[EnCase] EnCase 화면 구성을 알아보자

안녕하세요. 도깬리 입니다.

 

EnCase 화면을 구성하는 여러가지 항목들을 살펴 봅시다. 분석화면에 보이는 아이콘이나 기호들이 어떤 기능을 갖는지 알아야 원활하게 도구를 사용할 수 있겠죠. 오늘을 그 첫 시간입니다. 시작할까요?

 

로컬 드라이브 미리 보기 (Add Local Device)

[Detect Tableau Hardware]

체크하면, EnCase가 Tableau 장치를 인식하게 됩니다.

그리고 EnCase Report에 Tableau 라고 표시가 되죠.

 

[Only Show Write Blocked]

쓰기방지된 것만 보이게 합니다.

 

[Detect Legacy FastBloc]

오래된 FastBloc 시그너처도 인식가능하게 합니다.

 

[Enable DCO Removal]

DCO (Device Configuration Overlay) 영역까지 조사 가능하게 합니다.

 

[Enable Physical Memory]

물리메모리에 접근하여 이미징을 가능하게 합니다.

 

[Enable Process Memory]

현재 동작중인 프로세스까지 조사 가능하게 합니다.

별도 이미징도 가능합니다.

트리 창/증거(Evidence) 뷰

[Collapse All]

모든 폴더를 축소하여 보여 줍니다.

 

[Expand All]

모든 폴더를 확장하여 보여 줍니다.

 

Highlighting

클릭하면 그 폴더 안의 엔트리가 테이블 뷰에 나타나게 합니다.

 

Set Include Option (Home plate, Show all)

클릭하면 그 폴더 안의 모든 엔트리, 파일, 하위 폴더를 나타나게 합니다.

이때 Shift 키를 눌러 클릭하면 : 여러 개의 폴더를 동시에 볼 수 있습니다.

이때 Ctrl 키를 눌러 클릭하면 : 하위 폴더를 포함하여 여러 개의 폴더를 동시에 볼 수 있습니다.

Select for future action (Blue-check)

키워드 검색 등 분석작업을 수행 하기 위해 폴더 또는 파일을 지정하는 것을 말합니다.

 

Dixon Box

현재 분석 화면에서 몇 개의 엔트리가 선택되었는지 표시해 줍니다.

 

오늘은 여기까지 입니다. 즐거운 하루 되세요!!!

 

"좋아요"와 "구독하기"는 힘이 됩니다.

 

참고문서 : EnCase Computer Forensics (1)