실기시험 Tool 사용 질문

안녕하세요 deepdive182님!

질문주신 순서대로 답변 드릴게요~

1) 실기 시험중 Encase와 autopsy 동시 사용해야하는 경우가 있는지

• 물론 가능합니다만 현실적으로 그렇게 사용하실 일은 거의 없다고 생각됩니다.

2개의 분석 툴 중 한 곳에서는 분석이 안되는 내용이거나, 둘 다 분석이 가능한 내용이라고 해도

분석결과를 표현하는데 있어서 개인적으로 선호하는 분석 툴이 있기때문에 2개를 모두 사용하는 경우는

있을수 있습니다.

하지만 4시간이라는 시간제약과 툴 사용에 아직은 익숙하지 않은 점, 2개의 툴을 동시에 돌리기에는

전체적으로 속도가 느려지는 등의 여러 문제가 있기때문에 현실적으로는 그렇게 하기가 쉽지 않습니다.

만약 주로 사용하는 분석툴에서 분석이 불가능한 문제가 있고, 배점등이 높아서 반드시 해결을 해야한다면

다른 툴을 이용해서 해야겠지만, 각각의 툴 사용법과 전체적인 시험 분위기등에 익숙하지 않은 상황을

감안할때, 되도록 하나의 툴로 진행하시는 것을 추천드립니다 !

2) Encase Fast Bloc SE 사용 후 종료시 쓰기방지 유지 여부

• Encase Fast Bloc SE로 쓰기방지를 하신 후에 Encase를 종료하셔도 쓰기방지는 그대로 유지됩니다 !

다만 혹시라도 프로그램 에러 등 예상치 못한 문제로 인해 쓰기방지가 풀릴 가능성(물론 그렇지 않겠지만)도

생각을 해야 안전할것 같아서, 쓰기방지가 필요한 상황에서는 Encase를 종료하지 않고 유지하는것을 추천

드립니다.

2-1) 쓰기방지 설정 유지를 언제까지 해야하는지

• 쓰기방지는 증거인 원본 USB의 이미지 사본을 만드는 동안만 유지하시면 됩니다.

   

  증거인 USB 매체를 받으신 후 > 쓰기방지 설정 > USB 연결 > 이미징 > 이미징 완료 후 USB 연결해제

   

  쓰기방지 해제 의 순으로 생각하시면 될것 같아요.

• 쓰기방지를 해제 안하셔도 분석을 진행하는데는 문제는 없습니다. 시험이 끝날때 분석한 자료를 검정본부

   

  에서 제공한 USB등에 복사해서 제출을 하셔야하는데, 쓰기방지를 해제 안한 상태에서 분석을 진행하시고

  시험종료가 임박한 시점에서 급하게 USB에 복사를 하시려고 하면 쓰기방지가 걸려있어서(더 심한 경우는

  Fastbloc SE에서 Protected가 아닌 Blocked로 설정하신 경우 복사가 된 것처럼 보입니다!) 당황스러울수

  있습니다.

   

  차분히 생각해보면 '아, 쓰기방지 해제해야지'라고 생각하실 수 있는데, 마음이 급하다보니 생각이 안날 수도

  있거든요. 그래서 이미징 작업 등이 완료가 되고, 증거 USB 원본을 더이상 연결할 이유가 없다면, USB 연결

  해제하신다음에 쓰기방지도 함께 해제하시는게 당황할 수 있는 상황을 만들지 않을것 같습니다.

• 다만 이미징한 파일에 문제가 있거나, 처음에는 e01으로 이미징 했지만 dd 파일로 다시 이미징 해야하는 등

  증거 USB를 다시 연결해야하는 상황이라면 잊지 마시고 꼭 쓰기방지 설정을 다시 해주셔야합니다 !

   

안녕하세요, 인프런 AI 인턴입니다.

deepdive182님의 질문에 관련하여 제공할 수 있는 몇 가지 답변이 있습니다.

1. 실기 시험에서 Encase와 Autopsy를 동시에 사용해야 하는 경우에 대해:
   

• 실기 시험 중에는 주어진 시나리오나 문제의 요구 사항에 따라 다양한 포렌식 도구를 사용할 수 있습니다. Encase와 Autopsy는 각각의 장점과 특별한 기능을 가지고 있기 때문에 경우에 따라 두 도구를 모두 사용할 필요가 있을 수 있습니다. 예를 들어, 특정 파일 시스템의 분석이나 특정 데이터 복구 방식에서 한 도구가 다른 도구보다 더 효과적이라고 판단될 수 있습니다. 따라서, 상황에 따라 두 도구를 조합해서 사용하는 경우가 발생할 수 있습니다.
  

2. Encase에서 쓰기 방지 설정 후 종료시 설정 해제 여부와 쓰기 방지 설정 유지 범위에 대해서:
   

• “답안 제출 usb 관련 문의”에서는 Encase를 사용한 쓰기 방지 설정과 종료 후의 상태, 그리고 쓰기 방지의 적용 범위에 관한 정보가 제공됩니다. Encase나 다른 쓰기 방지 도구에서 설정한 쓰기 방지는 도구가 종료되더라도 자동으로 해제되지 않습니다. 쓰기 방지를 해제하려면 명시적으로 도구를 사용하여 쓰기 방지 설정을 해제해야 합니다. 증거 USB에서 사본 생성 시 쓰기 방지를 설정하는 것은 중요한 과정입니다. 이는 원본 데이터를 보호하고 무결성을 유지하기 위한 필수적인 조치로, 사본 생성 과정에서만 적용되는 것이 아니라 분석 도중에도 유지되어야 합니다.
  

저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다.
현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏
추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.