Document

Windows 포렌식 개요 & Registry 개요 01. Windows Artifacts : Windows가 가지고 있는 특유의 기능들과 그 기능을 구현하는데 필요한 요소 : Windows의 사용자가 수행하는 활동에 대한 정보를 보유하고 있는 개체 # 생성증거 : 프로세스, 시스템에서 자동으로 생성한 데이터 # 보관증거 : 사람이 기록하여 작성한 데이터 # Windows Artifacts 종류 예시 - 레지스트리 - $MFT, $Logfile, $UsnJrnl - LNK - JumpList - Recycle Bin # 공부할 때 중요한 점 1. 사용자의 행위에 따라 어디에 어떤 정보가 저장될까? 2. 컴퓨터는 대체 어떻게 동작하는 걸까? -> 사용자는 컴퓨터로 무슨 일을 했을까? 02. Registry..

1. 물리메모리 이해 # 메모리 포렌식 목적 - 프로세스의 행위 탐지 - 네트워크 연결 정보 - 사용자 행위 - 복화화, 언패킹, 디코딩된 데이터 - 패스워드와 암호 키 획득 # 메모리 포렌식 대상 - 물리메모리 - 페이지 파일 - 하이버네이션 파일 # 물리 주소 확장이란? - 물리적 주소 지정 비트를 32비트에서 36비트로 확장 (4GB -> 64GB) - 접근 가능한 물리 주소 공간 증가 # 프로세스 생성 과정 1. 실행 파일 실행 2. 서브시스템(POSIX, MS-DOS, Win32 등) 확인 3. EPROCESS, KPROCESS, PEB, 초기 주소 공간 설정 4. 기본 스레드 생성 5. 윈도우 하위 시스템에 새로 생성된 프로세스와 스레드 알림 6. 기본 스레드에 의해 프로세스 환경 설정과 스레..

도구 설치, 환경 설정, 문제 다운로드 # 침해사고 대응기법 중 메모리 포렌식 배울 것. # 메모리 : 프로그램이 올라갈 수 있는 공간 # Volatility, Windows Terminal 설치 # 시스템 환경변수 설정 # Volatility Wiki - Memory Samples, CTF-d - GrrCON 2015 문제 다운로드 Volatility Cridex 풀이 (1) # volatility -f imageinfo 프로세스들의 리스트를 출력 # pslist : 시간 순서대로 출력 # psscan : 오프셋 순서대로 출력 - 숨김 프로세스를 볼 수 있음. # pstree : PID, PPID 기반으로 구조화해서 출력 # psxview : pslist, psscan을 한 눈에 볼 수 있음. # 의심..

앞으로 하게 될 일들 # 내가 디지털 포렌식 수사관이라고 가정하고, 사건이 터졌을 때 어떻게 수사할 것인지 '기술적'으로 다룸. # 컴퓨터, 디스크, 메모리를 다룸. # 디스크 이미징, 디스크 마운트, 메모리 덤프 디스크 이미징 # ftk imager 프로그램 설치 - 이미지를 이미징하고, 마운트하고, 이미지 덤프하는 등 이미지를 관리하는 도구 기초 도구 다운로드 및 설명 # HxD 프로그램 설치 - 파일의 헥스값을 보는데 사용 # Everything 프로그램 설치 - 컴퓨터 전체에서 파일을 빠르게 찾을 수 있도록 하는 검색 도구 # 7zip 프로그램 설치 - zip 파일 압축 해제 # Notepad++ 프로그램 설치 - 여러가지 파일을 한 번에 올려서 볼 수 있는 도구 # Sysinternals Sui..

[무료] 기초부터 따라하는 디지털포렌식 - 인프런 | 강의 기초부터 따라하는 디지털포렌식 강의입니다. 강의를 따라하다보면 "물 흐르듯, 자연스럽게" 실력이 늘어가는 강의를 추구합니다., - 강의 소개 | 인프런 www.inflearn.com 디지털 포렌식이란 무엇인가? # 디지털 포렌식은 컴퓨터 범죄와 관련하여 디지털 장치에서 발견되는 자료를 복구하고 조사하는 법과학의 한 분야 디지털 포렌식의 필요성 # 컴퓨터 관련 범죄 뿐만 아니라 일반 범죄에서도 디지털 포렌식으로 획득할 수 있는 증거가 주요 단서가 됨. # 범죄 수사 이외의 분야에서도 활용도가 증가 디지털 포렌식의 유형과 대상 # 침해 사고 대응 - 실시간 - 사태 파악 및 수습 - 엄격한 입증 필요 X # 증거 추출 - 사후 조사 - 범죄 증거 수..

보호되어 있는 글입니다.

보호되어 있는 글입니다.

보호되어 있는 글입니다.

보호되어 있는 글입니다.

보호되어 있는 글입니다.