EnCase v7 장치 추가하기

 

 

메뉴에서 Add Evidence -> Add Local Device.. 를 클릭한다.

 

Add Local Device 창이 나타난다. 이미징 작업과 데이터 수집하는 방식을 설정하는 화면이다.

제일 위에 Detect Tableau Hardware 옵션은 가이던스사가 영업냄새가 나는게, Tableau 자체가 쓰기방지장치로 유명한 회사인데 이 회사를 인수하였다. 웬만한 Interface 를 지원하는데, 인지도가 높아지니 가이던스사가 인수를 했고 이런식으로 모듈이 올라와 있다.

아래 옵션인 Only Show Write-blocked는 쓰기방지가 되어 있는 장치만 볼건지 체크해서 볼 수 있는 옵션이다.

Detect Legacy FastBloc 기능은 소프트웨어 방식으로 쓰기방지기능을 한다. EnCase v7에 자체 모듈이 있다. Tableau 라는 장비가 있는데 많이 쓰다보니 소프트웨어 방식의 모듈이 탑재된 것이다.

그리고 Memory dump 도 생성할 수 있다.

기본적으로 Add Local Device 옵션은

Detect Tableau Hardware 와 Enable Physical Memory 가 체크가 되어 있다.

 

Enable Physical Memory 옵션만 체크하고 본다. 다음을 클릭한다.

그럼 현재 저장장치를 띄는 형태로써, 연결되어 있는 Disk, Dongle, USB, RAM 등 다 나온다.

Disk가 먼저 나오고 하단에 Volume이 나온다.

이 창에서 장치에 대해 전체를 볼 건지, 운영체제를 볼 건지 아니면 내가 원하는 장치만 볼 수 있도록 체크를 해서 볼 수 있다.

 

현재 사용중인 C 드라이브를 체크하고 마침을 클릭한다.

 

현재 바로 C 장치가 추가가 되었다.

근데 이렇게 추가된건 원본을 쓰기방지 기능 없이 바로 연결하게 된 것이다. 이렇게 하면 안된다. 왜냐하면 원본에 대해선 반드시 지켜야 하기 때문이다.

문제가 되는 것이, 만약에 정말 집에 경찰이 들이 닥쳤다. 그러나 요즘 판레 때문에 이슈가 되는게 선별 수집방법인데, 예전 경우 영장에 뭐뭐 일체, 해당 장비에 대한 일체 등이란 표현이 있었다. 그땐 전부냐, 세세한거냐 라고 표현된게 있었는데, 요즘은 그렇지가 않다. 판례에 따라 선별수집을 해야한다.

그러니까 해당사건에 맞는 데이터만 가져와야 한다. 그게 아닌 것은 가져오면 안된다.

물론 해당 사건 외에 수집당하는 사람이 범죄를 하나만 저지른게 아닐 수 있다.

아동포르노, 저작권법 등 두가지에 대한 사건에 해당하는데, 이번 사건은 아동 포르노에 대한 것이므로 아무리 증거수집한 데이터에 저작권법이 나왔다고 하여도 이걸 가지고 물고 늘어질 순 없다.

개인 정보에 대한 부분 등 복핮벅인 부분이 많으므로 선별수집은 상당히 피곤한 작업이다.

그래서 요즘은 이미징 작업을 잘 못한다. 기업 보안 담당입장에선 경찰이 들이 닥쳤다면 '어떻게 해야하지' 이럴게 아니라 절차와 판례를 잘 알고 있어야 한다.

영장을 읽어 보라고 한다면 누가 꼼꼼히 읽어보겠는가? 법무팀을 부르지.

경찰은 무조건 가져가려고 한다. 그리고 말을 잘 구슬리며, 경찰 입장에선 현장에서 사본 이미징 작업을 하는것과 웬만하면 원본을 가져가는게 제일 좋다.

원본을 가져가는게 아주 좋으나 그럴 수 없고, 복제하는것도 힘들다. 피의자 동의를 어덩야 되지만 잘 안해준다. 나는 죄가 없으니 마음대로 하라는 경우도 있지만.

선별수집의 문제점이 선별수집을 하게 되면 현장에서 작업을 해야한다.

아무리 Load-Master 라든지, 장비가 좋다하더라도 상황에 대해 현장에서 분위기 때문에 제대로 판단해서 증거수집을 잘 못하게 된다.

그 상태에서 쓰기방지장치라든지 이런 형태로 데이터를 연결해놓고, 분석을 언제 하느냐? 이다.

며칠이 걸릴수도 있다. 삭제된걸 찾는건 고사하고, 남아있는데 이터만 가져간다. 그래서 고민이 상당히 많아진다.

아직까지는 기업입장에서 가이드라인 자체가 없지만 영장을 꼼꼼히 읽어보라고 권장은 한다. 원본을 줄 필요가 없으니까.

내가 분석 및 수집을 하는 입장은 원본이나 사본을 가져가는게 좋지만, 다앟는 입장에서는 상당히 안좋지.

그 자리에서 해시값을 가져갈 수 도 있고, 사건에 해당하는 Excel, PDF 파일을 필터링 해서 그것만 가지고 L01 포맷으로 뺀다든지, 파일 리스트 종류와 작업 내용에 대한 해시값을 피의자에게 보여주고 서명작업을 하게 된다.

디스크 모양의 아이콘을 클릭하면 Entries 구조로 바뀐다. 그리고 우측하단에 Parsing MFT 라는 작업 게이지가 나타나 있다. 이게 어떤 작업이냐면, 현재 C Disk 가 처음 연결이 되었다.

그럼 EnCase 는 이 처음 연결될 때 해시값을 생성하는데, 이 처음에 생성된 해시값과 나중에 C Disk 를 이미징 작업하여 만들어진 사본이미지의 해시값과 비교를 하게된다.

그럼 그때 사본이미지를 증거파일로 추가할땐 Parsing MFT 작업을 하지않고 바로 등록이 된다.

왜냐하면 처음에 한번 했으면 비교대상으로만 사용되기 때문에 Parsing MFT 작업을 거치지 않는다.

그리고 EnCase 의 모든 작업은 우측 하단에 보는것 처럼 작업상태 게이지가 연두색 바탕으로 진행되며 성능 좋은 컴퓨터는 저 게이지가 안나타나고 바로 훅, 완료될 수도 있고, 대게 시간이 걸리면 저 위치에서 저렇게 작업 상황이 게이지로 나타나며, 알고 있어야 하는 부분이다.

현재 EnCase v7 가 설치되어 있는 C Drive 가 EnCase v7 에 연결이 된 상황이다.