션포토라고 해서 한장의 사진이지만 gif처럼 보이는 사진모드들도 있고, 여러 모드가 있는데 그런 추가적인 정보를 담아야하는데 기존 jpg 구조상 담기가 조금 애매해서 삼성에서 추가로 붙인 내용이라 생각하시면 좋을것 같습니다.이런 추가 데이터를 붙이는 방법은 스마트폰 제조사마다 약간 차이가 있는데,삼성의 경우 기존 jpg 구조를 건드리지 않기 위해서 밖으로 빼서 저장했고,애플의 경우는 기존 jpg 구조 안에 집어넣는(FF D8 과 FF D9 안에) 형태와 별도의 포맷으로 따로 만든 경우 등 차이가 있습니다.참고로 위에서 보여드린 갤럭시로 촬영한 사진 파일에서 FF D9 이후 데이터를 삭제해도 사진 자체는 동일하게 정상적으로 보입니다. 말그대로 추가 데이터이다보니까요. 이런 부분들은 파일의 구조를 이해하는것에도 어려움을 더하겠지만, 무엇보다 스테가노그래피 분석시에 정말 어렵게 만드는 부분이긴합니다.우리가 공부하는 디포 입문 수준보다는 조금 더 깊은 부분이다보니, 오히려 혼란이 더 커질수가 있어서 설명을 안드렸고 이 부분은 지금은 그냥 보고 넘어가시는 걸 권장합니다.다만 실제 시험에서 스테가노그래피 분석을 할경우,우리가 알고 있는 헤더/푸터 시그니처만 생각해서 그 부분만을 추출해서 새로운 파일로 저장하시면 큰 문제 없이 해결이 되므로 우선은 관련 부분을 찾고, 잘라내서 새로운 파일로 만들어저장해서 확인해주시고 위의 내용은 참고로만 봐주세요~

특강 관련 문의

안녕하세요 maizard님!4.11 특강은 아무래도 유튜브 등에서 라이브로 진행되다보니 라이브 이후에는 시청이 불가능할 예정입니다.다만 모의고사가 개별적으로 진행되다보니 그에 대한 풀이 영상은 그 이후에(다음주 중 예정) [실습 시나리오5] 강의에 등록될 예정이며,궁금해 하시는 4.11 특강 라이브 영상은 그대로 녹화해서 업로드를 할지에 대해서는 조금 고민을 하고 있습니다. 개인적으로 유튜브 등의 플랫폼에서 라이브 경험이 처음이다보니 녹화를 하려해도 실수하는 부분이 발생할수도 있고, 또 유튜브의 화면을 그대로 등록하는것에 대해서 조금 고민을 해봐야해서(채팅창 대화 내용이나 기타 여러가지) 이 부분은 판단후에 결정을 해야할것 같습니다.가장 좋은 방법은 라이브에서 다뤘던 내용을 따로 촬영해서 올리는게 가장 깔끔하긴 한데, 이것도 꽤 시간과 노력이 필요한 부분이다보니 쉽게 결정하기가 어려운점 양해부탁드리겠습니다 ㅜ_ㅜ감사합니다~