[XWF] X-ways에서의 환경 설정 파일

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 XWF에서의 환경설정에 관한 파일에 대해 알아 보겠습니다. 모두 화이팅 하세요!!!

 

XWF 환경설정 파일 설정하기

UltraEdit, Edit Pad Pro 와 같은 편집기로 XWF 환경설정 파일을 다루는 것이 좋습니다.

 

XWF 디렉터리 기반의 환경설정 파일

XWF는 현장에서 다루기 위해, 시스템에 설치 하지 않아도 사용할 수 있습니다.

 

‘디렉터리 기반’의 의미

XWF 실행파일과 환경설정 파일이 동일한 디렉터리에 존재함을 의미합니다.

 

사용자 프로파일 기반의 환경설정 파일

강제로 환경설정 파일을 사용자 프로파일에 있는 폴더에 저장하기 위해서는 XWF 디렉터리에 winhex.user 라는 파일을 만들어 주기만 하면 됩니다.(파일내용 없어도 됨)

 

사용자 프로파일 모드일 경우, XWF가 기본 설정으로 환경설정 파일을 저장하는 위치

%<UserProfile>%\AppData\Local\X-Ways\<XWF 실행된 폴더>

예) C:\xwf\xwforensics64.exe를 실행하였다면 경로는

%<UserProfile>%\AppData\Local\X-Ways\xwf

 

File Type Categories.txt (FTC)

파일 타입의 항목 생성, 등급 지정, 그룹 지정에 사용되는 환경설정 파일입니다.

 

등급 지정

0~9까지 등급 지정 가능합니다.

기본 등급은 0입니다.

등급이 높을수록 케이스와는 상관 없이 더 중요한 파일임을 의미합니다.

 

그룹 지정

여러 파일 타입을 하나의 그룹으로 묶을 수 있습니다.

FTC 하단에 다음과 같은 형식으로 그룹을 지정합니다.

=그룹 지정자=그룹명

그룹을 반드시 생성해야 하는 것은 아니지만, 그룹을 생성하였다면 반드시 FTC 하단에 추가해 주어야 합니다.

 

 

FTC 편집하기

Directory Browser의 Type 필터가 수정되고 XWF를 종료하면 FTC가 디스크에 업데이트되어 저장됩니다.

Type 필터 대화창에서 선택된 모든 항목은 그 앞에 ‘+’가 붙고, 선택되지 않은 것들은 그 앞에 ‘-’가 붙습니다.

FTC에 저장된 내용은 Directory Browser에 있는 Type, Type status, Type descry, Category 컬럼에 영향을 줍니다.

 

 

File Type Signatures Check Only.txt

RVS의 [Verify file types with signatures and algorithms] 옵션은 이 파일을 참조합니다.

시그너처 추가는 직접 해당 파일을 수정하거나, RVS의 [Signatures] 버튼을 클릭해도 됩니다.

 

 

File Type Signatures Search.txt

RVS의 [File header signature search] 옵션은 이 파일을 참조합니다.

이 파일의 형식은 File Type Signatures Check Only.txt와 동일하나, 그룹으로 분류를 해놓은 것이 유일한 차이점입니다.

파일 카빙(carving)을 할 때 참조합니다.

 

 

 

 

 

감사합니다. 오늘도 즐거운 하루 되세요.

 

"좋아요"와 "구독하기"는 힘이 됩니다.

 

참고문서 : X-ways Forensics Practitioner's Guide