[XWF] XWF의 설치와 기본 설정

안녕하세요. 도깬리 포렌식스 입니다.

금일부터는 새로운 시리즈 X-ways Forensics (XWF) 프로그램을 이용한 디지털 포렌식 분석법에 대해 알아봅니다. XWF는 디지털 포렌식 분야에서 널리 사랑받는 도구 중에 하나입니다. 분석관이 상상하는 거의 모든 분석기법을 XWF 하나만으로도 구현할 수 있을 정도로 좋은 도구입니다. XWF를 통해 여러분의 실력도 향상시키길 바랍니다. 자, 시작할까요?

 

XWF 설치

압축파일 다운로드합니다.

설치파일을 실행합니다.

Add-on 프로그램과 Viewer component를 설치합니다.

 

MPlayer

http://www.mplayerhq.hu/

무료 오픈 소스 미디어 플레이어입니다.

비디오 파일에서 JPEG 추출할 수 있습니다.

 

WinHex

XWF와는 달리 헥스값을 수정 가능합니다.

XWF는 이미지 파일, 디스크, RAM 등을 읽기 전용으로 분석하나, WinHex는 쓰기/수정까지 가능합니다.

XWF 최신 버전에는 WinHex가 이미 포함되어 있습니다.

 

Viewer component

xw_viewer.zip

270개 이상의 파일의 열람과 인쇄를 가능하게 합니다.

 

XWFIM (XWF Installation Manager)을 이용한 설치 방법

에릭 짐머만(Eric Zimmerman)이 작성하였습니다.

X-Ways 포럼에서 다운로드 가능합니다.

마이크로소프트 .NET 4.0이 설치되어 있어야 합니다.

 

XWF 동글

EnCase 등 다른 동글 기반 소프트웨어와는 달리 드라이버를 설치할 필요가 없고, 시스템을 재시작할 필요도 없습니다.

즉, XWF 동글은 컴퓨터가 저장 매체가 아닌 마우스나 키보드 같은 HDD 기기로 인식되게 합니다.

XWF 동글을 연결해도 드라이브로 잡히지 않습니다.

따라서, 보안정책으로 인하여 컴퓨터의 USB 포트가 차단되어 있는 경우에도, XWF 동글은 이용할 수 있습니다.

XWF로 Live Forensic을 해야 할 경우, 분석대상 컴퓨터의 레지스트리가 변경되는 것을 최소화 해야 하는데, 이런 경우 XWF 동글은 매우 효과적입니다.

 

보험모드 (Insurance Mode)

동글을 분실하였을 때 라이선스 자체가 만료되는 것을 방지합니다.

외부 출장이 잦은 경우, 보험모드로 설치하는 것을 권장합니다.

 

동글 업그레이드

XWF 라이선스는 영구적이지만, 라이선스의 유지보수 기간은 만료될 수 있습니다.

 

XWF 사용자 인터페이스

 

 

XWF 설정

옵션값 뒤의 숫자 표시는 해당 옵션이 N개라는 의미입니다.

 

 

[Folder for images and backup files] 옵션

디스크에 이미지와 백업용 디렉터리를 잡아 줍니다.

일관성을 위해 디렉터리의 이름을 XWImage 하나로 통일할 것을 권장합니다.

 

[Display time zone] 옵션

표준시간대를 잡아줍니다..

 

 

Viewer Program

[Options] --> [Viewer programs]

64비트 버전을 사용하고 있다면, 뷰어 컴포넌트의 경로를 다음과 같이 바꾸어야 합니다.

.\x64\viewer

기본설정으로 XWF는 비디오 파일을 읽을 때 MPlayer를 사용합니다.

XWF 디렉터리 안에 mplayer 라는 폴더가 있으면 XWF는 Mplayer을 자동으로 인식합니다.

 

 

휴대용 XWF 설치하기

휴대용 XWF를 설치할 때는 ‘.’와 ‘..’ 옵션을 사용하여 XWF의 드라이브 이름이 어떤 것이 되든 상관없이 XWF를 사용할 수 있도록 할 수 있습니다.

즉, 절대 경로를 사용하게 될 경우 드라이브 이름이 바뀌게 되면 프로그램이 정상적으로 동작하지 않을 염려를 예방할 수 있는 장점이 있습니다.

 

 

 

 

 

감사합니다. 오늘도 즐거운 하루 되세요.

 

"좋아요"와 "구독하기"는 힘이 됩니다.

 

참고문서 : X-ways Forensics Practitioner's Guide