총 용량과 가용 용량

안녕하세요 재영님!질문하신 내용이 정말 헷갈리는 부분입니다!우선 말씀하신 계산식은 모두 사용이 되는데, 질문이 정확히 어떤 용량을 물었느냐에 따라 달라집니다.1) 파일 시스템의 총용량 - 파일 시스템에 할당된 전체 용량을 물어보는것으로 [섹터의 수 X 섹터당 용량] 으로 계산! 2) 파일시스템의 가용 용량- 전체가 아닌 가용용량을 물어보는 것으로 [클러스터의 수 X 클러스터 사이즈] 로 계산!위와 같이 질문에 대해서 정확히 확인후에 그에 맞게 계산을 해주시면 됩니다.물론 개인적으로도 실제 시험에서 (제가 시험지를 직접 보진 못하다보니 전해들은 말을 기준으로 했을때) 용량에 관한 문제가 나온 경우, 워딩 자체가 조금 헷갈리게 나오는 경우들이 있습니다.예를 들어서 (실제로 이렇게 나왔다는 얘긴 아니고 어디까지나 예시입니다) 가용가능한 총용량은 얼마인가? 라던지, 아니면 정확히 파일시스템의 총용량인지, 아니면 디스크의 총용량인지 헷갈리게 질문을 한다던지 처럼요.디스크인지, 볼륨인지 등과 총용량인지 가용용량인지에 따라서, 확인해야하는 부분이 다르고, 계산식도 다르기때문에 우선은 질문에서 요구하는 내용을 정확히 파악하는게 제일 중요합니다 !

NTFS LogTracker 사용법 강의

안녕하세요 tpdus8745님!답변이 조금 늦었습니다 죄송합니다!질문 주신 NTFS Log Tracker에 대한 별도의 영상은 현재까지 따로 준비되어있진 않습니다.다만 시험 리뷰 영상에서 여러차례 관련내용을 다루고 있기때문에 안내된 영상을 안내해드리니한번 보시면 바로 이해가 되실거예요~(NTFS Log Tracker 라는 프로그램 자체는 되게 단순하거든요~)아래의 영상 확인 부탁드리겠습니다 :)섹션 16. 시험 리뷰22회 시험 리뷰 2 : 처음부터~24회 시험 리뷰 4 : 처음부터~

실습 시나리오 5 파일 및 시험 개요 질문

안녕하세요 재영님!순서대로 답변을 드릴게요~첫번째.이 부분은 제가 해당 파일을 직접 확인을 확인을 해봐야하는데, 죄송하게도 현재 출장중이어서 주말에나 확인이 가능할것 같습니다. 이 부분은 주말에 확인후에 답변드리도록 하겠습니다!두번째.말씀하신것처럼 최근에는 USB를 증거원본으로 제공하지 않고, 이미징 파일을 제공하고 있습니다. 또한 시험에 사용되는 분석용 노트북의 파티션이 단일 파티션이므로 예전처럼 D: 등 추가적인 파티션이 없어서 그렇게 저장을 하지도 못하고 있죠?어쨌든 말씀하신부분은 가능은 합니다. 다만 어디까지나 제 개인적인 생각인데되도록 노트북에 저장한후 마지막에 USB로 복사하는걸 권장드립니다.말씀하신 방법이 잘못된건 아니지만, USB가 계속 연결되어있는 상태로 파일을 그때마다 계속 복사하는 과정에서 어떠한 에러가 발생할지 모르고, 또 그걸 뒤늦게 알았을때 매우 당황스러울수가 있거든요. 정말 어디까지나 제 개인적인 권장사항입니다. 그러니 참고하셔서 선택하시면 될것 같아요~

vhd 파일 탑재

안녕하세요 김원상님!말씀하신 문제의 경우 여러 원인이 있을수 있는데, 우선 가장 흔한 원인으로는 .vhd 파일의 연결 프로그램이 잘못 지정이 된 경우입니다. 보통 압축프로그램에서 .vhd 확장자를 연결 프로그램으로 지정한 경우가 많이 있는데, 말씀하신 vhd 파일의 아이콘이 어떤 모양일까요?윈도우즈 11 기준으로 .vhd 파일의 기본 아이콘은 아래 스샷과 같습니다. 일반적인 디스크 아이콘 입니다.(윈도우즈 10도 비슷합니다~)(사진)만약 위와 같은 아이콘이 아닌 아래 스샷과 같은 특정 압축프로그램(반디집, 알집, 7zip 등)의 아이콘으로 되어있진 않으실까요?(사진)이런 경우라면 압축파일로 인식을 하기 때문에 '탑재' 버튼이 나오지 않을수도 있습니다.우선 위와 같이 아이콘이 다르고, 특정 프로그램으로 연결이 되어있는지를 확인해보셔야하고요,만약 설명드린것처럼 이미 다른 프로그램으로 연결이 되어있는게 문제일 경우라면연결 프로그램을 변경을 해주셔야합니다.(사진)위 스샷에서처럼 .vhd 파일을 선택후 [마우스 오른쪽 > 연결 프로그램 > 다른 앱 선택] 하시면(사진)위 화면처럼 '이 .vhd 파일을 열 앱 선택' 이라는 창이 뜨고, 그곳에서 'windows 탐색기' 를 선택하신후'항상' 버튼을 클릭해서 완료해주시면 제가 처음 보여드린 디스크 모양 아이콘으로 변경이 됩니다.그때 탑재 버튼을 확인하실수 있으실거예요.우선 현재 아이콘 모양이 어떻게 나오는지 확인해보시고 말씀 부탁드릴게요~

mitec mail viewer

안녕하세요 김원상님!확인해보니 말씀하신대로 다운로드 링크가 깨져있는것 같습니다.제가 가지고 있던 파일을 공유해드리니 다운로드해서 사용해주세요~https://drive.google.com/file/d/17xTWA2FFGVxVrRP6mlqYUoDM2VqPTFVz/view?usp=drive_link

26회 리뷰 중 signal forensic decoder

안녕하세요 absolutely09님!현재 상황이 아래 스크린샷처럼 동일하게 나온다는 말씀이신거죠?(사진)위 스크린샷에서 중간쯤에 'python was not found' ~ 이런 에러메시지까지 동일하신 경우라면,파이썬을 설치하셨는지 확인한번 부탁드리겠습니다.혹시 설치 전이시라면 파이썬을 설치하셔야하는데, 리뷰영상에서 소개시켜드린것처럼(혹은 해당 강의 영상의 수업노트 참고) 파이썬을 설치후에 재시도해보시고 말씀부탁드릴게요~

22회 시험 e01 파일 관련 질문

안녕하세요 재영님!이미지 파일이 여러번 반복해서 나오다보니 헷갈리시는것 같습니다.아무래도 디지털 포렌식 공부를 시작한지 얼마 안되시는 분들이 처음 부딪히는 부분이 이 '이미지' 파일의 이해 부분인데요 하나씩 설명을 드릴게요.우선 이미지 파일은 아시다시피 DD파일(.001)과 E01(.e01) 파일정도로 크게 나눠서 볼수 있고,DD파일은 원본그대로 저장된 형태, E01은 압축해서 용량을 줄인형태정도로 생각해볼수 있죠?그런데 이 파일들이 일상에서는 볼수없는 확장자이고, 또 디지털 포렌식에서 사용하는 '이미지'파일 이라고 처음 마주하게 되면 뭔가 특별한것 같아서 조심스러워 집니다.이 이미지 파일들은 그냥 압축파일이라고 생각해보세요.22회 시험에 나온것처럼 비슷하게 구성을 해본다면,예를 들어서 제 친구가 동영상 파일 1개가 있고 이 파일을 저에게 주려고 하는데,영상의 용량은 16기가인데 USB의 용량은 8GB이고, 그러한 usb가 2개가 있습니다.그래서 이 파일을 USB2개에 나눠서 저장하기 위해서 8GB씩 분할압축을 했다고 가정할게요.> 동영상파일 1개(16GB) >> 분할압축 : 동영상.zip(8GB), 동영상.z01(8GB)이렇게 1개의 동영상 파일이 동영상.zip과 동영상.z01 이라는 2개의 파일로 분할이 되어서 압축되었습니다.이때 이 동영상.zip 파일과 동영상.z01 파일은 22회 시험에서 봤던 image.e01, image.e02, image.e03, image.e04와 같다고 생각하면 되겠죠 ?그래서 이 USB 2개를 친구가 저에게 줬고, 그 USB를 받은 저는 각각의 USB에 들어있던 동영상.zip 파일과 동영상.z01파일을 제 PC로 복사를 했습니다.그리고 나중에 확인하기 위해서 우선은 보관을 할건데, 분할압축파일이어서 혹시라도 나중에 파일 한개가 실수로 삭제되거나 해서 압축을 해제할수없는 일을 방지하기 위해서2개의 압축파일을 그냥 1개로 저장해서 보관을 하려고해요.그래서 동영상.zip 파일과 동영상.z01 파일을 선택해서 다시 1개의 파일로 압축을 했고, 파일명은 압축.zip 으로 지정했습니다.이때 이 압축.zip 파일은 22회 시험에서 맨처음 수사관이 저장했던 '수사관의 usb.001'파일로 생각하시면 되겠죠?이처럼 이미지 파일은 결국 여러개의 파일들은 한개 또는 소수의 파일로 보관/관리 하기 위해서 압축해놓은 압축파일로 생각하시면 편합니다.우리가 많이 사용하는 압축파일처럼 생각하면 별다른게 없는데, '디지털 포렌식'이라는 상황과 '이미지파일'이라는 뭔가 복잡할것 같은 느낌의 이름이 합쳐지면 뭔가 다른것 같고, 뭔가 특별한 방식으로 진행을 해야할것 같다는 생각때문인것 같아요.어쨌든 압축을 여러번 한 상황이라고 생각하시면 될것 같은데, 다시 문제로 돌아가서 궁금하신점을 설명을 먼저 드리면[이 다음으로, FTK Imager로 'image.e01' 파일만 따로 추출하고 훼손됐는지 확인하는 게 맞는지 궁금합니다.]> 네 확인하시는게 좋습니다.22회 시험에서는 사실상 2번을 확인할것을 요구하고 있는 경우입니다.1. 수사관의 usb.001 > ftk imager로 확인 > 파티션 훼손 > HxD에서 확인 후 수정 > ftk imager로 복구 여부 확인 > 복구완료되었으며, 내부에 image.e01 ~image.e04 존재확인> 수사관의 usb.001 이라는 이미지 파일(압축파일)을 복구해서 확인해보니 그 안에 다른 이미지 파일(압축파일)이 있으니 또 확인을 해봐야겠죠.2. image.e01 ~ image.e04 추출 > ftk imager에서 image.e01 불러오기> 조심해야하는 점은 image.e01 / image.e02 / image.e03 / image.e04가 각각 별개의 파일이 아닌 한 몸입니다.분할압축시에도 압축.zip / 압축.z01 / 압축.z03 파일이 있다고 가정했을때 이 3개의 파일이 모두 한 곳에 같이 있어서 압축을 해제할수 있듯이위의 image.e01~image.e04 역시 한 곳에 같이 있어야 이미지 파일에 접근이 가능하거든요.3. ftk imager에서 image.e01 을 불러와서 확인해보니 파티션이 훼손되거나 문제가 있는 부분이 없는 경우 > 그대로 탐색을 진행하는등 다음 단계로 진행하시면 되고4. 만약 ftk imager에서 image.e01을 불러왔는데 파티션 훼손의 경우에 볼수 있는 Unrecognized File system 등의 에러 메시지가 보이고 접근이 불가능하다등의 문제가 발생시에는 동일한 방법으로 파티션 복구를 진행을 해주시면 됩니다.이미지 파일이 중복으로 나오다보니 뭔가 복잡해보이고, 실제로 어려워들 하시는데, 조금만 적응하시면 아무것도 아닌 단순한 내용입니다.앞에서 복구하신것처럼 그 과정을 한 번 더 진행하시면 해결되는 문제거든요!> 물론 복구를 위해서는 압축된 형태인 e01 파일로는 불가능하기때문에 dd파일로 변환을 한 후에 hxd에서 수정을 하셔야하는데 이 부분은 별론이므로 따로 추가로 설명은 안드릴게요.조금 길게 설명을 드렸는데 이해가 되셨을지 모르겠습니다.다시 한번 정리하면,1. 이미지 파일 발견(수사관의 usb.001)2. 안에 뭔가 있을테니 확인해야겠다!3. ftk imager로 불러오니 접근 불가(파티션 훼손)4. 파티션 복구 진행5. 복구여부 확인을 위해서 수정한 이미지 파일을 다시 ftk imager에서 불러오기6. 정상적으로 접근 가능한것을 확인7. 복구된 이미지 파일을 탐색중에 또 다른 분할 이미지 파일(image.e01~image.e04) 확인8. 이미지 파일이니 확인 필요9. 4개의 분할 이미지 파일 추출10. 첫번째 파일은 image.e01 파일을 ftk imager에 불러오기11. 정상적으로 불러와지고 접근이 가능하다면 내부 탐색만약 unrecognized file system 등 파티션 훼손의 흔적이 보이면 앞에서와 같이 hxd에서 이미지 파일을 불러와서 파티션 복구 진행(e01 파일인 경우 이므로, hxd 수정이 필요한경우 dd파일(.001)로 재 이미징 진행12. 재이미지한 파일(예: reimaging.001)을 hxd로 불러와서 파티션 복구 진행이렇게 된다고 생각해주세요~혹시 이해가 안되는 부분이 있으시면 다시 질문 해주세요~ :)

시나리오1 관련 질문

안녕하세요 재영님!아시는것처럼 시나리오1번 9번 문제관련된 증거파일인 신청서.pdf 파일(=신청서.zip) 내부에 2개의 파일이 압축되어있습니다.보고서상에서 각각의 파일(1.mp4 & 2.jpg)의 해시값이 적혀있는 부분이 어떻게 계산되어서 나온건지 궁금하신것 같아요~이부분은 제가 관련 영상을 하나씩 다 확인하진 못했지만, 제 기억에 관련되어서 설명을 따로 드리진 않은것 같아서 헷갈리실수 있을것 같습니다!설명드리면, 저 2개의 파일의 해시값은 별도로(autopsy가 아닌) 계산해서 제가 기재한 부분이고,실제 시험에서 따로 물어보지 않는이상 굳이 적으실 필요까진 없습니다.autopsy등의 분석 프로그램을 이용해서 분석을 완료하면 이미지 안에 있는 모든 파일들의 해시값을 자동으로 산출해서 보여주게 됩니다(물론 해당 인제스트 모듈을 실행을 해야하는데, 기본적으로 하는것으로 안내를 드리고 있어요~)그래서 바로 특정 파일의 해시값을 알수가 있는데, 이번 케이스처럼 압축 파일 안에 압축되어져있는 파일의 경우에는 기본적으로 해시값을 알수가 없습니다.그래서 이런 경우에는 가장 간단한 방법은 압축을 해제해서 나온 해당 파일(1.mp4 와 2.jpg)을 [HachCalc]이라는 해시산출프로그램을 이용해서 빠르게 확인할수가 있습니다.프로그램을 실행한후 해시값을 확인하고자하는 파일을 불러오거나 드래그&드롭하면 자동으로 바로 계산을 해주고, 또 여러 hash알고리즘을 지원해서 다양하게 확인이 가능합니다이 프로그램의 사용법은 너무 간단해서 한번 해보시면 바로 알수있습니다!그런 프로그램을 이용해서 따로 산출한 값을 보고서에 기재한 경우이며,어디까지나 보고서를 처음보는 분들을 위해서 증거파일에 대한 정보를기본적으로 파일명/저장위치/해시값/설명 정도로 기재하자는 것을 보여드리기 위해서 자세히 쓴 경우이고실제 시험에서는 앞서 말씀드린것처럼 문제에서 직접적으로 물어보는 경우가 아닌이상이 케이스처럼 압축 파일 안에 있는 파일까지 굳이 해시값을 쓰지 않으셔도 큰 문제는 없습니다.그냥 어디까지나 '이런 형식으로 보고서를 작성한다'라는것을 보여드리기 위해서 실제 시험장에서 쓸수 있는 내용보다 조금 더 많이 채워서 넣은 샘플이라고 생각을 해주세요~(사진)궁금하신점이 있으시다면 절대 부담갖지 마시고 언제든지 질문 남겨주세요 :)

강의 기간 연장 방법

안녕하세요 이지성님!현재 인프런에서 일부기간등에 대한 연장 결제가 시스템상 불가능하다고 합니다. 시험일까지 수강가능일이 애매하게 남은 경우가 가끔 발생해서 문의를 주시는데 이 부분에 대해서 제가 해드릴수 있는 방법이 없다보니 죄송하다는 말씀밖에 드릴수가 없을것 같습니다. 양해부탁드리겠습니다 !

켜져있는 장치에 대한 이미징 관련 질문사항입니다.

안녕하세요 yhoon047님!말씀하신것처럼 증거의 수집시 환경에 대해서 크게 2가지로 나눠볼수가 있을것 같습니다.1) pc의 전원이 꺼져있는 경우2) PC의 전원이 켜져있는 경우1)의 경우는 우리가 시험에서도 흔히 다루는 꺼져있는 시스템에서 저장장치를 복제하여 이미지로 생성하는 경우가 대표적이죠. 이 경우 원본 SSD(HDD)와 이미징한 파일의 hash값의 비교가 가장 확실한 동일성 판단 여부일것 입니다.다만 2)의 경우처럼 시스템이 켜져있는 상태의 경우에는 조금 달라집니다.이렇게 pc의 전원이 켜져있는 경우 바로 전원을 차단하면 안됩니다.그렇게 하는 가장 중요한 이유는 전원을 차단하면 RAM 등에 남아있는 휘발성 데이터가 바로 사라지고 복구가 불가능 하기때문입니다.그래서 이런 경우에는 1) 주변 환경 촬영 - 컴퓨터에 실행된 프로그램, 네트워크 연결 정보 등 컴퓨터의 화면에 나와있는 정보들과 함께 컴퓨터의 본체에 연결된 여러 기기들의 정보등을 사진이나 동영상으로 심도있게 촬영을 해서 기록합니다. 2) 휘발성 데이터 수집 - RAM, 프로세스, 네트워크 등의 휘발성 데이터를 전문 프로그램을 이용하여 수집 3) 비휘발성 데이터 수집 - SSD or HDD등의 비휘발성 데이터 수집 - 전원이 켜진 상태에서의 라이브 수집 or 전원을 끈 후 수집이런 순서로 진행을 하게 되는데 중요한점은 이게 절대적이지 않고 상황에 따라서 달라진다는 점입니다.예를들어서 특정 볼륨이 Bitlocker등으로 암호화되어있고, 현재 전원이 켜진 컴퓨터의 상황이 비트라커로 암호화된 볼륨이 복호화되어 접근 가능한 상태인 경우에는 휘발성 데이터 수집과 함께 전원이 켜진 상태에서 해당 볼륨의 이미징을 진행해야합니다. 전원을 끄고 SSD를 이미징 장치에 연결해서 이미징을 하려는 경우 암호화되어있던 볼륨에는 접근 할수 없기때문입니다.이렇게 활성 상태에서 (라이브) 이미징을 할 경우 이미징후의 원본과 이미징한 파일의 동일성이 사실상 동일하기가 어렵습니다. 라이브인 만큼 실시간으로 데이터가 변할수 있기때문이죠.그래서 이때 가장 염려되는 부분이 말씀해주신것처럼 동일성을 담보할수 있느냐에 문제일텐데다행히도 법정에서는 이렇게 수집한 파일의 증거능력에 대해서 단순하게 hash값이 동일하느냐만을보고 판단하지 않습니다. 물론 일반적인 이미지 파일과 마찬가지로 hash값을 참고 하기도 하겠지만 그와 더불어 수집 당시의 상황과 그렇게 수집할수 밖에 없었던 이유, 그 과정에 대한 상세한 기록 등을 전반적으로 확인해서 증거능력을 부여하기때문입니다.라이브 포렌식은 정해진 순서나 방법이 있다기보다는 상황에 따라서 순서나 방법이 얼마든지 달라질수 있다 정도만 기억을 해주시고, 단순히 hash값뿐만 아니라 상황과 그에 따른 기록 등을 전반적으로 참고해서 증거능력을 부여한다 정도로 기억해주세요~