[DFE] 이미지 획득 (Image Acquisition)

개요

디지털 포렌식에서 증거의 훼손을 막고 무결성을 유지하기 위해 원본이 아닌 사본으로 진행해야한다.

이를 위해 저장매체 사본 생성을 진행해야한다.

본 내용

FTK Imager → Create Disk image → Physical Drive → 저장매체 선택 → Raw(dd) 또는 E01 선택 → 정보 입력 → 이미지 생성

 

1. Create Disk Image

Create Image

2. Physical Drive > Next

Select Source

Select Image Type

Raw(dd): 원본 저장매체의 데이터를 비트 단위로 그대로 복사한 파일

SMART: Linux 기반 포렌식 도구인 ASR Data의 SMART에서 사용하던 독자적 이미지 포맷

E01: Encase Evidence File, Encase에서 만든 독자적 포맷, 가장 널리 쓰이는 포맷 중 하나

AFF: Advanced Forensic Format, 오픈 소스 기반의 포맷

 

3. 필요 정보 기입(선택)

Item Information

4. 경로/파일명/분할/암호화 선택

Image Fragment Size(MB) = 0, 이미지를 해당 MB로 분할하여 저장

Use AD Encryption = 체크 시 AccessData 방식으로 이미지 파일을 암호화하여 저장, 키 분실 시 복호화 불가(체크 해제)

Select Image Destination

5. 이미지 생성

Verify images after they are created = 이미지 생성 완료 후 원본과 사본 해시 값을 비교하여 무결성 검증

주의사항

---

참고문헌