EnCase v7 Link Files Analysis

 

 

Records -> Evidence Processor Module Results -> Windows Artifact Parser ->

Windows Artifact Parser -> Link Parser -> Link Files

경로에서 Link Analysys 을 진행해보겠다.

 

​상단에 체크박스 Selected 를 선택하면 Table pane 에 표시되는 Item 이 전부다 체크가 된다.

Item 이 전부다 체크된 상태에서 다시 체크된 박스를 클릭하면 선택되었던 Item 이 해제가 된다.

 

EnCase 의 특징이 숨겨진 메뉴가 상당히 많다. Table pane 안에서 우측 상단에 현재 빨간네모로 표시된 부분의 검정 삼각형 아이콘을 클릭한다.

 

​검정삼각형을 클릭하면 또 다른 메뉴가 나온다. 여기서 Save As 를 클릭한다.

 

 

선택을 하여 원하는 Fields 를 저장하겠다는 Option 이다.

Link File 은 Parser 를 통해 분석되어 있는 Page 를 통해 보아야 한다. 따로 Evidence 에서 .lnk File 들만 정렬해서 본다면 정보가 안나온다. Link File 현재 위치만 나온다.

Link File 이 가지고 있는 실제 정보를 확인해야 하기 때문에 Parser 나 다른 솔루션들, Link parser 를 볼 수 있는 Freeware 솔루션이 많다. 그러한 솔루션들을 이용해서

Parser 를 통해 분석되어 있는 Link 정보들, Link 에 대한 Meta information 을 빼내서

확인해야 한다.

 

 

 출력되길 원하는 Filed 를 선택하고 하단에 저장될 경로를 지정한 후 OK 를 클릭한다.

​출력한 정보를 Excel 에서 확인하였다. 현재 .lnk 파일의 실제 경로를 Base Path 에서 확인할 수 있다.

그리고 Excel 에서 필터링 기능을 이용하여 정보를 축약하여 빠르고 쉽게 찾아낼 수 있다.