전체 글

1. 휴지통(Recycle bin)휴지통은 삭제된 파일/폴더 정보가 저장되는 영역입니다. Windows 에서 shift+Delete를 사용하면 파일이 완전 삭제되고, Shitf키를 사용하지 않고 파일을 삭제하면 삭제된 파일은 휴지통(Recycle bin)으로 이동하고, 복구도 가능합니다.우리는 각 드라이브 에서 $Recycle.Bin 폴더를 확인이 가능 할 것 입니다. 휴지통 폴더는 각 파티션 별로 생성이 되고(USB, 이동식 드라이브에서는 생성X), 휴지통 아이콘은 모든 파티션의 휴지통 폴더를 통합해서 보여줍니다(하나의 폴더로 존재하는것은X).-> 각 파티션에 휴지통 폴더가 생기는 이유는 파일 삭제 시 발생하는 데이터 이동 오버헤드를 최소화하여 성능을 최적화 하기 위함입니다. [만약 동일 ..

응용 프로그램 캐시는 응용프로그램이 실행되면서 여러 기능을 지원하기 위해서(호환성) 운영체제에 기록하는 데이터입니다. 디지털 포렌식에서 실행흔적을 분석하는데 결정적인 역할을 합니다. 1. MUICache(Multilingual User Interface)MUI(Multilingual User Interface)로 Windows에서 사용하는 프로그래머에서 여러언어를 지원하기 위해 프로그램 이름을 저장해둔 캐시 입니다. 이런 여러 언어를 지원하기 위해서는 Windows는 MUICache에 프로그램 이름을 저장해 두고 실행시에 MUICache를 참고하여 언어 데이터를 가져오게 됩니다. 그리고 실행파일 경로, 유저 언어(한국어) 이름을 별도로 저장합니다.[+] 응용프로그램을 실행하면 캐시에 기록이 남고, 실행파..

1. 프리패치(Prefetch)🔧프리패치(Prefetch) 는 Windows OS에서 응용 프로그램을 시작할 때 성능을 향상하기 위해 있는 파일 입니다. Windows OS는 자주 사용되는 응용프로그램의 실행 정보를 프리패치 파일로 미리 저장하여 메모리에 프리패치 파일(.pf)을 미리 로드 합니다. 응용 프로그램을 실행할 때 디스크가 아닌 메모리에서 정보를 빠르게 읽을 수 있도록 합니다. Prefetch에 종류로는 부트 프리패치, 응용 프로그램 프리패치가 있습니다.부트 프리패치(Boot Prefetching) : 시스템 부팅 최적화하기 위해 시스템 부팅시 필요한 파일들을 미리 메모리에 로드 하여 부팅 속도를 향상 시키는 기능 입니다. 부트 프리패칭 파일은 120초 동안 모니터링한 결과로 만들어지고, 재..

1. Web Browser Artifact다들 아시다 시피 Web Browser는 많이 사용하고 있을겁니다. 이걸보고 있는 것도 브로우저로 보는거니까요 ㅎ Web Browser는 주로 Chrome, Edge, Whale 등이 있습니다. 그래서 Web Browser Artifacts에서 Web Browser의 데이터를 확인을 할 수 가 있습니다. 확인할 수 있는 데이터는 아래와 같습니다.History 방문한 URL, 횟수, 시간 등Chache 캐시로 저장되는 이미지, 텍스트, 스크립트 등Cookie 사용자 계정에 대한 Cookie 자동 로그인 등영상 시청 등 전반Bookmarks 사용자 북마크 지정 목록그리고 Web Browser Artifact는 브라우저 종류에 따라 경로가 다릅니다.1.1 Interne..

1. Event Log이벤트 로그(Event Log)는 Windows 동작 과정에서 발생한 이벤트들을 기록하여, 관지자와 사용자가 로컬 컴퓨터 및 원격 컴퓨터에서 기록된 로그를 볼 수 있도록 하는 기능입니다. 이러한 EventLog는 Event Viewer를 통해 확인할 수 있습니다. 이벤트 로그에서 얻을 수 있는 정보에는 사용자 계정 생성, 변경, 권한 변경/ 시스템 로그인 정보/ RDP연결/ 프로세스 생성/삭제 로그/ 힙영역 손상/ 서비스 설치/ 시스템 전원 관리 등이 있습니다. 디지털 포렌식에 이벤트 로그는 시스템에서 발생한 사용자 행위를 파악하는데 도움이 됩니다. 시스템에서 발생한 오류나 보안 결함, 악성 코드로 인하여 침해사고가 발생된 경우에도 악성코드가 어디에서 침투했고, 내부에서 어떻게 동..