포렌식 전문가 2급 LAB-1 가상문제 Review 가 끝났습니다. 이번 Review 는 실제 포렌식 전문가 2급 6회 실기 시험과 99.9% 유사하게 문제를 풀이 했습니다. 물론 100% 일치하는건 아니나, 문제 형태, 풀이 방법 등은 그렇습니다. 눈치 빠른 분들은 이해하실 겁니다. 그리고 왜 100%로 만들면 안되는지... 유출하면 큰일 난대가지구요. 한국포렌식 협회에서 근데 이 Review 를 정독하셔서 이해하시면 실전 문제에 상당히 도움이 되리라 판단합니다. 그리고 문제를 직접 안푸시고 이해만 하셔도 도움이 될 것 같습니다. 저도 FTK 에 증거 파일을 추가하는 이해 정도만 익히고, 그 외 논리적인 쓰기방지 설정과 USB 흔적 찾기 등을 익혀서 시험을 본 것이니까요. 실기의 문제는 역시나 프로그램..

5번 문제 ​기밀 자료가 외부로 유출된 정황이 포착되었다. 유출된 것으로 파악된 HASH 값을 비교하여 외부로 유출된 증거를 찾아 기술하라. 유출된 것으로 파악된 SHA1 HASH 값 : 9C088248BC5949EDED955D148DDCE9C7B05A5643 ​AFD283635AC2DA958C2DC7DFE07DCA5C22E65094 이번 디지털 포렌식전문가 2급 6회 실기시험은 총 5문제가 출제되었다. 이제 마지막 5번문제를 풀이 해보겠다. 5번문제는 유출된 것으로 파악된 HASH 값을 비교하여 기밀 자료가 외부로 유출된 정황을 기술하는 문제다. 즉 위 HASH 값의 자료가 외부로 유출이 되었다는 것을 증명해야 한다는 뜻이다. 이번 문제는 Filezilla 라는 프로그램을 이용하여 전송된 흔적을 찾는 ..

4번 문제 3번 문제의 증거물에서 특정 확장자 (.lnk) 파일을 검색하여 증거매체가 다른 매체에 저장되었던 흔적을 찾아 기술하라. 다른 매체에 연결 되었던 증거, 볼륨번호, 시간, 파일크기, 그 외적으로 증거로 판단되는 근거를 찾아 기술하라. ​ ​4번문제는 답을 해결하는 방법을 설명하겠다. 문제 복원이 완벽하지 않기 때문이다. 그러나 해결방법을 잘 이해한다면 아주 쉽게 해결이 가능한 문제이다. 이 문제의 요점은 특정 확장자의 파일을 검색하여 그 파일에서 정보(다른 매체에 연결되었던 증거, 볼륨번호, 시간, 파일크기, 그 외적으로 증거로 판단되는 근거) 를 기술해야하는 문제이다. 실제적으로 문제를 복구하지 못해 가시적으론 볼 수 없지만, 문제를 해결하는 방법을 충분히 숙지하면 충분히 해결이 가능하다.​..

3번 문제 해당 증거물인 USB에서 기밀자료의 정황을 찾아 기술하라. 기밀자료로 의심되는 파일, 시간, 섹터위치, 크기, USB가 연결 되었던 흔적을 기술하라. 3번문제는 실제적으로 기밀자료의 정황을 찾아서 기술을 해야하는 문제다. 즉 용의자가 USB 를 통해 기밀자료를 저장하였고, 그 기밀자료가 실제 기밀자료라는 것을 증명 해야하는 문제로서, 본격적인 포렌식 수사관의 자질을 확인하는 문제이다. ================================================================================= 해당 문제는 Forensic Tool Kit Demo 버전을 사용한다. 왜냐하면 정품이 없으니까, 그리고 Encase 는 Dongle Key 가 없으면 증거분석, 수사..

2번 문제 해당 사본이미지의 파일시스템 종류, 용량, 섹터, 클러스터, USB 볼륨시리얼 넘버 등을 기술하라 2번문제의 핵심은 이미징 작업을 완료한 사본이미지의 파일시스템 종류, 용량, 섹터와 클러스터의 크기, USB 볼륨시리얼 넘버등을 기술해야 한다. 우선적으로 할 말은 FTK, Encase 를 사용하면 해당 사본이미지의 기술 조건에 해당하는 답이 잘 나와 있다. 그런데, 본인이 생각했을 때 출제자라면 어떤 의도로 이 문제를 출제했을까? 라는 생각이 갑자기 들었다. 즉, 툴에 의존하는 답을 요구한 게 아닌, 파일시스템에 대한 이해도를 요구하는거라고 생각이 든 것이다. 그래서 사본이미지를 dd 로 작업을 하였는데 dd 로 작업을 해야지만 WinHex 프로그램에서 정확하게 16진수 코드를 나타내준다. 만약..

1번 문제 증거물 USB의 사본이미지를 생성하고 무결성을 입증하라. 1번 문제의 핵심은 무결성을 입증하면서 사본이미징 작업을 해야한다. 무결성이란 증거물 USB의 변경이나 훼손이 없어야 한다. 즉, 증거물 USB 내에 파일 변경이나 훼손 없이 사본 이미징 작업을 완료해야하며, HASH 값을 생성하여 사본이미지와 증거물 USB가 동일한 내용이라는 것을 증명해야 한다. HASH 값이 틀리다면 무결성이 훼손된 것이므로 증거로 인정이 되지 않는다. 1번 문제는 무결성을 입증하고 사본이미징 작업을 해야 한다. ==================================================================== ​먼저 사본 이미지 생성 작업을 하기전에 아주 중요한 설정을 해야한다. 바로 쓰기방..