디지털 포렌식 생존일지

iPhone modelsiPhone은 시장에서 가장 인기 있는 스마트폰 중 하나이다. Apple는 2007년 6월에 1세대 아이폰을 출시했다. 첫 출시 이후 아이폰은 뛰어난 기능성과 사용 편의성 덕분에 엄청난 인기를 얻었다. iPhone 5 이후에 출시된 기기들에서는 데이터를 물리적으로 복구기에는 어려움이 있지만, 해당 기기가 jailbreaking된 상태라면 예외이다. 그러나 아이폰이 잠금 해제된 경우 파일 시스템 및 논리적 데이터 수집은 가능하다. Identifying the correct hardware model아이폰을 조사하기에 앞서, 올바른 하드웨어 모델과 기기에 설치된 펌웨어 버전을 식별하는 것이 필요하다. 아이폰의 세부 정보를 아는 것은 해당 기기에서 증거를 확보하는 과정에서의 중요성과 가..

Mobile Forensics모바일 포렌식은 디지털 포렌식의 한 분야로, 모바일 기기에서 디지털 증거를 복구하는 작업을 다룬다. 디지털 포렌식 세계에서는 특정 포렌식 기술이나 방법론이 적합하고 정당하다는 것을 의미하는 법적 무결성이 매우 중요하다. 디지털 증거에 대한 무결성 있는 포렌식 수사의 주요 원칙은 원본 증거를 절대 수정하지 않는 것이다. 하지만 모바일 기기에서는 이 원칙을 지키기가 상당히 어렵다. 일부 포렌식 도구는 모바일 기기와의 통신이 필요하므로, 표준 쓰기 방지가 포렌식 데이터 획득 중에 작동하지 않을 수도 있다. 모바일 기기의 설정을 변경하지 않고 데이터를 획득할 수 없다면, 해당 절차와 변경 사항을 반드시 테스트, 검증, 문서화해야 한다. 적절한 방법론과 지침을 따르는 것이 가장 가치있..

UserAssist유저어시스트는 사용자가 실행한 프로그램의 흔적을 확인할 수 있는 대표적인 아티팩트이다.최근에 실행한 프로그램 목록, 마지막 실행 시간, 실행 횟수, 세션 번호가 기록된다. UserAssist 레지스트리 경로는 다음과 같다.1. 컴퓨터\HKEY_USERS\{USER}\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist* {USER} 부분은 확인하고자 하는 계정의 SID로 접근하면 된다. CMD 창에서 whoami /user 명령어로 확인 가능하다. 2. 컴퓨터\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist* HKEY_CURRENT_US..

Thumbnail썸네일은 큰 그래픽 이미지를 축소한 것으로 많은 양의 이미지를 빠르게 탐색하기 위한 것이다. 윈도우 운영체제는 자체적으로 파일의 썸네일을 생성하여 데이터베이스 형식으로 보관한다. 미리보기를 한 번이라도 했다면 썸네일이 데이터베이스에 저장되는데 원본 파일이 삭제되더라도 썸일은 삭제되지 않는다. 따라서, 사용자가 고의로 삭제하지 않은 이상 썸네일은 데이터베이스에 계속 남아있다. 썸네일은 윈도우 XP까지 Thumbs.db 파일로 Vista 이후로 Thumbcache_##.db 파일로 저장된다. Thumbnail cacheVista 이후 운영체제에서는 각 폴더에서 썸네일을 관리하지 않고 중앙집중적으로 관리한다.또한 다음과 같이 미리보기 옵션이 다양한 것을 확인할 수 있다. 각 미리보기 옵션에 따..

Jumplist사용자가 지주 사용하거나 최근에 사용한 문서 또는 프로그램을 관리하는 링크 파일이다.※ 미디어 파일은 제외 응용프로그램을 실행하면 작업표시줄에 아이콘이 표시되며, 해당 아이콘을 마우스 우클릭하면 최근 사용 파일 목록을 확인할 수 있다. 이외에도 파일 탐색기의 최근에 사용한 파일이나 윈도우 탐색기 등에서도 Jumplist의 흔적을 발견할 수 있다. Jumplist의 분류1. Recent (최근항목)응용프로그램을 통해 최근에 열람한 파일2. Pinned (사용자 고정)사용자가 직접 고정한 항목프로그램을 종료해도 작업표시줄에 아이콘 유지사용자가 자주 사용하는 프로그램일 가능성이 높음3. Frequent (자주 사용하는 항목)응용프로그램을 통해 자주 열람한 파일4. Tasks (작업 항목)경우에 ..