도깬리포렌식스

[Forensic Cases] 불법 게임 영업 흔적을 찾아라!!!

도깬리 — Sat, 8 Aug 2026 15:06:45 +0900

1. 사건 개요

- 혐의자는 20X8. 12 ~ 20X9. 2.까지 충북 00시 소재 'T' 게임장에서, 등급분류를 받은 게임기인 'SSS' 게임기를 모사하여 제조한, 등급분류를 받지 않은 게임기 40대를 설치하여 놓고, 불특정 다수인을 대상으로 이용에 제공한 것임

2. 분석 요청사항

- 단속 직전, 불법 게임프로그램을 삭제한 것으로 추정되므로 삭제된 게임프로그램의 복구

- 불법 게임프로그램을 USB 메모리에 저장하여 사용한 것인지 여부 등

3. 분석 대상

- 하드디스크 6개

4. 분석 도구

- EnCase

5. 분석 결과

가. 분석물은 동일한 사양의 PC에 장착되었던 것으로, 모두 백업용 이미지로 부터 복원하는 방법으로 운영체제와 불법 게임프로그램이 설치된 것임

- 모든 PC의 운영체제 구성 환경(예: 계정명, 볼륨 시리얼 넘버)이 동일하며, 윈도우 최초 로그인 날짜도 같음

나. 이건 관련 불법 게임프로그램 SSS의 바로가기 파일과 관련 프로그램 파일의 삭제 흔적이 발견됨

- 모든 분석물에서 SSS.lnk 파일이 발견되었으며, 해당 프로그램의 실제 위치는 C:\Program Files\XXX

- 불법 게임프로그램의 최초 실행 일자는 20X8. 12. X7, 마지막 접근 일자는 20X9. 2. X1로 확인

다. 백업용 이미지에서 복원한 시기는 20X8. 12. 초순경이었으며, 그 이후 USB 메모리에 대한 연결 흔적이 발견됨

라. SSS 프로그램의 실행파일은 XXX.exe이며, 이 파일은 모든 분석물에서 정상적으로 존재하고 있는 바, 분석 결과 이것은 USB 메모리에 저장되어 있던 것을 분석물로 복사하여 설치한 것임을 확인

감사합니다.

[Forensic Cases] 전 여친 성관계 동영상, 나도 모르게 유출된 것이다?

도깬리 — Sat, 1 Aug 2026 15:07:07 +0900

1. 사건 개요

- 혐의자 K는 20XX. 2월경 피해자 L과의 성관계 동영상, 사진 파일을 자신의 노트북에 보관하던 중. 20XX. 8월경 자신의 주거지에서 G 파일공유 사이트에 접속하여 업로드한 것임

2. 분석 요청 사항

- 혐의자는 피해자와 합의하에 성관계 동영상을 촬영한 사실, 자신의 노트북에 보관한 사실, G 파일공유 사이트에 회원 가입한 사실은 인정함

- 다만 자신이 성관계 동영상을 고의로 게시한 사실은 없으며, 해당 동영상 파일은 자신도 모르게 유출된 것이라고 주장하므로

- 'SSSS'라는 제목의 사건 관련 동영상 또는 사진 파일을 존재 여부 확인(삭제되었을 경우 복구)

- G 파일공유 사이트에 접속 또는 사건 관련 동영상을 업로드한 이력 확인

3. 분석 대상

- FUJITSU MHV2080BH PL 80GB 하드디스크 1개

4. 분석 도구

- EnCase

5. 분석 방법

가. G 파일공유 사이트에서의 동영상 공유 방법 확인

- 웹하드 업로드 방식 : 웹 사이트의 자료실에 파일을 업로드하는 방법

- P2P 파일 공유 방식 : 파일공유 프로그램을 설치한 후 사용자 컴퓨터의 특정폴더를 '다운로드 폴더'와 '업로드 폴더'로 지정하고 그 폴더 안에 저장된 파일을 자동으로 다른 사람과 공유되도록 하는 방법 (단, 사용자의 컴퓨터에 설정된 IP가 가상 IP인 경우에는 공유 불가)

나. 혐의자의 진술 분석

- 혐의자 K의 진술 내용을 분석하여, 분석 시 참고

6. 분석 결과

가. 사용자 계정명, 운영체제 설치 일시 및 최종 사용 일시 확인

- 혐의자는 'DXXXX'라는 계정명 사용, 20XX. 8. XX경 운영체제 설치, 20XX. 9. XX경 노트북을 마지막으로 사용

나. 사건 관련 동영상 파일의 존재 여부

- 디스크 사용 공간에서는 사건 관련 동영상(파일 제목: PPPP)이나 사진 파일이 발견되지 않음. 다만 과거에 해당 데이터가 존재하였음을 의미하는 흔적이 비할당영역에서 발견됨

다. G 파일공유 사이트에 접속한 이력, 사건 관련 동영상 파일을 업로드한 흔적

(1) 비할당영역에서 G 사이트에 접속한 흔적 약 1만건 발견

(2) 가상메모리 pagefile.sys와 비할당영역에서 사건 관련 파일의 G 사이트의 자료실에 업로드한 흔적, P2P 프로그램 실행 흔적 발견

- 인터넷 히스토리 데이터에서 사건 관련 동영상 파일 제목( 'PPPP')으로 검색한 흔적 발견

- 인터넷 임시 파일(캐쉬 파일)에서 사건 관련 동영상이 게시된 웹페이지 조각을 발견하고 복구

감사합니다.

[Forensic Cases] 허위 의사록 작성 이력을 분석하라 !!!

도깬리 — Sat, 25 Jul 2026 14:26:38 +0900

1. 사건개요

- 혐의자 P는 K와 공모하여, L이 참석하지 않았음에도 L명의의 회의록을 작성하여 G에게 행사하였다.

2. 분석 요청사항

- 2XX7. 4. 15. 이사회 회의록 관련 자료 존재 여부

- 각 파일의 작성 일시 및 수정일시

3. 분석대상

- Western Digital WD800, 80GB

4. 분석 도구

- EnCase

5. 분석 결과

가. 운영체제 설치 정보 확인

- User 계정 사용자가 2XX7. 10. 29. Windows XP를 설치하였고, 2XX9. 6. 5. 마지막으로 정상 종료

- 본건 분석물은 혐의 시점으로 부터 6개월 뒤에 운영체제를 새로이 설치한 것임

나. 이사회회의록 관련 자료 발견

- 해시값 기준으로 6개 종류의 총 9개의 문서파일이 발견

- 그 중 5개의 파일은 삭제되었으나 디스크에서 복구된 것임

다. 발견된 각 파일에 대한 파일시스템 상의 시간정보, 한글 문서정보에 기록된 시간정보 분석

(1) 레지스트리 분석

- 2XX7년 4월경 이사회 회의를 개최하고, 그로부터 6개월 뒤 윈도우 운영체제를 새로 설치한 사실 확인

(2) NTFS 파일시스템 상의 시간정보 변화 패턴 분석

- 위 발견된 데이터는 외부 저장매체에 보관하였다가, 운영체제 설치 후 2XX9. 2. 24. 위 디스크에 다시 복사한 것으로 추정

(3) 한글 문서정보에 기록된 시간정보 변화 패턴 분석

- '작성한 날짜' : 한글 문서를 최초로 작성한 날짜이며, 한글 파일을 최초로 작성한 컴퓨터에서 외부 저장매체로 복사하더라도 갱신 안됨

- '마지막으로 수정한 날짜' : 한글 문서의 내용을 마지막으로 수정한 날짜이며, 한글 파일을 마지막으로 수정한 컴퓨터에서 외부 저장매체로 복사하더라도 갱신 안됨

- '마지막으로 저장한 사람' : 한글 문서의 내용을 마지막으로 저장한 사람의 윈도우 계정명임

따라서 위 디스크에서 발견된 L 명의의 회의록 파일의 최초 작성 날짜는 2XX7. 4. 5이며, 이 날짜에 초안이 작성된 후, 'KKK', 'SSS', 'AAA'에게 파일이 전달된 사실이 있고, 2XX9. 2. 24. 본건 디스크로 다시 복사된 것으로 추정

[언론 보도] (대학저널) 윈도우 포렌식 수사

도깬리 — Fri, 17 Jul 2026 16:49:50 +0900

http://dhnews.co.kr/news/view/1065574383545813

출처 : 대학저널(https://dhnews.co.kr)

[Forensic Cases] 그 날 저는 업무용 컴퓨터를 사용한 적 없어요!!!

도깬리 — Fri, 17 Jul 2026 16:41:42 +0900

1. 사건 개요

- 알선수재

2. 분석요청 사항

- XXX7. X. 21 혐의자 A가 자신의 업무용 컴퓨터를 사용한 사실이 있는지 여부

3. 분석 대상

- SeaGate HDD-ST3250820AS, 250GB

4. 분석 도구

- EnCase

5. 분석 방법

- 대상 하드디스크는 고스트 프로그램을 이용하여 이미 윈도우 운영체제를 새로이 설치하여 초기화한 것이므로, 비할당 영역의 잔존 데이터를 집중 분석

6. 분석 결과

가. 외형적으로 윈도우 설치일자가 XXX7.X.17경으로 보이나, 초기화된 컴퓨터의 실제 운영체제 설치일자는 그로부터 2년 뒤인 XXX9.X.30이었음

- 대상 하드디스크는 윈도우 시스템에 장착된 것으로, 이미 회사 전산 담당자가 '고스트' 프로그램을 이용하여 윈도우 운영체제를 새로이 설치하여 창고에 보관 중인 것임

- 윈도우 레지스트리에서 보여주는 윈도우 설치일자는 XXX7.X.17이나, 이 날짜는 '고스트' 프로그램을 이용하여 업무용 컴퓨터를 이미지 백업할 때 그 대상이 되었던 컴퓨터에 설치한 윈도우 운영체제의 설치일자임

- 따라서 '고스트' 이미지 백업본을 사용하여 대상 컴퓨터에 복원한 날짜인 XXX9.X.30이 현재 시스템의 실질적인 윈도우 운영체제 설치 날짜로 볼 수 있음

나. 비할당영역(Unallocated Cluster)에 대한 키워드 분석 결과, 과거의 사용자(혐의자)가 특정일시(XXX7. X. 21 14:41~17:27 사이)에 업무용 컴퓨터에서 전자결재를 진행한 흔적이 확인됨

- 어플리케이션 로그(FileUpDown-trace)에서 혐의자의 업무용 ID (QQQ-WWW)가 포함된 흔적 발견

- 비할당 영역에서 전자결재 진행 흔적, 첨부파일 전송 흔적 발견

[Forensic Cases] 도박사이트를 운영하였으나 환전은 한 적 없다?

도깬리 — Sat, 11 Jul 2026 15:34:17 +0900

1. 사건개요

노트북 사용자는 P 도박사이트를 운영한 사실이 있음

2. 분석요청 사항

- 노트북 사용자는 P게임 사이트를 운영한 것은 사실이나 환전업무에 공모 가담한 사실은 없다고 범행 부인

- 피의자 사용 노트북에 저장된 문서파일, 이메일, 메신저, 웹히스토리, 사진 및 동영상 등 관련자료 복구, 분석

3. 분석대상 기기 정보

노트북에 장착된 Hitachi HTS541612J9SA00 120 GB 하드디스크

4. 분석도구

EnCase

5. 분석방법

- EnCase를 이용하여 특정 디렉토리, 문서 파일, 이메일 파일, 메신저 파일, 웹히스토리 파일, 인터넷 임시파일, 그래픽 파일, 미할당영역 등을 조사

- Virtual Forensic Computing 도구를 이용하여 가상으로 위 노트북을 구동시킨 후 가상환경에서 노트북 조사 실시

6. 분석결과

- 위 노트북에서 P 도박사이트 관련 디렉토리, 그래픽 파일, 인터넷 임시파일 등이 발견되었으며, 특히 인터넷 임시파일에서 환전을 의심할 만한 파일이 발견됨

<임시 인터넷 파일 분석 결과>

감사합니다.

[언론 보도] (이코노미사이언스) 윈도우 포렌식 수사

도깬리 — Wed, 8 Jul 2026 13:43:01 +0900

https://www.e-science.co.kr/news/articleView.html?idxno=131535

박영사, 윈도우 11 기반 디지털 포렌식 분석서 '윈도우 포렌식 수사' 출간 - 이코노미사이언스

| 이코노미사이언스 김연옥 기자 | 디지털 환경이 수사와 보안의 핵심 인프라로 자리 잡으면서, 운영체제가 남기는 ‘보이지 않는 흔적’을 해석하는 윈도우 포렌식 기

www.e-science.co.kr

[Forensic Cases] 의뢰인 제출 자료가 포함된 이메일 찾기(해시 분석)

도깬리 — Sun, 5 Jul 2026 14:14:36 +0900

1. 요청 사항

- 의뢰인이 요청한 이메일 첨부파일에 대한 이메일 헤더(누가 언제 어떤 사람에게 보낸 메일인지 여부), 본문내용 등 분석

2. 사건 개요

- 불량레미콘 제조 관련 비리

3. 분석 대상

- S사의 그룹웨어 ERP에서 획득한 약 2 GB 용량의 이메일

출처 : https://library.gabia.com/contents/9225/

4. 분석에 사용한 프로그램

- EnCase

5. 분석 방법

- 의뢰인으로 부터 임의 제출 자료 14건을 받아 MD5 해시값 계산하여 해시 데이터셋 생성

- 분석 대상 이메일을 대상으로 해시 분석

- 해시 분석 결과물을 대상으로 이메일 헤더 분석

- 해시 분석 결과물은 MSG 파일 형태로 변환하여 의뢰인에게 제출

6. 분석 결과

- 대용량 이메일 데이터를 대상으로 신속하게 혐의 파일 확인

[홍보 자료] 윈도우 포렌식 수사

도깬리 — Wed, 1 Jul 2026 15:52:43 +0900

[언론 보도] (투데이 신문) 윈도우 포렌식 수사

도깬리 — Tue, 30 Jun 2026 07:52:30 +0900

https://www.ntoday.co.kr/news/articleView.html?idxno=127805

[신간] 윈도우 포렌식 수사 - 투데이신문

【투데이신문 박경찬 기자】디지털 기기에 남겨진 흔적을 통해 사건의 진실을 재구성하는 윈도우 포렌식 실무서 가 출간됐다.는 윈도우 11 환경에서 생성되는 다양한 디지털 흔적을 분석해 사

www.ntoday.co.kr

[Forensic Cases] 버스에서 녹화 촬영된 CCTV 자료의 조작 여부

도깬리 — Sat, 27 Jun 2026 15:52:00 +0900

1. 요청 사항

가. A가 20XX. 3. 1. 17:16경 버스에 승차할 당시 녹화 촬영된 원본하드디스크의 조작(삭제) 여부

나. 원본 디스크에서 사본한 CD와 위 원본의 동일성 여부

2. 분석대상 정보

가. HDD

- 제조사 : HITACHI

- 모델명 : HTS541612J9SAT00

- 용량 : 120 GB

<본 이미지는 사건과 관련 없음>

나. CD

- 제조사 : Digitalibe

- 모델명 : CD-R

- 용량 : 700MB

3. 분석 프로그램

- EnCase v6.13 , PC Client V2.2.3.B6, Adrenalin Player V2.2

4. 분석 절차

가. EnCase를 이용해 이미지 파일 내부에 저장된 사건 관련 파일에 대한 생성일자 등 관련정보를 분석한 후 윈도우 환경으로 위 파일을 복사.

나. CCTV 제조사 (D-TEG)로부터 사용자 프로그램을 송부받아 하드디스크에 저장된 파일과 CD에 저장된 파일을 열람하고 녹화내용이 일치하는지 확인

5. A의 주장

- A는 버스의 앞문에 피의자의 발이 끼여 다치는 장면을 버스회사측에서 고의로 삭제한 후 조작된 증거를 CD로 만들어 제출하였다는 주장임

6. 분석 내용

가. CCTV 제조사를 상대로 CCTV 녹화 및 데이터 저장에 관한 체계 확인

- 녹화된 자료는 Avfiles 파티션에 녹화시의 시간(년도월일시) 순서 대로 디렉토리가 생성되고, 각 디렉토리 아래 녹화된 파일이 저장되며, 파일명은 녹화된 시간(년도월일시분초)으로 표시됨

- 즉 디렉토리명이 ‘20XX030117’ 이라면 이는 20XX년 3월 1일 17시부터 녹화된 자료임을 의미하고, 파일명이 ‘20XX030117160’ 이라면 이는 20XX년 3월 1일 17시 16에 녹화된 자료임을 의미함

- 녹화된 자료가 저장된 하드디스크는 일반 컴퓨터에 연결하더라도 쓰기(삭제 포함)가 금지되어 있으므로 사용자가 임의로 위 파일명을 바꿀 수 없을 뿐만 아니라, 만약 편집을 하였을 경우 재생 Software에서 재생을 할 수 없음

- CCTV의 모든 채널(화면)은 움직임이 있을 때만 녹화가 되는 ‘모션녹화’방식을 취하고 있어, 승객들을 비추는 카메라와 차량외부를 비추는 전방카메라 및 외부카메라에 비해 버스 운전석을 보고 있는 카메라는 녹화가 되지 않는 경우(검은색 화면으로만 표시)도 있음

나. 윈도우 파일시스템 분석

- 윈도우 File Identifier (NTFS 파일시스템에서 각각의 파일이 기록된 순서를 기록한 정보)를 조사하여 순서대로 저장되어 있는 지 여부를 확인

7. 분석 결과

가. CD에 저장된 녹화자료는 버스회사측 CCTV 관리 담당자가 원본파일을 AVI 포맷으로 변환하여 CD로 제작한 것임

나. CD에 저장된 녹화자료와 원본 하드디스크의 해당 일시의 녹화자료를 직접 실행하여 비교한 바, 화면에 보여지는 영상이 일치하는 것으로 보임

다. CCTV에서 녹화된 자료의 저장 체계에 따르면 녹화된 자료는 매분마다 파일 형태로 하드디스크에 기록한다고 하므로, 이를 근거로 20XX년 3월 1일 17:00 ~ 18:00경 사이에 원본 하드디스크상에 매분마다 순차적으로 파일이 저장되어 있는 지 살펴본 바, 매분마다 순차적으로 파일이 생성되어 있으며, XX개의 파일이 모두 발견됨

라. 위 CCTV 제조사의 이메일 진술에 따르면, 녹화자료가 저장된 원본 하드디스크는 일반 PC에 연결 하더라도, 쓰기(삭제 포함)행위가 금지되어 있고, 또한 만약 편집을 하였다면 재생 Software에서 재생 자체가 불가능하다고 하는바, 이를 미루어 보아 원천적으로 원본 하드디스크에 저장된 녹화자료 중 일부를 편집하거나 삭제하는 행위 자체가 차단되어 있는 것으로 보임

마. 위 원본 하드디스크는 NTFS 파일시스템으로 포맷이 되어 있는 바,위 파일시스템의 경우 $MFT 테이블에 파일이 생성되는 순서에 따라 File Identifier(일종의 Index Number)를 순차적으로 기록하여 저장하므로, 이를 근거로 20XX년 3월 1일 17:00 ~ 18:00경 사이에 원본 하드디스크상에 매분마다 순차적으로 파일이 저장되어 있는 지 살펴본 바, 11403266 ~ 11403505까지 총 240개의 File Identifier(매 분당 녹화자료는 4개의 파일로 구성되어 있음)가 순차적으로 생성되어 있음을 확인

바. 위 내용을 종합하면, 20XX년 3월 1일 17:00 ~ 18:00경 사이에 원본 하드디스크에 녹화된 자료에 대하여 삭제를 의심할 만한 흔적이 없는 것으로 보이고, 아울러 CD에 저장된 녹화자료(20XX. 3. 1. 17:11경 ~ 17:12경 사이의 녹화자료)도 원본 하드디스크에 저장된 해당 일시의 녹화자료와 내용상 일치하는 것으로 보임

[신간 안내] 윈도우 포렌식 수사

도깬리 — Tue, 23 Jun 2026 10:08:45 +0900

안녕하세요 도깬리입니다.

이번에 그 동안 준비했던 신간을 내놓게 되었습니다.

작년 이맘 때 이미 탈고를 했음에도 실제 출간에 이르기까지 꼬박 1년이 걸렸습니다. AI의 충격은 출판시장도 예외가 아니라서 어렵게 겨우 출간하게 되었습니다.

2022년 10월 저의 첫 번째 저서인 '윈도우 디지털 포렌식 완벽 활용서'를 내놓고(감사하게도 완판되었습니다), 여러 가지 아쉬운 부분을 보완하여 두 번째 저서를 계획했었고, 마침 찾아온 잠깐의 공백기를 이용하여 집필한 것입니다.

이 책은 AI를 전혀 활용하지 않은 순수하게 제 손으로 직접 검증하면서 집필한 것입니다. ^^

여러분께 조금이라도 도움이 되었으면 합니다.

감사합니다.

https://www.pybook.co.kr/mall/book/new?goodsno=9779&ssort=&category=&ppt=&sword=&page=2

[Mobile Forensics] iPhone 식별

도깬리 — Mon, 17 Jun 2024 18:15:16 +0900

안녕하세요. 도깬리 입니다.

정말 오랜만에 찾아 뵙네요. 그간 개인적으로도 회사에서도 많은 일이 있었습니다. 누구에게나 재충전할 시간은 필요한 법 !!! 여러분도 힘내십시요, 화이팅~~~

https://en.wikipedia.org/wiki/IPhone

iOS는 스마트폰, 테블릿에 관한 선도적인 운영체제 입니다.

모바일 디바이스의 근본적인 구성요소를 이해해야 포렌식 과정에서 발생할 수 있는 잠재적 심각성을 인식할 수 있습니다.

디바이스에 대한 조사를 착수하기 전에 또 다른 기기가 존재하는지, 관련 구성품이 있는지 여부를 확인해야 합니다.

iPhone models

2007. 6. : 1세대 아이폰이 등장하였습니다.

iphone SE, 7, 7 Plus, 8, 8Plus, X 시절

물리적 획득 방법이 어려워 지기 시작하였습니다.

iPhone 5 부터

디바이스에서 데이터를 물리적으로 복원하는 데 이용할만한 방법이나 도구가 없거나 부족하였습니다.

다만, jailbroken 방법론은 예외로 봅니다.

iPhone이 잠겨져 있지 않았다면 파일시스템과 논리적 획득이 가능할 수 있습니다. 오늘날에도 통용되는 방법론입니다.

Identifying the correct hardware model

아이폰을 조사하기 전에 정확한 하드웨어 모델과 펌웨어 버전을 확인해두는 게 좋습니다.

비록 디바이스를 물리적으로 지원한다고 할지 라도 아티팩트(조사 대상 아이템)를 복호화하기 위해서는 패스코드(passcode)를 필요로 합니다.

무차별공격(brute-force attack)으로 디바이스의 패스코드를 확인할 수도 있습니다.

디바이스의 뒷면에 표시되는 모델 번호를 적어 두어야 합니다.

iPhone 의 펌웨어 버전 정보 확인 방법

Settings --> General --> About --> Version

Libimobiledevice 라이브러리의 ideviceinfo 명령어 기반 도구

Iphone의 모델명과 그것의 운영체제 버전정보를 보여 줍니다.

해당 라이브러리는 비록 그 디바이스가 패스코드로 잠겨져 있더라도 iphone과 통신 가능한 경우도 있었습니다.

실습 (ideviceinfo)

macOS 10.12.6 에서 아이폰 모델명과 iOS 버전 정보 확인하기

터미널 어플리케이션을 연다

다음 명령어를 실행하여 Homebrew를 다운로드하고 설치한다.

$ ruby –e “$ < /dev/null 2> /dev/null

설치하면, libimobiledevice 라이브러리를 설치할 준비가 된 것 입니다.

$ brew install libimobiledevice

USB 케이블을 이용하여 iPhone을 Mac 워크스테이션에 연결하고 ideviceinfo 명령어를 –s 옵션과 함께 실행합니다.

$ ideviceinfo –s

실습 (iExplorer)

무료 도구이고, Windows PC에서 iOS 디바이스 정보를 접근할 수 있게 해주었습니다.

조사자는 그들이 갖고 있는 도구와 방법론이 아이폰을 지원하는 것인지 확인하기 위하여 디바이스의 모델명을 확인해야 합니다.

분석용 외장하드가 전체 포렌식 이미지 보다 충분히 크다는 것을 확인하기 위하여 아이폰의 내부 저장영역의 크기를 체크해야 합니다.

디바이스를 적절히 격리시키기 위해, 디바이스의 네트워크 성능도 체크해야 합니다.

아이폰 모델별 상세 명세와 기능

iPhone 5, 5C, 5S의 주요 변화 중 하나는 Lightning connector 였습니다.

iPhone 5 이전의 디바이스는 30-pin USB dock connector를 사용하였습니다. (우리나라에서는 iPhone 4S까지 사용)

iPhone 5 이후 새로운 아이폰은 8-pin Lightning connector를 사용하였습니다.

Full Disk Encryption

암호화된 디바이스는 획득하는 동안 추가적인 조치(암호 해제 등)가 필요합니다.

조사자는 폰이 처음으로 사용되었을 때 설치하였던 초기 버전을 아는게 좋습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)

[Mobile Forensics] 포렌식 수행 수칙(Good forensic practices)

도깬리 — Tue, 12 Mar 2024 11:40:46 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 포렌식 수행에 있어 지켜야 할 수칙에 대하여 알아보겠습니다. 모두 화이팅 하세요!!!

Good forensic practices

https://www.packetlabs.net/posts/digital-forensics-best-practices/

Securing the evidence

‘스마트폰 찾기 기능’, ‘원격 삭제’ 등 최신 기술의 등장으로 인하여 분석대상 모바일 폰을 안전하게 격리하고 보호할 필요가 있습니다.

증거를 보호하기 위해서는 모든 네트워크로부터 폰을 격리 시켜야 합니다.

격리를 하게 되면 폰은 새로운 데이터를 네트워크를 통해 받지 못하게 됩니다.

모바일 디바이스와 그것의 사용자간의 연관성을 확인해야 할 필요가 있습니다.

모든 주변 장치(peripherals), 관련된 미디어(associated media), 케이블(Cables), 파워 어댑터(power adapters), 그리고 현장에 보이는 관련 소모품(accessories)을 확보하는게 좋습니다.

만약 디바이스가 개인용 컴퓨터에 연결 된 채 발견되었다면, 강제 분리는 직접적인 데이터 통신을 중단하게 하는 효과가 있습니다.

디바이스의 전원 플러그를 제거하기 전에 개인용 컴퓨터의 메모리를 확보하는 것이 좋습니다.

Preserving the evidence

증거를 수집하게 되면, 법정에서 받아들일 수 있는 상태로 보존되어야 합니다.

증거가 허용되기 위해서는 제시된 증거가 수집된 원본과 완전히 동일한 것임을 증명하여야 합니다.

동일성 증명은 이미지에 대한 포렌식 해시값을 생성함으로써 가능합니다.

포렌식 해시는 이미지 또는 데이터에 대한 암호학에 기반을 둔 강력하고 일방향성(non-reversible)의 값을 계산함으로써 획득에 대한 무결성(integrity of an acquisition)을 보장합니다.

원본 데이터에 대한 해시값과 사본에 대한 것을 비교하여 증거의 무결성이 유지되고 있음을 확인시켜야 합니다.

해시값이 변경되었다면, 그 이유와 상황을 문서화시켜야 하고 설명 가능하여야 합니다.

Documenting the evidence and changes

데이터를 열람한 것에 대한 기록을 만들어 두어야 합니다.

모바일 디바이스와 발견된 다른 미디어에 대한 채증을 해 두어야 합니다.

모바일 디바이스를 채증할 때에는 디바이스의 손잡이를 직접 붙잡거나 터치하지 않는 것이 좋습니다.

증거를 수집하고 추출하는데 이용한 모든 방법과 도구를 문서화하여야 합니다.

변경이 일어난 모든 상황을 비롯하여 전체 복원 과정을 문서화할 수 있어야 합니다.

Reporting

조사과정에서 수행한 모든 단계에 대한 상세한 요약과 도달된 결론을 준비하는 과정입니다.

조사자가 수행한 모든 중요한 조치에 대한 상세한 사항과 획득의 결과, 그 결과로부터 도출한 추론을 포함하여야 합니다.

대부분의 포렌식 도구는 자체적인 보고서 작성 기능(built-in reporting features)을 갖고 있으며, 보고서를 자동으로 생성할 수 있습니다.

일반적으로 보고서에는 다음의 사항을 포함하여야 합니다.

- 보고 기관에 관한 사항 (Details of the reporting agency)

- 사건 식별자 (Case identifier)

- 포렌식 조사자 (Forensic investigator)

- 제출인 식별 (Identity of the submitter)

- 증거 수령일 (Date of evidence receipt)

- 입수된 디바이스에 대한 상세한 사항 (Details of the device seized for examination including serial number, make, and model)

- 시리얼 넘버, 제조사, 모델명

- 조사에 사용된 장비와 도구에 대한 상세한 사항 (Details of the equipment and tools used in the examination)

- 조사과정에서 진행된 각 단계에 대한 설명 (Description of steps taken during examination)

- 연계 보관 서류 (Chain of custody documentation)

- 확인된 발견물 또는 쟁점에 대한 상세한 사항 (Details of findings or issues identified)

- 조사과정에서 복원된 증거 (Evidence recovered during the examination, ranging from chat messages, browser history, and call logs to deleted messages, and so on)

- 채팅 메시지, 브라우저 히스토리, 통화내역, 삭제된 메시지

- 조사과정에서 캡쳐된 모든 이미지 (Any images captured during the examination)

- 조사 및 분석 정보 (Examination and analysis information)

- 보고서의 결론 (Report conclusion)

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)

[Mobile Forensics] 조사와 분석, 증거의 원칙

도깬리 — Thu, 29 Feb 2024 14:48:14 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 모바일 포렌식 조사와 분석, 증거법에 대해 알아보겠습니다. 모두 화이팅 하세요!!!

Examination and analysis

조사단계

잘 시험되고 과학적인 방법론을 적용해야 합니다.

분석 단계

범죄와 관련된 데이터를 잔여 잉여 데이터와 구별하는 것이 중요합니다.

사건과 관련하여 가치가 있는 데이터를 탐색합니다.

사건에 대한 이해력이 데이터에 대한 표적 분석(a targeted analysis of the data)을 수행하는데 도움이 됩니다.

조사자가 포렌식 도구를 얼마나 적절하게 사용할 수 있느냐 하는 것도 매우 중요합니다.

도구의 기능이나 옵션을 능숙하게 사용할 줄 알면 조사의 속도를 빠르게 할 수 있습니다.

어떤 도구가 제대로 처리하지 못하는 경우 그런 상황을 빨리 파악해서 대체 도구를 활용할 수 있어야 합니다.

도구의 기능과 제약 사항, 장단점을 두루 파악하여 두어야 합니다.

https://www.g2.com/articles/digital-forensics

US Department of Justice 의 Forensic Examination of Digital Evidence – A Guide for Law Enforcement 에서 언급한 분석항목

사용자 및 소유자 확인 (Ownership and possession)

파일을 생성/수정/접근한 사람이 누구인지 확인합니다.

특정한 일시에 혐의 데이터의 소유하거나 점유한 사람이 누구인지 확인합니다.

비정상적인 위치에 존재하는 혐의 파일을 찾습니다.

점유한 것임을 방증하는 패스워드를 복원합니다.

사용자에게 귀속되는 파일의 내용을 확인합니다.

어플리케이션 및 파일 분석 (Application and file analysis)

파일의 내용을 조사하면서 조사와 관련된 정보를 확인합니다.

파일을 설치된 어플리케이션과 연관시켜 봅니다.

파일간의 관련성을 확인합니다. (예: 이메일과 이메일 첨부파일)

알려져지 않은 파일의 유형과 그 의미를 확인합니다.

시스템 환경설정 파일을 조사합니다.

파일의 메타데이터(예: 작성자 이름)를 분석합니다.

시간정보 분석 (Timeframe analysis)

해당 시스템에서 이벤트가 발생한 때가 언제인지 특정합니다.

메시지 및 이메일의 시간 정보를 확인합니다.

데이터 은닉 분석 (Data hiding analysis)

숨겨진 데이터를 탐지하고 복원합니다.

Rules of evidence

모바일 포렌식은 비교적 새로운 분야이며, 증거의 유효성과 관련된 법은 나라마다 다릅니다.

디지털 포렌식에 적용되는 증거에 대한 5개의 일반 원칙

허용성 (Admissible)

가장 기본적인 원칙이며 증거의 유효성과 중요성의 척도입니다.

증거는 법정 또는 다른 장소에서 사용가능한 방식으로 보존되고 수집되어야 합니다.

진정성 (Authentic)

증거는 적정한 방법으로 사건과 결부되어 있어야 한다.

포렌식 조사자는 증거의 출처(the origin of the evidence)에 대해 설명할 책임이 있습니다.

완전성 (Complete)

증거가 제시되면 그것은 명백하고 완전해야 하며, 전체의 스토리를 반영할 수 있어야 한다.

신뢰성 (Reliable)

디바이스에서 수집되는 증거는 신뢰할 수 있어야 합니다.

신뢰도는 사용하는 도구와 방법론에 의해 영향을 받는다.

개연성 (Believable)

포렌식 조사자는 명확하고 간결하게 설명할 수 있어야 합니다.

조사자에 의해 제시된 증거는 명확해야 하고, 이해하기 쉬워야 하며 믿을 만한 것이어야 합니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)

[Mobile Forensics] Data acquisition 방법과 잠재적 증거 유형

도깬리 — Mon, 12 Feb 2024 07:13:19 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Data Acquisition 방법과 모바일 폰에서의 잠재적 증거에 대해 알아 봅니다. 모두 화이팅 하세요!!!

Data acquisition methods

Data acquisition

디지털 디바이스와 그것의 주변장치와 미디어를 대상으로 이미징하거나 정보를 추출하는 과정을 말합니다.

(the process of imaging or otherwise extracting information from a digital device and its peripheral equipment and media.)

모바일 폰에 대한 포렌식 증거획득 3가지 유형

- Physical acquisition

- Logical acquisition

- Manual acquisition

https://www.envistaforensics.com/services/digital-forensics-services/mobile-phone-forensics/

Physical acquisition

물리적 저장장치에 대한 비트 단위 복사 (a bit-by-bit copy of the physical storage)를 말합니다.

플래시 메모리에 직접 접근하여 디바이스로부터 정보를 획득합니다.

전체 파일시스템을 비트 단위로 복사합니다. (a bit-for-bit copy of an entire filesystem)

컴퓨터 포렌식 조사에서 고려된 방법론과 유사합니다.

디바이스에 존재하는 모든 데이터를 획득할 수 있습니다.

Logical acquisition

파일시스템에 존재하는 파일이나 디렉토리와 같은 논리적인 저장 개체를 추출하는 것을 의미합니다.

(extracting the logical storage objects, such as files and directories, that reside on the filesystem)

모바일 포렌식에서는 디바이스 제조사에서 제공하는 어플리케이션 프로그래밍 인터페이스(application programing interface)를 이용하여 폰의 내용을 컴퓨터와 동기화 시키는 방법으로 데이터를 획득하기도 합니다.

비할당 영역에 존재하는 데이터를 복구하는 것은 아닙니다.

Manual acquisition

물리적 획득(최고의 선택), 논리적 획득(최선의 선택), 수동 획득(최후의 선택)

논리적 및 수동 획득은 물리적 획득으로 발견된 것을 검증하는 용도로 이용하기도 합니다.

키패드, 터치스크린, 메뉴 선택 등을 이용하여 각 화면의 내용을 사진 촬영해 둡니다.

다만 작업자의 실수에 의하여 더 많은 위험을 발생시킬 수도 있습니다.

증거를 지울 위험성도 배제할 수 없습니다.

Potential evidence stored on mobile phones

서비스 제공자는 모바일 디바이스에 통신 관련 정보를 저장해 둡니다.

모바일 디바이스 데이터 획득 도구는 폰의 메모리에서 데이터를 복구합니다.

증거로 유용하게 사용되는 artifacts

Address book

연락처 이름, 전화번호, 이메일 주소 등

Call history

송신 전화(dialed call)

수신 전화(received call)

부재중 전화(missed call)

통화 시간(call duration)

SMS

보낸 텍스트 메시지(sent text messages)

받은 텍스트 메시지(received text messages)

MMS

보낸 사진/비디오(sent photos/videos)

받은 사진/비디오(received photos/videos)

E-mail

보낸 편지(sent email messages)

임시 저장 편지(drafted email messages)

받은 편지(received email messages)

Web browser history

방문한 웹사이트에 대한 이력

Photos

캡쳐한 사진 (pictures were captured)

인터넷에서 다운로드한 사진 (pictures were downloaded from the internet)

다른 디바이스에서 이동시킨 사진 (pictures were transferred from other devices)

Videos

캡쳐한 동영상

인터넷에서 다운로드한 동영상

다른 디바이스에서 이동시킨 동영상

Music

인터넷에서 다운로드한 동영상

다른 디바이스에서 이동시킨 동영상

Documents

디바이스의 어플리케이션으로 직접 만든 문서

인터넷에서 다운로드 한 문서

다른 디바이스에서 이동시킨 문서

Calendar

캘린더의 항목과 약속 (calendar entries and appointments)

Network communication

GPS 정보

Maps

사용자가 방문한 곳 (places the user visited)

Look-up directions

검색하고 다운로드한 맵 (searched and downloaded maps)

Social networking data

Facebook 등 어플리케이션이 저장한 데이터

Deleted data

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)

[Mobile Forensics] Mobile Forensic Tool Leveling System

도깬리 — Sat, 3 Feb 2024 13:36:05 +0900

안녕하세요. 도깬리 포렌식스입니다.

오늘은 Mobile Forensics Tool Leveling System에 대해 알아보겠습니다. 모두 화이팅 하세요!!!

Mobile forensic tool leveling system

어떠한 하나의 도구만으로는 분석 목적을 충족시키는데 한계가 있습니다.

Sam Brothers는 다음과 같이 Cellular phone tool leveling pyramid (2009)로 정의를 내린 바가 있습니다.

모바일 디바이스 포렌식 도구 분류 시스템의 목적

도구의 조사 방법론을 기반으로 포렌식 도구를 분류합니다.

윗단계로 올라 갈수록 기술적 난이도, 복잡도, 포렌식의 강도, 분석 시간, 증거가 훼손될 위험성이 증가합니다.

Manual extraction

단순히 디바이스 상에서 데이터를 스크롤 하면서 직접보는 것을 의미합니다.

발견된 증거는 사진 촬영하여 문서화 해 둡니다.

Logical extraction

모바일 디바이스를 포렌식 하드웨어 또는 포렌식 워크스테이션에 연결하여 획득하는 것을 의미합니다.

현재 이용 가능한 대부분의 포렌식 도구는 Logical extraction 레벨에서 작동하는 것 입니다.

이러한 방법을 쓰게 되면 모바일 디바이스에 데이터를 쓰게 되어 증거의 무결성이 훼손될 수 밖에 없습니다.

삭제된 데이터는 일반적으로 이러한 방식으로는 접근하거나 복원하는 것이 불가능합니다.

Hex dump

Physical extraction으로 불리워집니다.

디바이스를 포렌식 워크스테이션에 연결 --> 해당 폰에 서명되지 않은 코드나 부트로더를 설치 --> 폰에서 컴퓨터로 메모리 덤프 명령을 실행하는 방식입니다.

비할당 영역에서 삭제된 파일에 대한 복원 작업이 가능합니다.

Chip-off

디바이스의 메모리 칩에서 직접 데이터를 획득하는 것 입니다.

칩이 디바이스에서 물리적으로 제거, 저장된 데이터를 추출하기 위해서는 ‘칩 리더기(chip reader)’ 또는 ‘보조 폰(second phone)’이 필요합니다.

칩의 형태가 매우 다양하기 때문에 기술적으로 매우 어렵습니다.

메모리 칩을 떼어 내고(desoldering) 열을 가해야(heating) 하기 때문에 하드웨어 수준의 배경지식이 필요하고, 비용도 비싼 편입니다.

가능한 한, Chip-off 하기 전에 다른 수준의 추출 방법론을 시도하는 것이 좋습니다.

Chip-off 방식은 주로 메모리의 상태를 정확하게 보존하는 것이 반드시 필요한 상황에서 선택가능한 방식입니다.

디바이스가 훼손되었으나 메모리칩이 온전할 때 유일한 방법론이기도 합니다.

Chip은 다음과 같은 기술을 사용하여 데이터를 열람하게 합니다.

- Joint Test Action Group (JTAG)

- 디바이스의 Test Access Ports (TAPs)에 연결하여 분석

- 메모리 칩에 저장된 raw data 를 전송함

디바이스가 화면-잠김 되어 있을 때 조차도 이 방법론은 효과가 있습니다.

Micro read

메모리 칩에서 보이는 데이터를 수작업으로 열람하고 해석하는 것 입니다.

전자현미경을 사용하여 칩에 있는 물리적인 게이트를 분석하고 게이트 상태를 0인지 1인지 해석합니다.

전체 과정은 매우 시간이 많이 소요되고 비용 또한 매우 고가입니다.

메모리와 파일시스템에 관한 상당한 배경지식과 훈련을 필요로 합니다.

국가적인 보안 위기와 맞먹는 고난도 사건에만 적용할 만한 방법론 입니다.

이러한 방법론을 수행할 만한 상업용 도구가 매우 부족한 편입니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)

[Mobile Forensics] 모바일 포렌식 수행 과정 (2)

도깬리 — Mon, 29 Jan 2024 06:16:07 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 모바일 포렌식 수행과정 2회차 입니다. 모두 화이팅 하세요!!!

https://www.salvationdata.com/knowledge/what-is-mobile-forensics/

The processing phase

가능하면 포렌식적으로 안전하고 반복 가능한 시험을 거친 방법론을 적용하여야 합니다.

물리적 획득 (Physical acquisition)

가장 선호하는 방법론 입니다.

물리적 획득 과정에서는 그나마 가장 최소화된 변경이 디바이스에 일어나게 됩니다.

논리적 획득 (Logical acquisition)

모바일 디바이스의 파일시스템을 획득하는 것은 논리적 획득 과정입니다.

목표 데이터만을 포함하여 획득되어야 합니다.

The verification phase

폰에서 추출된 데이터의 정확성을 검증하여 데이터가 변경되지 않았음을 보증하여야 합니다.

추출된 데이터를 기기와 비교(Comparing extracted data to the handset data)

추출된 데이터는 디바이스 그 자체 또는 논리적인 보고서와 비교될 수 있어야 합니다.

다양한 도구를 사용, 결과와 비교(Using multiple tools and comparing the results)

정확성을 보증하기 위함입니다.

해시값 사용(Using hash values)

모든 이미지 파일은 해시값이 계산되어야 합니다.

데이터가 변경되지 않았음을 보증합니다.

파일을 추출할 경우에는 추출된 파일에 대한 해시값이 계산되어야 합니다.

이것은 무결성을 검증하기 위함입니다.

해시값이 불일치 할 경우에는 그 상황에 대한 설명이 가능해야 합니다.

The documenting and reporting phase

포렌식 조사자는 조사과정 전체를 녹취서(contemporaneous notes)의 형식으로 문서화 하여야 합니다.

분석결과는 일정한 형식의 동료 검토(peer review)를 거쳐야 합니다.

포렌식 업무 일지와 관련 문서에 기록할 사항은 다음과 같습니다.

- 조사 시작 일시 (The examination start date and time)

- 폰의 물리적 상태 (The physical condition of the phone)

- 폰과 각각의 구성품의 사진 (Photos of the phone and individual components)

- 인수 시점의 폰의 상태 (전원 On/Off 여부) (Phone status when received)

- 폰의 제조사와 모델명 (Phone make and model)

- 이미징에 사용된 도구 (Tools used for the acquisition)

- 조사에 사용된 도구 (Tools used for the examination)

- 조사 중에 발견된 데이터 (Data found during the examination)

- 동료 검토 에게 받은 메모 (Notes from peer review)

The presentation phase

모바일 디바이스에서 추출되고 문서화된 정보는 법정에 명확하게 제출될 수 있어야 합니다.

모바일 디바이스로부터 추출된 데이터에 대한 보고서는 종이와 전자 포맷이 있습니다.

발견된 증거물은 문서화 되어야 하고, 증거 그 자체가 설명이 가능한 방식으로 제시되어야 합니다.

발견된 증거물은 명백해야(clear) 하고, 간결해야(concise) 하고, 재현 가능(repeatable)해야 합니다.

대부분의 상용 모바일 포렌식 도구는 시간별 행위 분석(Timeline analysis), 연관 관계 분석(Link analysis)을 제공합니다.

The archiving phase

모바일 폰에서 추출된 데이터를 보존하는 것은 매우 중요한 과정입니다.

데이터는 미래에 참고할 것을 염두에 두고, 현재 진행중인 법정에서 이용 가능한 포맷으로 보존되어야 합니다.

데이터는 보존 연한에 맞게 보존되어야 합니다. (Most jurisdictions require that data be retained for long periods of time for the purposes of appeals.)

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)

[Mobile Forensics] 모바일 포렌식 수행 과정 (1)

도깬리 — Sat, 20 Jan 2024 07:11:01 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 모바일 포렌식 수행 과정에 대해 알아 봅니다. 모두 화이팅 하세요!!!

The mobile phone evidence extraction process

모바일 포렌식 분야에 잘 정립된 표준 프로세스가 별로 없습니다.

입수(Intake) --> 식별(Identification) --> 준비(Preparation) --> 격리(Isolation) --> 처리(Processing) --> 검증(Verification) --> 문서화(Documentation) --> 보고(Reporting) --> 보존(Archiving)

https://subscription.packtpub.com/book/security/9781788839198/1/ch01lvl1sec12/the-mobile-phone-evidence-extraction-process

The evidence intake phase

요청서(request form)와 서류 작업을 통해서 디바이스의 소유자에 관한 정보와 사건의 유형을 문서화 합니다.

의뢰인의 요구사항에 관한 정보와 분석대상 데이터의 유형을 파악합니다.

조사의 목적을 명확히 설정합니다.

압수할 때 디바이스의 모든 데이터가 수정되지 않도록 주의해야 합니다.

압수할 때 디바이스가 잠겨져 있지 않은 상태라면 바로 볼 수 있는 그 기회를 놓치지 않도록 하고, 패스코드를 비활성화하도록 조치하는 것이 좋습니다.

The identification Phase

다음의 세부사항을 확인하여야 합니다.

- 법적인 권한 (The legal authority)

디바이스의 획득과 조사에 관한 법적 권한이 존재하는지, 디바이스에 대한 조사 이전에 해당 미디어에 존재하는 어떤 기술적 이슈가 존재하는지 여부를 확인하고 이를 문서화 해야 합니다.

- 조사의 목적 (The goals of the examination)

조사자는 심층 조사(in-depth examination)가 필요한 상황인지 여부를 확인해야 합니다.

조사의 목적에 따라 도구와 기술의 선택이 달라질 수 있습니다.

조사과정의 효율성(the efficiency of the examination process)을 높일 수 있습니다.

- 디바이스의 제조사, 모델명, 기타 정보 (The make, model, and identifying information for the device)

해당 폰에 어떤 도구를 쓸 것인지 결정하는데 참고 됩니다.

- 이동식 외부 데이터 저장매체 (Removable and external data storage)

전통적인 디지털 포렌식 기술을 이용하여 처리합니다.

- 잠재적 증거의 기타 원천 (Other sources of potential evidence)

모바일 폰은 지문 또는 다른 생물학적 증거의 좋은 소스가 되기도 합니다.

모바일 폰에 대한 조사를 시작하기 이전에 수집하는 것이 좋습니다.

The preparation phase

조사 대상 특정 모바일 폰에 관하여 연구를 미리 하고 적절한 방법론을 알아보며 이미징과 조사에 사용될 도구를 찾는 단계입니다.

모바일 분석용 도구 결정을 위한 4요소

- 조사의 목적 (the goal of the examination)

- 가용 가능 자원 (resources available)

- 조사대상 셀룰러폰의 유형 (the type of cellular phone to be examined)

- 외부 저장 장치의 존재 (the presence of any external storage capabilities.)

The isolation phase

휴대폰을 네트워크에 연결하면, 새로운 데이터가 폰에 추가되고, 이때 폰 안의 증거에 대한 변경이 일어날 수 있습니다.

디바이스에 대한 이미징과 분석 전에 네트워크 등 통신장비와 디바이스 간의 격리가 매우 중요합니다.

격리 방법의 예

- Radio frequency shielding cloth

- Airplane mode

디바이스의 통신 채널을 비활성화시킵니다.

다만, 디바이스의 화면이 잠김 상태이면 활용할 수 없습니다.

- Faraday bags/tens/rooms

외부의 정전기(external static electrical fields, including radio waves)를 막는 재료를 포함하고 있습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)

[Mobile Forensics] 모바일 포렌식의 어려움에 대하여

도깬리 — Tue, 16 Jan 2024 06:18:51 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 모바일 포렌식의 어려움에 대해 알아 봅니다. 모두 화이팅 하세요!!!

Challenges in mobile forensics

모바일 플랫폼이 세상에 나왔을 때 가장 큰 어려움 중 하나는 너무나 다양한 디바이스에 어떻게 데이터에 접근하고, 저장하고, 동기화할 것인가 였습니다.

데이터가 휘발성이고 쉽게 변환되고 원격으로 삭제할 수 있기 때문에, 이러한 데이터를 보존하기 위해 더 많은 노력이 필요하였습니다.

https://hackersonlineclub.com/advanced-mobile-forensics-investigation-software/

법집행기관과 포렌식 전문가는 모바일 디바이스로부터 디지털 증거를 획득할 때 겪는 어려움은 다음과 같습니다.

- 하드웨어의 상이함 (Hardware differences)

다양한 제조사에서 다양한 모바일 폰 모델이 넘쳐 납니다.

- 짧은 제품 개발 주기

- 모바일 운영체제 (Mobile operating system)

모바일 디바이스는 컴퓨터보다 더 다양한 운영체제를 이용합니다.

다양한 버전은 포렌식 분석관의 일을 더욱 어렵게 만들 기도 합니다.

- 모바일 플랫폼 보안 기능 (Mobile platform security features)

현대의 모바일 플랫폼은 사용자 데이터와 프라이버시를 보호하기 위하여 내장형 보안 기능(built-in security feature)을 포함합니다.

오늘날 모바일 디바이스는 하드웨어 계층에서 소프트웨어 계층으로 기본적인 암호화 메커니즘이 적용되는데, 조사자들은 그 디바이스에서 데이터를 추출하기 위해서는 우선 암호화 메커니즘을 깨야 합니다.

- 데이터 수정 방지 (Preventing data modification)

포렌식에서 근본적인 규칙 중에 하나는 디바이스의 데이터가 변경되어서는 안된다는 겁니다.

디바이스로부터 데이터를 추출하려는 어떠한 시도라도 그 디바이스 안에 존재하는 데이터를 변경시키지 않아야 합니다.

그러나 이것은 특히 모바일 디바이스인 경우에는 사실상 불가능한 얘기가 됩니다.

왜냐하면 디바이스의 전원을 On하는 것 부터 그 디바이스의 데이터를 바꿀 수 있기 때문이다.

설령 어떤 디바이스가 Off 상태로 되어 있을 지라도, 백그라운드 프로세스는 여전히 동작할 겁니다. (예: 대부분의 모바일에서 Alarm Clock은 폰의 전원이 Off 일 때에도 동작)

- 안티 포렌식 기술 (Anti-forensic techniques)

데이터 숨기기(data hiding), 데이터 난독화(data obfuscation), 데이터 위조(data forgery), 안전 삭제(secure wiping) 등

- 패스코드 복원 (Passcode recovery)

디바이스가 패스코드로 보호되고 있다면, 포렌식 조사자는 그 디바이스의 데이터를 손상시키지 않고 디바이스에 대한 접근 권한을 얻어내야 합니다.

- 스크린 락을 우회하는 기술 (bypass the screen lock)

- 자원 부족 (Lack of resources)

포렌식 획득 소품들(USB cables, Batteries, Chargers 등등)은 이러한 디바이스를 획득하기 위해 필요한 장비이나 유지하기가 어렵습니다.

- 증거의 동적 성질 (Dynamic nature of evidence)

디지털 증거는 의도적이든 비의도적이든 쉽게 변경될 수 있습니다.

- 우연한 리셋 (Accidental reset)

조사 도중에 우연히 발생할 수 있는 디바이스 리셋은 데이터 손실을 초래할 수 밖에 없습니다.

- 디바이스 변경 (Device alteration)

디바이스를 변경하는 방법은 어플리케이션 데이터를 옮기는 것 또는 파일 이름을 바꾸는 것에서 제조사의 운영시스템을 수정한 것에 이르기 까지 다양합니다. 이러한 경우 혐의자의 전문성이 있는지 여부를 고려하여야 합니다.

- 통화 보호 (Communication shielding)

모바일 디바이스는 셀룰러 네트워크, Wi-Fi 네트워크, 블루투스, 적외선 통신 상에서 통신이 가능합니다.

디바이스 통신 자체가 디바이스의 데이터를 변경시킬 수 있기 때문에, 압수한 이후에는 추가적인 통신 가능성을 제거하여야 합니다.

- 도구의 활용 가능성 부족 (Lack of availability of tools)

도구 하나로 모든 디바이스를 지원하거나 모든 필요한 기능을 수행하는 것은 모바일 포렌식에서는 불가능한 일 입니다.

따라서 도구를 조합하여 사용하여야 할 필요가 있습니다.

- 악성 프로그램 (Malicious programs)

디바이스가 악성 프로그램을 포함할 수도 있습니다.

- 법적 이슈 (Legal issues)

범죄는 지리학적 경계를 넘나 들 수 있고, 포렌식 분석관은 범죄의 특성과 지역 법규를 잘 알아야 합니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)

[Mobile Forensics] 모바일 압수수색의 어려움에 대해

도깬리 — Sun, 14 Jan 2024 07:50:34 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 모바일 기기 압수수색시 직면하는 어려움에 대해 알아 봅시다. 모두 화이팅 하세요!!!

모바일 포렌식 절차는 3단계로 나뉘어 집니다.

- 압수 (seizure)

- 획득 (acquisition)

- 조사/분석 (examination/analysis)

https://www.datasolutions.rs/eng/mobile-forensics.html

모바일 압수수색시 직면하는 어려움

모바일 폰은 동적 시스템(dynamic system)으로 조사자에게 디지털 증거를 추출하고 분석하는데 수많은 어려움을 주고 있습니다.

만약에 모바일 디바이스의 전원이 Off 되어 있다면, 디바이스가 자동으로 전원 On으로 변경되는 것을 막기 위하여 디바이스를 Faraday bag에 넣어 두는 것이 좋습니다.

Faraday bag 는 네트워크로부터 디바이스를 격리하도록 설계되어 있습니다.

만약 폰이 전원 On상태에서 발견된다면, 전원을 Off 할 것인지 여부를 판단하여야 합니다.

폰이 PIN 또는 패스워드에 의해 잠겨져 있다면, 조사자는 잠금을 우회하려 하거나 디바이스에 접근하기 위한 PIN을 확인하여야 합니다.

모바일 디바이스는 네트워크 디바이스이기에 네트워크를 이용하여 데이터를 보내고 받을 수 있습니다.

폰이 동작중인 상태라면 범죄자는 원격삭제 명령을 내려서 폰에 저장된 데이터를 인멸할 위험도 있습니다.

폰의 전원이 On 상태일 때, Faraday bag 안에 넣어 두길 권장합니다.

Faraday bag 안에 모바일 디바이스를 넣기 전에 ‘비행기 모드’를 설정하고 모든 네트워크를 비활성화시키는 방법 처럼 증거를 보호하기 위해 네트워크로부터 디바이스를 단절시켜야 합니다.

모바일 디바이스 포렌식 획득은 다양한 방법으로 수행될 수 있습니다.

모바일 디바이스에서 최대한 많은 데이터를 획득하기 위해서는 다양한 시도와 도구가 필요하다.

다양한 제조사에서 만든 서로 다른 종류의 모바일 폰의 급속한 증가로 말미암아 모든 유형의 디바이스를 조사하기 위한 단일 프로세스나 도구를 개발하기가 매우 어려운 것이 모바일 포렌식의 특징입니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)

[Mobile Forensics] 모바일 포렌식의 특수성

도깬리 — Wed, 10 Jan 2024 06:16:55 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mobile Forensics 가 무엇이고, 어떤 특수성이 있는지 알아 봅시다. 모두 화이팅 하세요!!!

Why do we need mobile forensics?

단순히 모바일 폰으로부터 증거를 복원하는 것만을 의미하는 것은 아닙니다.

https://www.salvationdata.com/knowledge/why-are-mobile-forensic-tools-so-important/

디지털 증거

조사에서 이용된 전자기기에 의해 저장되거나, 수신받거나 전송된 정보로 어떤 사건에서 증거로 사용될 수 있는 모든 디지털 데이터 (information and data that is stored on, received, or transmitted by and electronic device that is used for investigations.)를 의미합니다.

디지털 포렌식

디지털 포렌식은 전자기기 또는 디지털기기에 존재하는 로우 데이터에 대한 복원과 조사에 집중된 포렌식 과학의 한 분야를 말합니다. (A branch of forensic science focusing on the recovery and investigation of raw data residing in electronic or digital devices.)

디지털 포렌식의 목표는 디바이스에 존재하는 데이터를 변경하지 않고 디지털 디바이스로부터 어떤 정보를 추출하고 복원하는 것 입니다. (to extract and recover any information from a digital device without altering the data present on the device.)

모바일 포렌식

모바일 디바이스에서 디지털 데이터의 복원과 관련 있는 디지털 포렌식의 한 분야 입니다.

포렌식적으로 안전하다.(Forensically sound)

구체적인 포렌식 기술이나 방법론의 사용을 정당화하기 위한 디지털 포렌식 분야에서 널리 사용되고 있는 용어입니다.

모바일 포렌식에서는 전통적 포렌식의 제1원칙인 원본에 대한 쓰기방지가 적용되기 어렵습니다. (The main principle for a sound forensic examination of digital evidence is that the original evidence must not be modified.)

일부 모바일 도구는 모바일 디바이스에 대하여 communication vector를 필요로 합니다. 따라서 일반적인 쓰기 방지는 포렌식 이미징을 하는 동안 적용되지 않습니다. (Some forensic tools require a communication vector with the mobile device, and thus a standard write protection will not work during forensic acquisition.)

포렌식 조사를 위해 데이터를 추출하기 전에 모바일 디바이스의 칩을 제거하거나 bootloader를 설치하는 방법도 있습니다. (Other forensic acquisition methods may involve removing a chip or installing a bootloader on the mobile device prior to extracting data for forensic examinations.)

디바이스의 설정을 바꾸지 않고서는 조사나 데이터 획득이 불가능한 경우에, 그러한 절차와 그러한 변경은 시험되고, 유효하여야 하고, 문서화되어야 합니다. (In cases where the examination or data acquisition is not possible without changing the configuration of the device, the procedure and the changes must be tested, validated, and documented.)

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Practical Mobile Forensics (Rohit Tamma)

[Mobile Forensics] iPhone 백업 데이터 분석

도깬리 — Sun, 7 Jan 2024 08:19:20 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 iPhone 백업 데이터 분석에 대하여 알아 보겠습니다. 모두 화이팅 하세요!!!

iTunes vs. iCloud ?

iTunes가 백업하는 것은 아래와 같습니다.

- Camera Roll

- Photos

- Screenshots

- Images saved

- Videos taken

- Contacts and Contact Favorites

- Calendar accounts and subscribed calendars

- Calendar events

- Safari bookmarks, cookies, history, offline date, and currently open pages

- Autofill for webpages

- Offline web application cache/database

- Notes

- Mail accounts

- 메일 메시지는 백업되지 않습니다.

- Microsoft Exchange account configurations

- Call history

- Messages

- iMessage

- carrier SMS

- carrier MMS pictures

- videos

- SIM카드에 동일한 전화번호를 갖는 폰에만 재저장됩니다.

- Voicemail token

- Voice memos

- Network settings

- Saved Wi-Fi hotspots

- VPN settings

- Network preferences

- Keychain

- Email account passwords

- Wi-Fi passwords

- 웹사이트와 일부 어플리케이션에 입력하였던 패스워드

백업을 암호화 하였다면, Keychain 정보를 새로운 디바이스에 전송할 수 있습니다. 암호화되지 않은 백업인 경우, 그 키체인이 같은 iOS 디바이스에만 키체인을 재저장할 수 있다. 새로운 디바이스를 암호화 되지 않은 백업으로 저장할 경우 패스워드를 다시 입력하여야 합니다.

- App Store Application data

애플리케이션 그 자체, tmp, 캐시 폴더는 제외합니다.

- Application settings, preferences, and data (문서 포함)

- In-app purchases

- Game Center account

- Wallpapers

- Location Service Preferences

현재 위치를 허용하기로 한 앱과 웹사이트에 대한 위치 서비스 설정입니다.

- Home screen arrangement

- Installed profiles

다른 디바이스에 백업을 재저장할 때, 설치된 설정 프로파일은 재저장 되지 않습니다.

- Map bookmarks, recent searches, current location displayed in Maps

- Nike + iPod saved workouts and settings

- Paired Bluetooth devices

- Saved suggestion corrections

- Trusted hosts that have certificates that can’t be verified

- Web clips

iCloud가 백업하는 것

- 음악, 영화, TV쇼, 앱, 책에 대한 구매 이력(Purchased history)

컨텐츠 그 자체는 포함하지 않습니다.

iCloud 백업에서 복원을 수행하면, 구매 내용dl 자동으로 iTunes Store, App Store, iBooks Store에서 복원됩니다.

- Photo and videos in your Camera Roll

- Device settings

- App data

- Home screen and app organization

- iMessage, text (SMS), and MMS messages

- Ringtons

- Visual Voicemail

Where are the backups located?

Mac

\Users\<username>\Library\Application\Support\Mobilesync\Backup

Windows XP

\Documents and Settings\<username>\Application Data\Apple computer\MobileSync\Backup

Windows Vista, 7/8 이후

\Users\<username>\AppData\Roaming\Apple Computer\MobileSync\Backup

https://www.wideanglesoftware.com/support/ibackupextractor/where-are-iphone-backups-stored-on-windows-and-mac-computers.php

확장자를 기반으로 검색하여 찾는 방법

.mddata, .mdbackup 등 관련 파일을 검색합니다.

Understanding the content of the backup

iOS 백업 파일에 대한 조사가 가능한 도구는 다음과 같습니다. (2016년 기준)

- CelleBrite’s Physical Analyzer

- EnCase 7

- MPE +

- XRY

- Lantern

- Oxygen

일반적으로 조사에 흔히 이용되는 파일과 관련된 GUID 입니다.

Library/AddressBook/AddressBook.sqliteedb

(SHA-1) 31bb7ba8914766d4ba40d6dfb6113c8b614be442

Library/CallHistory/Call history.db

(SHA-1) 2b2b0084a1bc3a5ac8cd7afdf14afb42c61a19ca

Library/SMS/sms.db

(SHA-1) 3d0d7e5fb2ce288813306e4d4636395e047a3d28

Library/Notes/notes.sqlite

(SHA-1) ca3bc056d4da0bbf88b5fb3be254f3b7147e639c

UDID 폴더에서 발견되는 파일 타입

.plist 파일

정보 파일입니다.

XML을 이용하여 내용이 기록되어 있습니다.

텍스트 편집기나 Internet Explorer 를 이용하여 열람 가능합니다.

3개의 주요 plist 파일

Info.plist : 디바이스의 정보를 저장하고 있습니다.

- 할당된 사용자의 이름

- 디바이스의 전화 번호

- 디바이스의 시리얼넘버

- 다바이스가 백업된 마지막 날짜/시각

Status.plist

과거의 동기화 프로세스 또는 백업의 상태를 기록합니다.

Manifest.plist

백업파일의 실제 바이너리 plist 파일입니다.

디지털 시그너처

.mdbackup 파일

이것은 .mddata 와 .mdinfo로 바뀌었습니다.

대부분의 사용자 데이터를 포함합니다.

파일 이름은 알파벳-숫자 GUID입니다.

.mddata

실제 컨텐츠를 포함합니다.

.mdinfo 파일

메타데이터 정보를 포함합니다.

How to manually view the content of these common files

SQLite viewer

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] iOS 백업 파일에 대하여

도깬리 — Wed, 3 Jan 2024 06:15:29 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 iOS 백업 파일에 대해 알아보겠습니다. 모두 화이팅 하세요!!!

iOS Backup Files

가장 인기 있는 모바일 포렌식 방법론 --> 사용자의 백업 파일을 조사하는 것 입니다.

https://mobiletrans.wondershare.com/iphone-backup/how-to-backup-iphone.html

Brief Understanding of an Apple iOS Backup

Apple iOS 백업은 iCloud 또는 iTunes가 만들어 내는 백업을 말합니다.

Wi-Fi 또는 3/4G 데이터 연결을 통해 만들어 냅니다. (iCloud 이용법)

컴퓨터에 모바일 디바이스를 동기화하여 만들어 냅니다. (iTunes 이용법)

백업은 등록된 애플 계정에 저장될 것 입니다.

애플은 사용자에게 ‘내 디바이스 찾기(Track or find my iDevice)’ 또는 ‘원격으로 잠그거나 지우기(Remotely lock or wipe)’ 서비스를 제공합니다.

각각의 사용자에게는 iCloud 이용하여 무료 백업 스토리지(5GB)를 제공합니다.

스토리지 용량 제한으로 인하여, 사용자들은 iCloud에는 연락처나 텍스트 메시지와 같은 일정한 기능을 백업해두고, DropBox 또는 Google+와 같은 보조적 백업 서비스를 이용하여 사진이나 동영상 등을 백업해 두는 것이 일반적 입니다.

iDevice를 처음으로 iTunes에 연결하면 40개의 알파벳-숫자로 된 식별자(UDID, Unique Device Identifier)가 생성됩니다.

UDID는 시리얼넘버 등을 포함하는 다양한 디바이스 정보에 대한 SHA1 해시를 이용하여 계산된 값 입니다.

UDID 폴더 안에는 알파벳-숫자로 된 GUID(Globally Unique Identifier)를 이름으로 하는 파일이 존재할 것 입니다.

사용자의 디바이스가 iTunes에 연결될 때 마다 동기화 또는 백업이 이 폴더에 일어나고 그것의 수정된 시각이 갱신됩니다.

만약 사용자가 펌웨어를 업그레이드 하였다면, 그 다음에는 풀백업(Full backup)이 업그레이드 과정의 일부로써 진행될 것입니다.

iCloud는 인증을 위해 안전한 토큰을 사용하고, 인터넷으로 넘어 가는 데이터를 암호화함으로써 데이터의 내용을 보호합니다.

모든 iCloud 데이터는 128비트 암호화 알고리즘을 이용하여 디스크에 암호화된 채로 저장됩니다.

사용자는 백업을 암호화할 수 있습니다.

조사자는 암호화 키를 필요로 하거나, manifest.plist 파일을 대상으로 패스워드 크래킹 툴을 이용할 것 입니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] Wear Levelling과 Garbage Collection 등

도깬리 — Mon, 1 Jan 2024 08:15:07 +0900

안녕하세요. 도깬리 포렌식스 입니다.

애독자님들 새해 더욱 건강하시고, 복 많이 받으세요.^^

오늘도 플래시 메모리에 대해 알아 봅니다. 모두 화이팅 하세요!!!

Flash peculiarities in the acquisition process

포렌식 분석관은 플래시 메모리 내부에서 일어나는 것을 이해하고 있어야 합니다.

https://www.researchgate.net/figure/a-Wear-leveling-b-Garbage-collection-c-Over-provisioning_fig2_362693954

Garbage Collection

잘 알려진 동작이지만, 획득된 디바이스를 위한 대응법이 문서화되어 있지 않는 경향이 있습니다.

백그라운드 동작입니다.

이것은 모바일 디바이스의 전원이 켜졌을 때 사용하지 않는 블록에 잔존하는 잠재적 증거 데이터를 자동으로 파괴하는 결과를 초래할 수 있다.

Effective Management of bad blocks

만약 FTL(Flash Translation Layer)이 플래시 메모리에 임베디드 되어 있다면 배드 블록을 접근하고 관리하기가 어려울 수 있습니다.

One-way programming

‘일방향성’, 즉 갱신때마다 새로 만들어 집니다.

데이터가 업데이트되면 그것은 새로운 위치에 쓰여지고, 오래된 위치는 invail로 표시됩니다.

Wear Levelling (WL) 과 Garbage Collection (GL)

플래시 메모리에 포함된 데이터가 업데이트되면, 동일한 페이지에 쓰여지지 않습니다.

갱신될 데이터를 포함하는 페이지는 새로운 위치에서 완전히 다시 쓰기작업을 수행합니다.

여유 공간에서, 새로운 데이터를 포함하는 페이지는 유효한(valid, live) 것으로 표시되고, 오래된 데이터는 무효인(invalid, dead) 것으로 표시됩니다.

블록 안의 dead 페이지의 숫자가 모든 유효한 페이지보다 주어진 clearance 이상이 되면 새로운 위치에 다시 쓰여지고, 그 블록은 미래에 사용을 위하여 삭제됩니다.

Garbage Collection은 자동으로 랜덤하게 동작합니다.

Forensic Value

파일과 데이터의 조각들은 Garbage Collection 프로세스가 완료될 때 까지 NAND RAM 안에 여전히 잔존합니다.

모바일 디바이스에서 이러한 데이터를 복원하기 위해서는 그 데이터에 대한 물리적인 획득이 반드시 필요합니다.

SQLite in CellPhones

.sql, .db 확장자를 갖게 되며, 또는 확장자가 아예 없기도 합니다.

SQLite DB 시그너처는 SQLite format 3 다음에 null byte가 따라 나오는 형식입니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] 휴대폰 메모리에 대하여

도깬리 — Sat, 30 Dec 2023 09:25:28 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 휴대폰 메모리에 대하여 알아 보겠습니다. 모두 화이팅 하세요!!!

Cellphone Memory

모바일 핸드셋에는 Flash Memory로 알려진 Solid State Memory (비휘발성임)가 장착되어 있습니다.

2가지 유형의 플래시 메모리가 있습니다.

https://blog.techdesign.com/nand-vs-nor-understanding-differences-flash-memory/

NOR

인텔이 개발하였습니다.

빠른 읽기 속도를 제공합니다.

RAM에 어플리케이션을 복사하지 않고 그 자리에서 어플리케이션을 바로 실행할 수 있습니다.

쓰기와 삭제 성능이 떨어지고 비쌉니다.

NAND

대용량 스토리지에 효과적입니다.

빠른 쓰기와 삭제 속도를 제공합니다.

NOR보다 저렴합니다.

플래시 메모리 관리가 가능합니다.

NOR에 비해 수명이 깁니다.

복잡한 I/O 인터페이스를 필요로 합니다.

NOR 와 NAND 둘 다 ‘bit flipping’의 먹잇감이 될 수 있습니다. 드물긴 하지만 NAND에서 더 자주 일어납니다.

NOR 메모리는 OS default applications와 같은 code storage media 로 사용될 수 있습니다.

NAND 메모리는 사용자 데이터를 저장하는 용도로 이용될 수 있습니다.

Volatile and Non-Volatile Memory

Volatile Memory

Random-access memory

Non-Volatile Memory

휴대폰은 RAM 메모리를 이용하여 현재 사용중인 프로그램과 데이터를 저장합니다.

휴대폰에서 영구적으로 데이터를 저장하여야 할 필요가 있을 경우에는 해당 정보를 NAND 플래시 칩에다 저장합니다.

NAND Flash

NAND는 데이터를 저장하기 위해 사용되는 컴퓨터의 논리적 회로입니다.

휴대폰에서는 NAND 보다는 NOR에서 데이터를 검색하는 게 더 빠릅니다.

NAND 플래쉬 블록은 신뢰할 수 있을 정도로 쓰고 지울 수 있는 횟수에 제한이 있습니다.

NAND 블록은 10만번 정도 쓰기/삭제가 가능합니다.

Wear leveling : 모든 물리적인 블록이 균일하게 쓰여지도록 보장하기 위한 기술중 하나입니다.

NAND 플래쉬 메모리의 수명을 늘리기 위해서는 Wear leveling과 Bad-block 관리를 하는 것이 중요합니다.

Advantages of NAND Flash

NAND의 장점

비휘발성입니다.

저장용량이 매우 큽니다

물리적인 작동 장치가 없습니다.

소비전력이 적습니다.

스마트폰과 같은 디바이스에 적합합니다.

NOR 보다 저렴합니다.

다만 덜 안정적입니다

작동하기 위해서는 별도의 RAM이 필요합니다.

순차적인 접근(Sequential access)만 가능합니다.

모바일 장치에서 사진이나 음악 파일 등 데이터를 저장하는 용도로 활용됩니다.

NOR의 경우

쓰기 및 삭제 시간이 더 깁니다.

모든 메모리 위치에서 임의적인 접근(Random access)이 가능합니다.

휴대폰의 거의 모든 컨트롤러는 NOR 인터페이스를 갖고 있습니다.

모바일 장치에서 주로 실행 프로그램(executable software)을 저장합니다.

플래시 디바이스는 값을 1 --> 0 으로만 쓸 수 있습니다.

즉, 0 --> 1로는 불가능

따라서 데이터가 업데이트 될 때에는 새로운 위치에 새로운 데이터를 쓰고, 예전 위치의 데이터는 invalid로 표시하는 방법을 사용하고, 그런 다음 예전의 위치의 데이터는 삭제한 후 나중에 재사용하게 됩니다.

The spare area

Out-of-band data 라고도 불리워집니다.

각각의 섹터 또는 chunk마다 하나씩 존재하고, 16 바이트로 이루어져 있습니다.

이것의 크기는 디바이스의 용량에 포함되지 않습니다.

이것에 직접적으로 주소를 부여할 수 없습니다.

여기에 데이터 verification의 결과를 저장하는 용도로 사용되기도 합니다.

NTFS 파일시스템에서 볼 수 있는 메타데이터와 비슷한 블록과 페이지의 상태에 관한 정보, 기타 정보를 저장할 수 있습니다.

NAND vs. Hard Disk

섹터의 표준 크기가 서로 다릅니다.

하드디스크와는 달리, 플래시 드라이브의 쓰기와 삭제 명령은 각각 별개의 실행 입니다.

플래시 칩은 제한된 수명을 갖습니다.

플래시 드라이브는 적절한 전원 종료 절차를 취하지 않고서도 전원 Off가 가능합니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] 모바일 보안 솔루션 이해하기

도깬리 — Wed, 27 Dec 2023 06:18:47 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 모바일 보안 장치에 대해 알아 보겠습니다. 모두 화이팅 하세요!!!

https://www.counterpath.com/security-encryption/

Hardware Protection

모든 iOS 디바이스에는 전용 AES 256 암호화 엔진이 포함되어 있습니다.

AES 엔진과 함께 SHA-1이 하드웨어에서 실행됩니다.

디바이스의 Unique ID(UID)와 디바이스의 그룹 ID(GID)는 제조과정에서 어플리케이션 프로세서에 삽입된 AES 256-bit Key 입니다.

UID는 데이터가 어떤 특정한 디바이스에 암호학적으로 연결되게 합니다.

UID, GID와는 별도로 암호학적 키는 CTR DRBG를 기반으로 하는 알고리즘을 이용하여 시스템의 random number generator(RNG)에 의해 만들어집니다.

Effaceable Storage 라는 데이터의 안전 삭제에 관한 기능도 지원합니다.

iOS File Protection

iOS 디바이스에 포함된 하드웨어 암호화 기능 뿐만 아니라, 디바이스의 플래시 메모리에 저장된 데이터를 보호하기 위한 Data Protection 기술도 지원합니다.

Mail은 기본적으로 Data Protection을 사용합니다.

iOS 7 (아이폰 4) 이후에 설치된 3rd party apps의 경우 이러한 보호 기능을 자동적으로 적용하게 됩니다.

아키텍처 소개

데이터 파티션에 있는 어떤 파일이 생성될 때마다 Data Protection은 새로운 256 비트의 키(per-file key)를 만들어 내고, 그것을 하드웨어 AES 엔진에 넘깁니다.

AES 엔진은 그 키를 사용하되 파일을 플래시 메모리에 쓰여진 그대로 AES CBC 모드를 이용하여 암호화 합니다.

iOS는 4개의 숫자와 임의의 길이를 갖는 alphanumeric passcodes를 지원합니다.

공격자가 디바이스를 소유하더라도 passcode 없이는 특정한 보호 클래스에 있는 데이터에 접근할 수 없게 됩니다.

무차별 패스코드 공격을 차단하기 위하여 iOS 인터페이스는 시간 지연(time delays)을 급속히 늘리게 하는 구조입니다.

만약 패스코드가 10회의 연속적인 시도 이후에도 부정확하게 입력되었다면 사용자들은 디바이스를 자동으로 영구삭제 되도록 선택할 수 있습니다.

A7 프로세서를 갖춘 디바이스에서 the Secure Enclave가 주요한 명령을 수행합니다, 이것은 또한 5초 delay를 강제로 적용하게 합니다.

Passcode Protection

틀린 패스코드 입력때마다 대기 시간이 더 늘어납니다. (escalating time delay)

10번 연속으로 패스코드의 입력을 시도하면 자동 삭제 기능이 동작하게 됩니다.

Android Encryption

Android 4.0버전 (Ice Cream Sandwich)부터 Full Disk Encryption 기능이 적용됩니다.

모든 파티션을 dm-crypt로 암호화 합니다.

전원을 끄는 순간 데이터가 안전하게 잠기게 됩니다.

디스크 암호화가 활성화 된 경우, 디바이스를 끄지 않고 디바이스에 접근할 필요가 있습니다.

디스크 암호화에 대한 2가지 유형의 방법론

블록 기반 암호화 (Block based)

암호화는 파일시스템 아래 계층에서 일어납니다.

파일시스템이 데이터의 블록을 쓰기 시작할 때, 그 블록은 물리적으로 디스크에 쓰여지기 직전에 암호화 됩니다.

파일시스템은 암호화 여부를 모릅니다.

장점: 간단하고, 알기 쉽고(transparent), 디바이스의 모든 것을 암호화 합니다.

단점: 세부적인 제어(granular control)가 불가능하고, 어떤 파일을 다른 파일과 다르게 취급하기가 어렵습니다.

파일 기반 암호화 (File-based)

암호학적 파일시스템(cryptographic file system)은 파일 수준에서 암호화를 수행합니다.

데이터는 블록 디스크 드라이버(block disk driver)에 도달하기 이전에 암호화됩니다.

장점: 파일이 어떻게 암호화되어야 하는지에 대한 더 많은 제어를 가능합니다.

단점: 실행이 복잡하고(complexity of implementation), 스왑 영역을 보호하지 못합니다.(inability to protect swap space)

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] iOS 디바이스와 데이터 획득

도깬리 — Mon, 25 Dec 2023 06:16:06 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 IOS 디바이스와 IOS Encryption에 대해 알아 보겠습니다. 모두 기쁜 성탄절 되세요!!!

iOS Device

원래 iPhone OS 라고 불리던 것이 2010년부터 iOS 로 명명되었습니다.

OS X와 iOS는 유닉스 파일 시스템을 기반으로 만들어 졌습니다.

iOS와 OS X의 기본적인 디렉토리 구조가 비슷할지 몰라도, 각 시스템이 Apps와 User data를 구성하는 방법에서는 차이가 있습니다.

모든 앱들은 일종의 ‘섬(Sandbox)’ 형태를 보입니다.

일반적으로 사용되는 iOS 앱의 디렉토리는 다음과 같습니다.

https://developer.apple.com/library/archive/documentation/FileManagement/Conceptual/FileSystemProgrammingGuide/FileSystemOverview/FileSystemOverview.html

<Application_Home>/AppName.app

앱 그 자체를 포함하는 bundle 디렉토리 입니다.

<Application_Home>/Documents/

중요한 사용자 문서와 앱 데이터 파일을 저장합니다.

<Application_Home>/Documents/Inbox

이메일의 경우 이 디렉토리에 첨부파일을 위치하게 하여, 앱에서 첨부파일을 열 때 이 디렉토리를 참조합니다.

<Application_Home>/Library/

사용자 데이터 파일이 아닌 나머지 파일에 대한 최상위 디렉토리 입니다.

<Application_Home>/tmp/

임시 파일은 이 디렉토리에 저장됩니다.

iOS Encryption

Cellebrite와 같은 포렌식 도구로 무차별 공격법으로 패스코드를 획득하는 경우도 있습니다.

iOS 데이터의 획득 방법

- 물리적 메모리 추출 (Physical Memory Extraction)

삭제된 파일 까지 가장 많은 데이터를 확보할 수 있으므로 권장되는 방법이긴 하나, 아이폰 4까지만 물리적 획득이 가능합니다.

- dd 또는 dmg 이미지 파일 생성

관련 도구

Cellebrite, XRY, lantern, Elcomsoft, MPE

- 파일시스템 덤프 (File system dump)

물리적 이미지의 하위 셋입니다.

관련 도구

Cellebrite, Blacklight, Oxygen, XRY

- AFC 백업 (Apple File Connection backup)

아이튠즈를 사용하여 백업합니다.

아이튠즈가 설치되어 있어야 하나, 구동할 필요까지는 없습니다.

포렌식 조사관은 사용자 컴퓨터에 남아 있는 AFC 백업파일을 찾아 보아야 합니다.

백업파일의 위치

- Windows XP

C:\Documents and Settings\Application Data\Apple Computer\MobileSync\Backup

- Windows Vista/7/8 ~

C:\users\AppData\Roaming\Apple Computer\MobileSync\Backup

- OS X

~/Library/Application Support/MobileSync/Backup

백업파일에 패스워드를 설정할 수 있고, 이 패스워드는 모바일 디바이스의 패스코드와는 전혀 관계가 없습니다.

iOS 4 (아이폰 3G) 이후로 사용자 파티션을 암호화 하여 데이터를 보호하기 시작하였습니다.

아이폰 4 또는 5에 대한 물리적 이미지 획득 가능하고 이미지 파일 시스템을 읽을 수 있습니다. (실무상으로는 아이폰 4까지만 물리적 이미지 획득 가능)

그 이후로는 논리적인 획득만 가능합니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] Android File System 소개

도깬리 — Fri, 22 Dec 2023 06:36:54 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Android File System에 대해 알아 보겠습니다. 모두 화이팅 하세요!!!

Android File System

리눅스 처럼, 파일 계층구조가 ‘/’ 아래 하나의 단일한 트리를 구성합니다.

윈도우 운영체제에서 볼 수 있는 ‘드라이브’ 라는 개념이 없습니다.

로컬인지 여부, 원격지인지 여부의 구분이 없습니다.

https://www.cobeisfresh.com/blog/taming-file-storage-on-android-part-1

일반적인 플래시 메모리 파일 시스템은 다음과 같습니다.

- exFAT

extended File Allocation Table

- F2FS

Flash-Friendly File System

삼성이 2012년에 소개한 파일시스템입니다.

- JFFS2

Journal Flash File System version 2

Android Open Source Project(AOSP)의 기본 플래시 파일 시스템입니다.

- YAFFS2

Yet Another Flash File System version 2

커널 버전 2.6.32를 위한 AOSP의 기본 플래시 파일 시스템입니다.

위와 같은 플래시 메모리 전용 파일 시스템 이외에도 다음과 같은 미디어 기반 파일 시스템(media-based file system)도 지원합니다.

- EXT2 / EXT3 / EXT4

EXTended file system

2010년 이후로 YAFFS2 또는 JFFS2 대신에 안드로이드 디바이스용 내부 플래시 메모리를 위한 파일 시스템으로 흔히 사용됩니다.

- MSDOS

FAT12, FAT16, FAT32 파일 시스템을 지원합니다.

- VFAT

FAT12/16/32 파일 시스템의 확장버전 입니다.

외장형 SD Card는 일반적으로 VFAT으로 포맷되어 있습니다.

Media 기반이 아닌 다음과 같은 Pseudo 파일 시스템을 지원합니다.

- cgroup

Control Group pseudo file system

/proc/cgroups

- rootfs

Root 파일 시스템의 마운트 포인트로서 기능을 합니다.

‘/’

- procfs

/proc 디렉토리에 마운트되며, 수많은 커널 데이터 구조체를 반영합니다.

- sysfs

/sys 디렉토리에 마운트합니다.

- tmpfs

/dev 디렉토리에 마운트합니다.

Android File Hierarchy

안드로이드는 전통적인 리눅스 파일 구조의 수정된 버전을 갖습니다.

- acct

acct cgroup의 마운트 포인트입니다.

- cache

/dev/block/mtdblock2 파티션의 마운트 포인트입니다.

- d

/sys/kernel/debug 에 대한 심볼릭 링크 입니다.

- Data

/dev/block/mtdblock1 파티션에 대한 마운트 포인트입니다.

- default.prop

다양한 기본 속성을 정의하여 두고 있습니다.

- Dev

tmps 파일 시스템을 위한 마운트 포인트 입니다.

- etc

/system/etc 에 대한 심볼릭 링크 입니다.

- init

init.rc 파일을 처리하는 바이너리 프로그램을 포함합니다.

- mnt

내부형 및 외부형 SD Card에 대한 마운트 포인트이며, 다른 파일 시스템을 위한 마운트 포인트입니다.

- proc

proc 파일 시스템을 위한 마운트 포인트 입니다.

- root

root 계정의 홈디렉토리 입니다.

- sbin

몇몇 중요한 데몬을 위한 바이너리를 포함합니다.

- sdcard

/mnt/sdcard 에 대한 심볼릭 링크 입니다.

- sys

sys pseudo 파일 시스템에 대한 마운트 포인트 입니다.

- system

/dev/block/mtdblock0 에 대한 마운트 포인트 입니다.

- ueventd.goldfish.rc, ueventd.rc

/dev 디렉토리에 대한 설정 rules을 저장합니다.

- vendor

/system/vendor에 대한 심볼릭 링크 입니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] Android OS와 기본 파티션

도깬리 — Wed, 20 Dec 2023 06:08:40 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Android 운영체제와 기본 파티션에 대해 알아 봅니다. 모두 화이팅 하세요!!!

Android Phone OS

2005년에 구글이 안드로이드를 인수합니다.

2007년에 Open Handset Alliance를 설립하면서 Android 시스템을 공개하였습니다.

Green Android logo: 구글의 Irina Block 이 디자인 하였습니다.

2008년에 안드로이드를 이용한 최초의 스마트폰이 출시되었습니다.

HTC Dream

Swiping, tapping, pinching, reverse pinching 기술을 적용하였습니다.

안드로이드 소스 코드는 구글이 Apache 라이선스에 의하여 공개되었습니다.

안드로이드 어플리케이션은 SandBox 안에서 동작합니다.

SandBox: 어플리케이션이 설치될 때 접근 권한이 사용자에 의해 주어지지 않는다면, 나머지 시스템 자원에 접근할 수 없는 시스템의 격리된 영역을 말합니다.

2013년 구글은 Android Device Manager 출시합니다.

웹 인터페이스를 통해 안드로이드 디바이스를 추적하고, 위치를 알아내고, 원격으로 삭제할 수 있게 됩니다.

Android Data Structure

기본 6개 파티션은 다음과 같습니다.

https://opensourceforgeeks.blogspot.com/2013/12/android-partitions-basic.html#google_vignette

/boot

안드로이드 커널과 Ramdisk를 포함합니다.

삭제하면 부팅이 불가능합니다.

/system

안드로이드 운영체제 전부를 포함합니다.

삭제하더라도 부팅은 가능합니다.

/recovery

백업을 위해 고안된 것으로, alternative boot partition으로 활용됩니다.

/data

사용자 데이터가 저장되는 파티션 입니다.

연락처, SMS, 설정, 모든 안드로이드 어플리케이션 등을 포함합니다.

공장 초기화시 삭제됩니다.

/cache

안드로이드가 자주 접근하는 데이터와 app components를 저장하여 둔 파티션 입니다.

삭제해도 별다른 영향이 없습니다.

/misc

On/Off 스위치 형태로 된 기타 시스템 설정을 포함합니다.

Carrier or Region ID, USB 설정, 일부 하드웨어 설정 등을 포함합니다.

SD Card 파일 시스템 파티션

/sdcard

모바일 디바이스의 내부 메모리에 있는 파티션이 아닙니다.

일부 사용자가 설치한 앱은 관련된 설정과 데이터를 SD Card에 저장하기도 합니다.

내장형 SD Card와 외장형 SD Card 둘 다 지원하는 경우, /sdcard 파티션은 내장형 SD Card를 의미합니다.

예) 삼성 갤럭시 S

/sd-ext

기본적인 안드로이드 파티션이 아니고, 확장 파티션입니다.

APP2SD+, data2ext 활성화 라는 특별한 기능을 갖는 특정한 ROM을 사용할 때에 /data 파티션의 기능을 합니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] 일반적인 작업 순서 등

도깬리 — Mon, 18 Dec 2023 06:27:07 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 모바일 포렌식에서의 일반적인 작업 순서에 대해 알아 보겠습니다. 모두 화이팅 하세요!!!

Processing and Examination

대부분의 사건에서의 일반적인 작업 순서는 다음과 같습니다.

(1) 본체에서 SIM Card를 제거합니다.

(2) SIM Card에 저장된 정보를 추출합니다.

(3) 본체에서 Micro SD Card (또는 다른 형태의 이동식 메모리)를 제거합니다.

(4) Micro SD Card에 대한 포렌식 이미지 파일을 생성합니다.

(5) SIM Card와 Micro SD Card를 다시 본체에 삽입합니다.

(6) 격리 방법론 고려

예: Faraday cage, CNIC (Cellular Network Radio Isolation Card)

(7) 본체의 전원을 켭니다.

(8) 본체로부터 정보를 추출합니다.

https://mosequipment.com/blogs/blog/56937861-how-to-choose-the-right-faraday-bag-for-forensics

상기 작업 순서는 일반적인 가이드라인 일 뿐, 모바일 디바이스의 기술적인 제약과 포렌식 도구의 성능에서 비롯된 수많은 변수로 인하여 모든 모바일 디바이스에 적용할 수 있는 것은 아닙니다.

Verification and Validation

서로 다른 수준의 도구를 이용하여 결과를 비교하는 것을 권장합니다.

- 스마트 폰 화면에서 메시지 개수를 확인하여 사진으로 촬영합니다. (레벨 1)

- 논리적으로 추출하여 메시지 개수를 확인합니다. (레벨 2)

- 위 2개의 결과를 비교합니다.

동일 수준의 다른 도구를 이용하여 결과를 비교합니다.

주의 해야 할 점은

- 결과는 도구의 제약사항과 기능 때문에 약간 다를 수도 있습니다.

- 제조사마다 그 결과가 다를 수도 있습니다.

Smartphone File System

내부 데이터 영역은 논리적인 ‘disk’ 구조를 이루며, 파티션, 파일, 폴더를 포함합니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] 모바일 포렌식 도구의 분류 체계

도깬리 — Fri, 15 Dec 2023 06:35:26 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 모바일 포렌식의 도구 체계에 대해 알아 보겠습니다. 모두 화이팅 하세요!!!

도구

범용 모바일 포렌식 도구가 불가능한 이유 (모든 모바일 디바이스에서 모든 데이터를 획득할 수 있는 도구가 없는 이유)

- 수많은 제조사가 존재합니다.

- 여러가지 운영 체제가 존재합니다.

- 수많은 통신사가 존재합니다.

각각의 분석도구의 기능을 잘 숙지해 두면, 상황별로 맞춤형 도구를 결정할 수 있게 됩니다.

모바일 포렌식 도구 분류 체계 (Mobile Forensics Tool Classification System)

Sam Brothers가 2008년에 발표한 것 입니다.

오래되어 현재 기술과는 맞지 않는 면도 있지만, 재미삼아 읽어보시기 바랍니다.

Level 1 (Manual Extraction)

모바일 디바이스의 화면상에 보이는 정보를 디지털 카메라 등으로 기록합니다.

삭제된 데이터에 대한 복구가 불가능합니다.

대부분의 데이터는 접근 자체가 어려운 면이 있습니다..

관련 도구

- Ramsey 사의 STE3000FAV

- Fernico 사의 ZRT2 HD

Level 2 (Logical Extraction)

Manual Extraction 방식보다 더 빠르게 데이터를 추출할 수 있습니다.

비할당 영역과 같은 일부 데이터에는 접근이 어렵습니다.

케이블, 블루투스, 적외선 통신 등을 이용할 수 있습니다.

관련 도구

- Susteen 사의 SecureView3

- Compelson Lab 사의 MOBILedit! Compete

Level 3 (Physical Extraction)

JTAG 연결이나 Flasher box를 사용하여 비할당 영역에 대한 접근이 가능합니다.

JTAG: 진단용 커넥터(diagnostic connector)입니다.

이 단계에서 기능하는 도구를 Physical Extraction, Hex Dumping 도구라고도 부릅니다.

보통 조사자의 컴퓨터를 USB 케이블을 이용하여 Flasher box에 연결합니다.

Flasher box

모바일 디바이스의 JTAG 연결부 또는 데이터 케이블 포트를 통해서 모바일 디바이스에 연결됩니다.

종종 운영체제를 우회하여 모바일 디바이스의 메모리와 직접적으로 통신합니다.

이 레벨에서의 많은 도구들은 원래 포렌식용으로 설계되었던 것이 아니었습니다.

증거로서 사용하기 전에 과거 훈련받은 경험있는 수사관에 의해 수행되어야 합니다.

관련 도구

- MicroSystemation 사의 XRY Complete

- CelleBrite 사의 UFED Touch Ultimate

Level 4 (Chip-off)

칩 오프는 모바일 디바이스의 NAND 또는 NOR 칩을 제거하여 진행됩니다.

메모리는 EEPROM 리더기에 칩을 올려 놓은 상태에서 읽혀집니다.

읽혀진 후 해당 데이터가 해석되고 수작업에 의하거나 자동화된 도구에 의해 정렬됩니다.

모바일 디바이스에 저장된 전체 정보에 대한 조사가 가능하게 됩니다.

시간이 많이 걸리며, 때로는 플래쉬 칩의 제거 기술(removal of flash chips)과 역공학(reverse engineering) 기술을 요구하기도 합니다.

플래쉬 칩 제거 과정에서 칩이 손상될 위험성도 있습니다.

칩 제거 성공률은 보통 80% 정도 입니다.

이러한 위험성을 미리 고지해야 합니다.

칩으로부터 데이터를 읽어 내고, 그것을 복호화 하는 어려움도 있습니다.

즉, 칩을 제거하는 기술 --> 장착하는 기술 --> 읽는 기술 --> 복호화 하는 기술 모두 필요합니다.

관련 도구

- Soft Center 사의 Flash Extractor

- Jingtian Electronic 사의 UPNP 828

Level 5 (Micro Read)

플래쉬 칩이 이미 제거되어 있고, 해당 칩의 일부만이 남아 있을 때 시도해 볼 만한 방법입니다.

폭발 등으로 인해 칩이 심각하게 훼손되어 있을 때 고려할 만 합니다.

관련된 상업용 전문 도구 또는 장비가 부재합니다.

관련 도구

- Hitachi 사의 S-450 SEM

- ERSA 사의 IR 550

보통의 상업용 도구들은 하나의 레벨만 지원하는 것이 아니라 여러 개의 레벨을 지원합니다. (보통 레벨 2와 레벨 3을 지원함)

- CelleBrite 사의 UFED Touch

- MicroSystemation 사의 XRY Complete

한 단계 위로 올라 갈수록 더 기술적이며, 더 시간이 많이 걸리고, 더 많은 훈련을 필요로 합니다.

도구의 선택시 다음 사항을 고려하여야 합니다.

- 사건의 유형 (type of case)

- 소요 시간 (time available)

- 조사자의 전문성 (expertise of the available examiners)

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] 휴대전화의 물리적 구성요소 등

도깬리 — Wed, 13 Dec 2023 06:22:59 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 휴대전화의 물리적 구성요소 등에 대해 설명합니다. 모두 화이팅 하세요!!!

휴대전화의 4대 물리적 구성요소

- 본체 (Handset)

Cellular radio, 휘발성 메모리, 스피커, 마이크로폰, 입력 장치, LCD 스크린 등을 포함합니다.

- 배터리 (Battery)

- SIM 카드 (SIM card)

선택 사항이긴 하나 GSM과 TDMA 모바일 디바이스의 경우에는 필수 장치입니다.

CDMA 디바이스의 경우에는 선택 옵션이므로 조사 현장에서 대상자의 사생활 및 영업활동 보장을 위하여 SIM 카드를 교부하여도 증거분석을 하는데 큰 문제가 없습니다.

참고 : https://cults3d.com/en/3d-model/gadget/sim-card-adapter-converter-kit

크기에 따라 보통 3가지 종류로 나뉩니다.

* Mini

가장 많이 이용되는 크기입니다.

* Micro

최신 스마트폰에서 대부분 채택되고 있는 크기입니다.

* Nano

SIM 카드는 현장조사시 제거된 상태에서 데이터를 추출하여야 합니다

어떤 모바일 디바이스에는 SIM 카드가 여러 개 있을 수도 있습니다.

- 메모리 카드 (Memory Card)

MicroSD 형식이 일반적입니다.

메모리 카드는 제거하여 이미징하고 본체를 조사하기 이전에 미리 모바일 디바이스와는 별도로 처리되어야 합니다.

Smart Phones vs Feature Phone

피처폰의 특징

물리적 입력 장치는 5~15개의 버튼으로 구성되어 있습니다.

LCD 화면이 컬러가 아닙니다

동영상을 기록 및 저장하는 기능이 없습니다

저장 용량을 늘릴 수 없습니다.

스마트폰의 특징

물리적 입력 장치는 touch screen 또는 full QWERY 키보드를 사용합니다.

저장 용량은 Micro SD 또는 다른 미디어 장치를 사용하여 확장 가능합니다.

프로세싱 능력이 피처폰보다 월등히 높습니다.

어플리케이션을 설치하고 다운로드 할 수 있습니다.

모바일 포렌식 조사 준비

대부분의 모바일 디바이스는 플래시 메모리에 데이터를 저장하므로 컴퓨터포렌식 도구로 분석할 수 없습니다.

조사자의 컴퓨터에 모바일 디바이스가 이동식 저장장치로 인식 되지도 않습니다.

개인용 컴퓨터가 이동식 저장장치와 직접적으로 통신할 수 있는 범용 인터페이스와 프로토콜을 갖고 있는 반면, 모든 모바일 디바이스에 적용되는 그러한 표준이 없습니다.

따라서 모바일 디바이스 제조사는 전용 비문서화된 프로토콜(proprietary non-documented protocols)과 연결장치(connectors)를 지속적으로 개발할 수 밖에 없습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mobile Forensics] 기본 원칙과 기본 장비 등

도깬리 — Sun, 10 Dec 2023 09:07:22 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘 부터는 모바일 포렌식에 대해 알아 봅니다. 날씨가 겨울 답지않게 매우 포근하네요. 모두 화이팅하세요!!!

Evidence Collection and Reservation

Seized --> isolated --> transported --> stored securely --> extracted/analyzed

포렌식 분석관은 조사/리뷰팀의 조사관과 소통하여 현장에 어떠한 모바일 디바이스가 존재하는지 확인한 다음, 적절한 도구와 장비를 갖추고 현장에 임하여야 합니다.

증거를 확보할 적절한 법률적 권한(proper legal authority)의 존재 여부를 확인하여야 합니다.

휴대전화 압수와 관련된 기본 장비들

- Faraday Box

참조 : https://mosequipment.com/products/mission-darkness-blockbox-lab-xl

모바일 디바이스를 네트워크 통신으로부터 격리시킵니다.

- Faraday Bag(s)

위와 같은 기능을 합니다.

봉인되어야 한다

전원 케이블이나 기타 데이터 케이블과 격리되어야 합니다.

- External power

비밀번호, PIN code, patter locks 이 확인되면 문서화 해두어야 합니다.

디바이스의 전원이 꺼져 있다면, 그대로 두어야 합니다.

현장에서 처리가 불가능하면 전원을 끄고, 배터리는 분리해야 합니다.

전원 차단의 장점

통화 기록(call logs)과 마지막 cell tower의 위치를 보존할 수 있습니다.

삭제된 데이터에 대한 덮어쓰기를 방지할 수 있습니다.

데이터 손괴 신호(data destruction signals)를 예방합니다.

부적절한 모바일 폰의 취급을 방지할 수 있습니다.

모바일 디바이스가 켜져 있고, 잠겨 있지 않은 상태이면 취급에 특히 주의해야 합니다.

비행기모드로 전환해도 Wi-Fi에 연결될 가능성은 항상 있습니다.

비행기모드로 전환하는 것 보다 Faraday box/bag 사용하거나 전원을 차단하거나 배터리를 분리할 것을 권장합니다.

포렌식 조사용 SIM 카드로 교체하여 잠금상태를 우회할 수 있습니다.

모바일 디바이스를 입수할 때 주변기기도 확보하여야 합니다.

예) 충전기, 케이블, 병렬장치, 매뉴얼 등

모바일 디바이스는 다음과 같은 2개의 카테고리로 나뉘어 집니다.

- GPS Devices

제조사와 모델명을 확인합니다.

- Cell Phones/Tables

동일한 모바일 포렌식 도구에서 둘 다 지원 가능합니다.

휴대폰 특정을 위한 4가지 요소

- 제조사 (Vendor)

- 통신사 (Network Carrier)

제조사와 통신사를 혼동하는 경우가 있습니다.

통신 요금을 청구하는 회사가 통신사입니다.

- 네트워크 유형 (Network type)

3대 휴대전화 네트워크 : GSM, CDMA, TDMA

네트워크 유형을 확인하기 위해서는 배터리 아래를 살펴보아야 합니다.

만약 SIM 카드가 없다면, CDMA일 가능성이 높습니다.

그러나 다음과 같이 네트워크 유형 파악에 어려운 요소도 있습니다.

. GSM/CDMA 겸용 디바이스도 있음

. 최근 CDMA 디바이스에 데이터 통신을 원활히 하기 위하여 SIM 카드를 포함시키는 경향도 있음

- 모델명 (Model number)

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Mobile Device Forensics 2016 (IACIS)

[Mac Forensics] iOS 아티팩츠 분석

도깬리 — Thu, 7 Dec 2023 06:35:22 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 iOS 아티팩츠에 대해 알아 봅니다. 모두 화이팅 하세요!!!

iOS Artifact Files

iOS 파일시스템은 Mac OS X를 기반으로 합니다.

iOS 파일시스템의 컨텐츠의 활성화와 관리는 Mac OS X 또는 윈도우상에서 iTunes 어플리케이션에 의해 이루어 집니다.

iOS 디바이스에 대한 물리적 이미징은 제한됩니다.

포렌식 솔루션은 컴퓨터 상의 iOS 백업에서 찾을 수 있는 것과 동일한 정보를 수집하게 합니다.

iOS 디바이스에 저장되어 있는 대부분의 정보를 디바이스가 연결된 이후에는 컴퓨터에서도 찾아 볼 수 있습니다.

Mac 이나 PC에서 iOS 백업 파일을 수색하는 것은 매우 흔한 포렌식 프로세스 입니다.

Encryption

백업은 암호화되어 있을 가능성이 매우 높습니다.

iOS 백업 파일을 암호화 하는 옵션은 iTunes device Summary 페이지에서 확인 할 수 있습니다.

.mdbackup files

동기화가 이루어지는 동안, 디바이스의 데이터는 사용자의 컴퓨터로 백업됩니다.

백업된 파일은 다음의 경로에 위치한다.

~/Library/Application Support/MobileSync/Backup/<unique identifier for device>

백업 파일은 unique identifier와 함께 mdbackup 확장자를 갖습니다.

예) 0a49f42bc2fbedb5713469b34a0bb158097fc0f5.mdbackup

mdbackup의 이름은 디바이스 상의 실제 파일 경로에 대한 SHA1 해시값입니다.

백업 파일은 plist 포맷으로 되어 있고, encapsulated images, SQLite DB 파일, 기타 plist의 형태로도 존재합니다.

.mddata 와 .mdinfo files

iTunes 8.1로 업데이트 되면서 약간의 변화가 Apple device backup file에 반영되었습니다.

디바이스의 백업 파일의 확장자가 .mdbackup에서 .mddata와 .mdinfo로 변경되었습니다.

Apple Device Backup Files

Apple 디바이스의 백업 파일은 확장자가 없습니다.

대부분의 파일은 QuickLook 기능으로 열어 볼 수 있습니다.

자동화된 도구로 이들 파일을 처리할 때 첫 번째 단계로써 파일 시그너처 분석이 요구됩니다.

Apple Device plists

디바이스의 백업 폴더안에는 다음과 같이 중요한 3개의 plist 파일이 존재합니다.

- Info.plist

iPhone에 대한 구체적인 정보를 포함합니다.

예) 이름, 전화번호, IMEI 번호 등

- Status.plist

마지막 동기화에 대한 정보를 포함합니다.

- Manifest.plist

백업된 모든 파일에 대한 목록, 수정 일시, SHA1 해시값이 포함되어 있습니다.

데이터는 Erica Sadun의 MDHelper라는 도구를 사용하여 복호화할 수 있습니다.

Backup Files 내용

백업파일은 다음의 것을 포함합니다.

- Safari History & Bookmarks

- Photos (Phone & Synced iPhoto)

- Sent & Received SMS

- Calendar Events

- Notes

- Address Book Entries

- Call History

- Cookies

- Map History

- Email Accounts

- YouTube Last Search, Last Viewed & Bookmarks data

iPhone Backup Extractor

암호화 되지 않은 백업 파일만 처리합니다.

Desktop 이나 Application 폴더 안에 위치할 수 있고, 다양한 백업을 찾을 수 있습니다.

plist와 db 파일을 추출하여 조사될 데스크탑의 폴더 안에 놓고 작업합니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (15)

도깬리 — Tue, 5 Dec 2023 06:11:00 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 15회차 입니다. 모두 화이팅 하세요!!!

Library > Preferences > com.apple.recentitems.plist

기본적으로 최근에 접근한 어플리케이션, Documents, Services가 10개 까지 기록되어 있습니다.

Library > Preferences > com.apple.spotlight.plist

최근에 접근한 파일에 대한 또 하나의 흔적은 spotlight.plist 안에 남습니다.

이 파일은 Spotlight 검색을 통해 어떤 어플리케이션에 마지막으로 접근한 시각을 기록해 두고 있습니다.

Library > Preferences > com.apple.Preview.LSSharedFile.plist

Preview 어플리케이션을 이용하여 조사자는 서로 다른 유형의 파일을 볼 수 있게 됩니다.

최근에 열람한 파일의 이름은 Preview.LSShardFile plist 파일에 저장됩니다.

Library > Preferences > com.apple.Preview.dock.plist

기본적으로 사용자는 Dock에 특정한 앱을 항상 갖고 있을 수 있습니다.

사용자들은 자신들의 Dock에 영구적인 앱(persistent apps)을 추가, 제거함으로써 최적화 할 수 있게 됩니다.

Library > Preferences > com.apple.loginitems.plist

윈도우의 ‘시작 프로그램’과 유사합니다.

로그인할 때 시작되도록 설정된 어플리케이션이 여기에 기록되어 있습니다.

보통 흔히 사용되는 어플리케이션은 운영체제가 시작할 때 동작되도록 설정되어 있기 마렵입니다.

원격 스토리지와 같은 원격 서비스는 대개 로그인 시 시작되도록 설정되어 있습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (14)

도깬리 — Sun, 3 Dec 2023 06:07:23 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 14회차 입니다. 모두 화이팅 하세요!!!

.Trash : Mac’s File Deletion

.Trash는 삭제된 파일이 포함되어 있는 숨겨진 폴더로 사용자 계정에서 발견됩니다.

.Trashes는 외부 저장장치(External media)에서 발견되기도 합니다.

GUI counterpart는 dock 안에 위치한 Trash를 보여 줍니다.

삭제된 파일은 .Trash로 보내고, 사용자가 지울 때 까지(until purged by the user) 남아 있게 됩니다.

Trash 안에 있는 동안 파일은 볼 수도 없고 사용할 수도 없습니다. 그렇게 하기 위해서는 다른 장소로 옮겨 져야 합니다. (휴지통에 있는 파일은 볼 수도, 사용할 수도 없다.)

어떠한 Recovery 프로세스도 허용되지 않습니다. 그 파일만 Trash에서 데스크탑 또는 다른 폴더로 드래그 되어야만 합니다.

Snow Leopard를 시작하면서 ‘Pull Back’ 기능이 반영되었습니다.

Trash가 비워질 때까지 해당 디스크 스페이스는 열리지 않습니다.

.Trash는 숨겨진 폴더이며, Finder에서 그것과 그 안의 파일을 보기 위해서는 권한을 변경하여야 합니다.

숨긴 파일까지 보게 하는 명령어

default write com.apple.finder AppleShowAllFiles TRUE

killall Finder

권한(Permission)이 재설정하면, .Trash를 Home 디렉토리에서 볼 수 있게 됩니다.

기본 모드로 되돌아 가는 명령어

defaults wirte com.apple.finder AppleShowAllFiles FALSE

killall Finder

터미널에서 .Trash를 볼 수 있습니다.

일반적인 ls 명령어로는 .Trash를 볼 수 없으므로. –a 스위치를 이용해야 하고, l은 추가적인 정보를 제공하게 합니다.

조사자는 .Trash 폴더로 디렉토리를 변경하고, 컨텐츠를 보여 주면 됩니다.

trash를 비우기 위해, 사용자는 Empty와 Secure Empty 둘 중 하나를 선택하여야 합니다.

<일반 삭제><휴지통 비우기>

Empty는 파일에 대한 디렉토리 엔트리를 삭제합니다.

<안전 삭제><휴지통 덮어쓰기>

Secure Empty는 파일 데이터를 7번 덮어쓴 다음 해당 파일에 대한 폴더 엔트리와 다른 참조정보를 덮어 씁니다.

Secure deletion은 Command Line에서 다음과 같은 명령어를 사용하여 수행할 수 있습니다.

l srm –mv <name of file>

Initial Data Gathering & Triage

대부분의 컴퓨터 포렌식 분석 보고 절차에는 획득 대상이 되고 보고서에 포함해야 할 시스템에 대한 기본 정보를 필요로 합니다.

Triage 프로세스는 분석의 우선 순위와 선별의 목적을 확실히 하기 위하여 여러 시스템에 대한 특정한 정보를 신속하게 수집하고 검토하는 절차입니다. (Triage processes quicky gather and review certain information about many systems in order to determine the analysis priority and/or exclusion.)

Mac 에서도 다음과 같은 정보를 해당 위치를 안다면 쉽게 찾을 수 있습니다.

- Operating system version

- User GUIDs

- Recent files

- Apps set to start at login

- Last User Logged In

- Apps on the user’s Dock (non-stock)

System > Library > CoreServices > SystemVersion.plist

var > db > dslocal > nodes > Default > users > <user>.plist

OS 10.7에서 사용자가 계정을 만들게 되면 GUID가 생성되어 plist 파일에 저장됩니다.

UID도 마찬가지로 저장된다.

Library > Preferences > com.apple.loginwindow.plist

시스템에서 loginwindow.plist 파일에는 마지막으로 사용자가 로그인한 정보가 포함되어 있습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (13)

도깬리 — Thu, 30 Nov 2023 06:11:00 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 13회차 입니다. 모두 화이팅 하세요!!!

Notes

Notes는 .notesexternalrecords 라는 파일 확장자로 저장됩니다.

Notes 파일은 다음의 경로에서 찾을 수 있다.

~/Library/Containers/com.apple.notes/Data/Library/CoreData/ExternalRecords/<string>/

Note, NoteAction & NoteBody 디렉토리에 데이터가 저장되어 있습니다.

POV

Notes를 통해 복사된 것은 사용자의 POV에서 볼 수 있습니다.

날짜와 시각은 notes를 마지막으로 수정한 때를 보여줍니다.

생성시각을 확인하기 위해서는 다음의 경로에서 발견되는 .notesexternalrecords 파일에서 확인해야 합니다.

Library/Containers/com.apple.Notes/Data/Library/CoreData/ExternalRecords/<string of numbers>/Note/ _records/0

Library/Containers/com.apple.Notes/Data/Library/CoreData/ExternalRecords/<string of numbers>/NoteBody/ _records/0

~Library/Containers/com.apple.Notes/Data/Library/Notes/NotesV4.storedata

NotesV4.storedata 파일은 SQLite 데이터베이스 포맷입니다.

사용자 계정 정보는 ZACCOUNT 안에 저장되어 있습니다.

ZNOTEBODY 테이블은 HTML 형식으로 메모를 갖고 있습니다.

Reminders (일정관리 앱)

Reminders를 사용하여 해야할 목록(to-do lists)과 알람(alarms) 설정을 할 수 있습니다.

추가적으로 위치 기반 일정관리 앱(location based reminders)을 설정할 수 있습니다.

Reminders는 ~/Library/Calendars 폴더 안에서 발견됩니다.

각각의 Reminder는 .ics 파일 형태로 저장되어 있습니다.

.ics 파일은 QuickLook으로 볼 수 있습니다.

Completed와 Needs Action 둘 모두 저장됩니다.

Event 폴더 안의 plist는 Reminders 디렉토리 처럼 Calendar를 식별할 수 있습니다.

/Calendars 디렉토리의 Root에서 발견되는 Calendar cache는 SQLite 파일 포맷이고, 여기에는 각 Calendar의 주소와 Geo-based location reminders를 위한 다양한 정보를 포함하고 있습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (12)

도깬리 — Sun, 26 Nov 2023 06:52:30 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 12회차 입니다. 모두 화이팅 하세요!!!

Library – Preferences > com.apple.iChat.plist

Messages plist는 iChat 아래에 존재합니다.

Plist 파일은 어플리케이션의 설정과 사용자 정보를 포함합니다.

사용자의 계정은 UID에 의해 식별됩니다.

GUID 가 chat.db 파일 아래에서 발견될 수 있고 사용자가 다른 메시지 대화를 위해 사용한 계정을 식별할 수 있습니다.

RecentChats는 사용자가 메시지와 함께 사용하였던 계정을 보여줍니다.

또한 사용자가 채팅한 계정도 보여줍니다.

jabber plist 파일은 관련된 Gmail account에 대한 상세한 사항을 보여줍니다.

계정명과 계정 GUID가 어디에서 일치하는 지 주목하여야 합니다.

Library > Preferences > com.apple.iChat.Yahoo.plist

Yahoo plist는 야후 계정에 대한 상세한 사항을 보여줍니다.

계정명과 계정 GUID가 일치하는지 주목하여야 합니다.

Library > Preferences > com.apple.imservice.iMessage.plist

iMessage plist는 iCloud 계정에 대한 상세한 사항을 보여줍니다.

계정명과 계정 GUID가 일치하는지 주목하여야 합니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (11)

도깬리 — Fri, 24 Nov 2023 05:56:59 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 11회차 입니다. 모두 화이팅 하세요!!!

Messages

아이클라우드를 통해 아이폰, 아이패드 등과 동기화가 됩니다.

Library > Messages > Archive

Messages는 ~/Library/Messages/Archive 아래에 저장됩니다.

각각의 archive 폴더안에는 각각의 대화에 대한 chat transcript 파일이 존재합니다.

Chat transcript 파일은 채팅한 상대방 계정명을 파일명으로 하고 날짜와 시간 값을 포함합니다.

Messages는 QuickLook으로 볼 수 있습니다.

사용자가 백업할 수 없을지라도 활성화된 메시지는 채팅이 종료하거나 삭제될 때 까지는 계속 남아 있을 겁니다.

Library > Messages > Attachments

관련 폴더에는 공유된 파일의 사본을 포함합니다.

chat.db 파일 안에 파일을 식별하는 UID 값을 가진 폴더가 존재합니다.

Quick Look으로 볼 수 있습니다.

Library > Messages > chat.db

메시지, 발송 날짜 및 읽은 날짜를 분석할 수 있습니다.

메시지는 UID로 식별 가능합니다.

사용자들의 계정은 GUID에 의해 식별됩니다.

첨부된 파일에 대한 데이터가 여기에서 확인될 수도 있습니다.

Outgoing/Incoming 플래그가 존재합니다. (Outgoing : 1)

생성날짜가 기록되어 있습니다.

첨부된 파일은 UID로 식별됩니다.

Handle 테이블과 Chat 테이블은 사용자가 채팅한 사람들에 대한 상세한 정보를 갖고 있습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (10)

도깬리 — Wed, 22 Nov 2023 06:18:27 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 10회차 입니다. 모두 화이팅 하세요!!!

iPhoto

iPhoto는 애플의 iLife Suite의 일부이고 Mac에서 찾아 봐야 할 일반 어플리케이션중 하나입니다.

iPhoto를 이용하여 사용자는 사진을 관리하고 편집할 수 있게 됩니다.

다음과 같은 기능을 포함합니다.

- Faces : 얼굴인식 기능

- Places : 위치기반 분류 기능

- Events : 날짜기반 분류 기능

카메라/디바이스는 자동으로 iPhoto와 연동됩니다.

PhotoStream과 동기화되어 iOS로 찍은 사진은 iPhoto에 자동으로 나타날 수 있습니다.

이메일 및 Facebook과 통합 기능도 가능합니다.

Pictures – iPhoto Library

iPhoto는 하나의 패키지 파일 형식으로 사진을 저장합니다. 따라서 일반 사용자는 쉽게 접근할 수 없을 수도 있습니다.

패키지 또는 bundle 파일안에 iPhoto library 등 관련 파일이 존재합니다.

Photo Library를 우클릭하고 Show Package Contents를 클릭하면 내포된 데이터(bundled data)가 보일 겁니다.

iPhoto는 Masters 폴더안에 imported photos를 저장하고, 만약 수정하게 되면 사본은 Preview 폴더에 위치할 겁니다.

Thumbnails 폴더에는 Library photos에 대한 추가적인 사본이 포함되어 있습니다.

Library.iPhoto, AlbumData.xml, Database 디렉토리에는 Photo metadata, album, film roll information이 존재합니다.

iPhoto는 모든 이미지에 대한 썸네일을 library안에 생성하고 Thumb Segment files 형식으로 저장하여 둡니다.

예) Thumb32Segment.data, Thumb64Segment.data

이것은 어플리케이션이 시작할 때 이미지를 로드하는 속도를 향상시키는데 도움을 줍니다.

해당 파일에는 library와 예전에 사용하였던 아이폰과 같은 디바이스에서 삭제된 이미지가 존재할 가능성도 있습니다.

ThumbJPGSegment 파일에는 파일에 대한 실제 썸네일이 포함되어 있습니다.

Library – Preferences > com.apple.iPhoto.plist

iPhoto plist 파일에는 사용자 이름, 관련된 메일에 대한 정보가 들어 있습니다.

뿐만 아니라 조사자는 Photo Library에 대한 경로도 찾을 수 있고, 특히 이것은 기본 경로를 사용하지 않고 사용자가 임의로 경로를 잡은 경우 조사에 도움이 될 수 있습니다.

Pictures – Photo Booth Library

Photo Booth를 통해 사용자는 내장된 FaceTime 카메라로 일반 또는 효과를 적용하여 사진이나 동영상을 찍을 수 있게 됩니다

해당 어플리케이션으로 배경을 넣을 수도 있고 영화도 찍을 수 있습니다.

파일은 Photo Booth Library 라고 명명된 bundle file 안에 User’s Picture 폴더 안에 저장됩니다.

위 파일을 보기 위해서는 조사자는 우클릭하고 Show Package Contents를 클릭해야 합니다.

사용자에 의해 삭제되지 않은 한, 사진은 해당 폴더에 남아 있을 겁니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (09)

도깬리 — Sun, 19 Nov 2023 06:12:28 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 9회차 입니다. 모두 화이팅 하세요!!!

Library > Application Support > Google > Chrome > Default

Bookmarks, Cookies, History, Search History, Autofill History가 하위 아티팩츠입니다.

많은 아티팩츠가 날짜와 시간 정보를 갖고 있습니다.

상당수의 Document 파일이 Plist 형태이며 열람 가능합니다.

또다른 파일 포맷으로는 SQLite Databases도 있습니다.

Library > Application Support > Google > Chrome > Default > Bookmarks

URL, Name, Folder located in, Date added, Data modifed 가 주요 분석대상입니다.

Library > Application Support > Google > Chrome > Default > Cookies

Cookie name, Create time, Last access time 이 주요 분석대상입니다.

Library > Application Support > Google > Chrome > Default > History

keywords_search_terms 테이블에는 검색 단어(search term)를 포함하고 있습니다.

urls 테이블은 URL History를 갖고 있으며, 주요 분석대상은 아래와 같습니다.

- visit count

- time of last visit

downloads 테이블에서 다운로드 이름, 경로, 시간 정보를 분석할 수 있습니다.

Examining Chrome – Library > Caches > Google > Chrome > Default > Cache

임시 저장된 웹사이트의 개별 조각들이 존재합니다.

QuickLook으로 볼 수 있는 아티팩츠 입니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (08)

도깬리 — Thu, 16 Nov 2023 06:34:54 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 8회차 입니다. 모두 화이팅 하세요!!!

Safari & Private Browsing Option

시크릿 모드, 개인정보 보호 모드에 관한 것 입니다.

TopSites.plist는 갱신되지 않습니다.

LastSession.plist는 갱신되지 않습니다.

History.plist는 갱신되지 않습니다.

Cache.db는 개인정보 모드에서 나갈때 지워집니다.

이 옵션이 설정되어 있는지 Safari.plist 파일을 보고 확인하여야 합니다.

저장경로는 user/Library/Preferences/com.apple.Safari.plist 입니다.

Examining Firefox

Firefox는 여전히 Mac 에서 가장 흔히 사용하는 브라우저 중 하나이고, crossplatform 입니다.

2015년 11월 현재 Firefox는 1.7% 정도이며, 사용량이 Safari에 비해 떨어집니다.

Mac 에서의 파이어폭스 해시값을 절차가 진행하는 도중에 확인할 수 있습니다.

Identify Verion of Firefox

파이어폭스의 버전은 다음의 위치에서 확인합니다.

Application/Firefox/Contents/info.plist

증거 이미지를 조사관의 워크스테이션으로 복사하여야 합니다.

Examining Firefox

/<users>/Application Support/Firefox/ 의 컨텐츠를 복사하여야 합니다.

/<users>/Library/Caches 아래에 발견되는 것을 주목하여야 합니다.

조사자의 분석용 시스템에 Firefox를 무결하게 설치하여야 합니다.

조사자의 시스템에서 몇몇 폴더와 파일을 삭제합니다.

삭제된 디렉토리와 파일을 혐의자의 컴퓨터에서 조사자가 복사한 것으로 대체합니다.

Firefox를 시작하기 전에 반드시 인터넷과 단절시켜야 합니다.

Examining Firefox – Library > Application Support

사용자 디렉토리 아래 /Library/Application Support 아래에는 Firefox에 주목해야 할 또 다른 항목들이 존재합니다.

이들 항목 중 대부분의 것은 Text viewer, SQLite viewer, Firefox로 열람 가능합니다.

- Bookmarksbackups 폴더

- Cookies.sqlite

- Downloads.sqlite

- search.json

- signons3.sqlite

Examining Firefox

조사자의 시스템에서 Firefox가 시작되었으면 다음과 같이 입력합니다.

- about:cache

URL과 용의자의 캐시의 내용이 보여질 겁니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (07)

도깬리 — Mon, 13 Nov 2023 06:13:00 +0900

안녕하세요. 도깬리 포렌식스 입니다.

많이 추워졌네요. 오늘은 Mac 아티팩츠 분석 7회차 입니다. 모두 화이팅 하세요!!!

Viewing Safari Cache (.db files)

Cache.db는 sqlite3 명령어를 터미널에서 사용하여 분석할 수 있습니다.

아래의 그림은 SQLite 명령어를 실행하여 방문하였던 웹사이트의 히스토리를 보는 것 입니다.

FileJuicer를 이용하면 Safari cache.db 파일을 더 쉽게 볼 수 있습니다.

File Juicer - Extract images from PDF, PowerPoint, Word, Excel and other Files on Windows (echoone.com)

FileJuicer는 Safari를 포함하여 몇 개 유형의 caches를 파싱하는 기능을 갖고 있습니다.

FileJuicer는 cache.db 파일을 파싱하고 그 결과물을 파일 유형별로 각각의 폴더에 내보내기 하는 기능도 갖고 있습니다.

즉, SQLite DB를 읽어 들여 파일을 유형별로 추출해 줍니다.

Library > Cookies (New Format)

Safari Cookies는 Cookies.binarycookies 파일에 저장됩니다.

Library > Safari > Downloads.plist

Safari를 이용하여 다운로드한 파일에 대한 데이터를 포함합니다.

저장된 파일 경로, 다운로드한 파일 이름과 URL를 확인할 수 있습니다.

Library > Safari > Lastsession.plist

웹브라우저에서 활성화된 웹사이트에 대한 기록을 확인할 수 있습니다.

여러 개의 탭이 Plist의 다수의 엔트리에 기록되어 있을 겁니다.

사용자의 행위에 맞추어 즉시 갱신되는 데이터 입니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (06)

도깬리 — Sat, 11 Nov 2023 04:57:06 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 6회차 입니다. 모두 화이팅 하세요!!!

Library > Safari > Bookmarks.plist

기본 데이터와 사용자 북마크 데이터는 plist 파일안에 저장되어 있습니다.

만약 북마크가 iCloud와 동기화되어 있다면 서버에도 남아 있을 수 있습니다.

.webbookmark라는 확장자를 갖고 있습니다.

파일의 내용은 QuickLook으로 쉽게 볼 수 있습니다.

Library > Cache > com.apple.Safari

Cache.db 파일은 Safari를 통해서 열람하였던 모든 웹페이지의 컨텐츠가 위치하는 곳 입니다.

Webpage Previews는 사용자가 방문하였던 웹페이지의 스냅샷을 포함하는 디렉토리입니다.

Library > Cache > com.apple.Safari > Webpage Previews

사용자는 Safari에서 웹 히스토리를 검색할 수 있습니다.

방문했었던 각 웹페이지의 .jpeg와 .png는 사용자의 Library에 저장됩니다.

QuckView를 이용하여 webpage를 미리 보기할 수 있습니다.

각 라인마다 ‘스페이스바’를 눌러 조사합니다.

Library > Preferences > com.apple.safari.plist

최근 인터넷 검색단어를 확인할 수 있는 plist 파일입니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (05)

도깬리 — Thu, 9 Nov 2023 06:25:46 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 5회차입니다. 모두 화이팅 하세요!!!

Safari 10.4.10+

Safari V3는 SQLite .db 포맷의 도입으로 말미암하 캐싱하는 새로운 방식을 시도하였습니다.

대부분의 사파리 데이터는 다음 4개의 경로에서 발견됩니다.

~/Library/Safari/

~/Library/Caches/com.apple.Safari/

~/Library/Caches/Metadata/

~/Library/Preferences/com.apple.Safari.plist

Library > Safari (v6)

- Bookmarks.plist

특정 사용자의 북마크를 포함합니다.

- Download.plist

특정 사용자가 다운로드한 파일의 이력을 포함합니다. 다만 관련 이력이 비어있을 수도 있습니다.

- History.plist

URL 브라우징 히스토리입니다.

- Last Session.plist

Safari에서 마지막으로 원도우가 오픈한 정보를 갖고 있습니다.

- TopSites.plist

사용자가 가장 빈번하게 열람한 웹사이트를 기록하여 둔 곳입니다.

Library > Safari > TopSites.plist

Safari (v4~v8)는 ‘Coverflow’를 사용하며, 사용자의 방문 빈도가 높은 순서로 10개의 웹사이트를 보여줍니다.

다음의 정보를 포함하여 TopSites.plist에 저장합니다.

- Last Modified Date

- URL for the site

- Tile of the site

Library > Safari > History.plist

인터넷 히스토리 정보를 포함한 plist 파일입니다.

URL, Title of page, Last Visited Date 정보를 포함합니다.

Library > Caches > Metadata > Safari > History

.webhistory 라는 확장자를 갖는 파일 안에 인터넷 히스토리가 저장됩니다.

파일의 내용은 QuickLook을 이용하여 쉽게 열람 가능합니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (04)

도깬리 — Tue, 7 Nov 2023 06:09:06 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 4회차 입니다. 날씨가 추워졌네요. 모두 화이팅 하세요!!!

Mail > Entourage (versions 2004, 2008)

MS Entourage는 메일 어플리케이션으로, Mac용 Office 2004에 최초 포함되었습니다. 이것은 윈도우용 MS Outlook과 유사합니다.

MS Entourage는 메일 메시지를 전용 데이터베이스 파일에 저장하는데, 이것은 Documents 폴더 안에 위치합니다.

이 파일은 3rd 파티 어플리케이션인 Weird Kid software사의 Emailchemy를 이용하여 변환하는 것이 좋습니다.

Emailchemy를 시작하면 MS User 데이터 폴더의 위치를 지정할 것인지 확인하는 단계를 거치게 됩니다.

Convert를 선택한 후, 변환 포맷을 선택하는 옵션을 만나게 됩니다.

새롭게 변환된 이메일을 포함하는 폴더가 생성됩니다.

Library > Caches > Entourage Mail

MS Entourage 메일 메시지는 Library 캐시 안의 하위 디렉토리에서도 발견 될 수 있습니다.

<Username>/Library/Caches/Metadata/Microsoft/…

이러한 파일은 .vRegMessage 확장자를 갖고 있습니다.

이 파일은 TextEdit로 열람 가능합니다.

Library > Caches > Entourage Contacts

MS Entourage 연락처는 Library 캐시 안의 하위 디렉토리에서도 발견 될 수 있습니다.

<Username>/Library/Caches/Metadata/Microsoft/…

이러한 파일은 .vRegContact 확장자를 갖습니다.

이 파일은 .plist 파일이고, Property List Editor로 열어볼 수 있습니다.

Outlook for Mac - ~/Documents/Microsoft User Data/Office 2011 Identities/Main Identity/Data Records/Message Sources

Messages는 Outlook for Mac에서의 인덱싱을 위해 변환될 수 있습니다.

메시지는 사용자의 Documents 폴더에서 찾을 수 있습니다.

메시지에 대한 확장자는 .olk14MsgSource 입니다.

일반적인 텍스트 편집기로 열고 읽을 수 있으며, Emailchemy와 같은 Toolbox 메뉴에서 Advanced Conversion을 클릭하여 변환할 수도 있습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (03)

도깬리 — Sat, 4 Nov 2023 06:43:55 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 3번째 시간입니다. 모두 화이팅하세요!!!

Mail Application v6

Standard Mailbox Access Protocols 입니다.

메일은 POP이나 IMAP으로 수신합니다.

위 2개의 프로토콜은 SSL 연결로 암호화 되었을 겁니다.

iCloud는 IMAP을 기본으로 합니다.

Standard Mailbox Sending Protocols

메일은 SMTP로 송신합니다.

SMTP도 SSL 연결로 암호화 가능합니다.

iCloud는 보안 SMTP를 기본으로 합니다.

Microsoft Exchange Server 2007 or Newer Supported

메일은 Exchange Web Services 프로토콜에 의존합니다.

iCalendar 파일은 WebDav 서버에 존재합니다.

Library > Mail > V2

애플의 메일은 Mail 디렉토리 내부의 사용자 디렉토리안에 존재합니다.

V2 폴더 안에서 모든 사용자 계정이 발견될 것 입니다.

각각의 계정별 디렉토리 안에는 추가적인 .mbox 디렉토리가 존재할 것 입니다.

Messages 디렉토리가 발견될 때 까지 하위 폴더로 계속 내려가 조사해야 합니다. 해당 디렉토리에는 개별 메시지가 포함되어 있을 겁니다.

각 메일에서 다운로드된 첨부파일은 Mail Downloads 폴더에서 발견될 수 있습니다.

Library > Mail > V2 > Mail Data > Accounts.plist

Account.plist는 조사 대상 컴퓨터에 등록된 메일 계정을 찾기 위한 좋은 아티팩츠 입니다.

.plist 파일에는 사용자 이름, 계정 유형, 계정의 경로가 포함되어 있습니다.

Library > Containers > com.apple.mail > Data, Library > Preferences > com.apple.mail.plist

메일은 해당 어플리케이션 내부에 완성된 마지막 검색어를 기록해 둡니다.

다음의 키를 찾아야 합니다.

- SGTMailSuggestionsearchField

검색어는 연대순(in chronological order)으로 나열되어 있습니다.

여기에서, 0값이 가장 마지막 검색어입니다.

Library > Mail > V2 > MailData > Envelope Index

Envelope Index는 Mail 어플리케이션 내부의 이메일에 관한 데이터를 포함하고 있으며, SQLite DB 파일 형태입니다.

DB Browser for SQLite 3 또는 4 버전 <-- Yesemite에서 잘 동작합니다.

이메일이 위치하며, 첨부파일과 추가적인 정보를 포함합니다.

이메일에 관한 메타데이터를 갖고 있으며, Mail 어플리케이션 내부의 빠른 검색을 지원합니다.

위 데이터베이스에는 현재 살아 있는 이메일에 관한 정보를 보관하도록 설계되어 있으나, 삭제된 메시지에 관한 정보가 남아 있을 수도 있습니다.

Envelop Index에는 수많은 테이블이 존재하는데, 관심을 갖고 조사해야 할 테이블은 다음과 같습니다.

- addresses

- attachments

- mailboxes

- messages

- subjects

Library > Mail > V2 > MailData > Envelop Index

addresses 테이블에는 이메일 주소와 관련된 이메일의 이름이 포함합니다.

attachments 테이블에는 각 첨부파일의 이름과 message ID를 포함합니다.

Mailbox 테이블에서는 로컬 메일박스의 경로와 계정명, 모든 등록된 RSS 피드를 보여줍니다.

Message 테이블에는 각각의 이메일에 대한 다음과 같은 다양한 정보가 포함되어 있습니다.

- Message ID

- 송수신 날짜, 만든 날짜

- 마지막으로 열람한 날짜

- 메시지 내용 일부 (Message content snippet)

Subjects 테이블에는 이메일의 제목 라인이 저장되어 있습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)

[Mac Forensics] Mac 아티팩츠 분석 (02)

도깬리 — Thu, 2 Nov 2023 06:19:57 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac 아티팩츠 분석 두번째 시간 입니다. 모두 화이팅 하세요!!!

Contacts Application

Internet Based ContactServices

- iCloud, Yahoo, Gmail

- CardDav Contact Sharing

- Exchange 2007 or Newer Contact Sharing

- Directory Service Contacts

Library > Application Support > AddressBook > sources > (string) > metadata

연락처(Contact Information) 정보는 Metadata 폴더 안의 .abcdp 라는 확장자로 된 파일에 저장되어 있습니다.

이 파일은 Property List 파일이며, Xcode 나 Quickview와 같은 프로그램으로 열람할 수 있습니다.

Library > Application Support > AddressBook > sources > (string) > Images

Images 폴더에는 Address Book 안의 연락처에 결부된 이미지가 저장되어 있습니다.

jpeg 포맷이며 QuickView와 같은 프로그램으로 열람할 수 있습니다.

Library > Calendars > Calendars (10.5.2+)

Leopard 10.5.2(2007년~) 이후로 Calendar events의 위치가 바뀌었습니다.

Calendars 라는 경로명을 갖게 되었습니다.

각각의 Calendar는 .calendar 또는 .caldav라는 확장자를 갖는 폴더 안에 저장되어 있습니다.

이들 각각의 폴더 안에 존재하는 개별 이벤트는 .ics 파일로 저장되어 있습니다.

info.plist 파일 안에는 캘린더의 이름을 포함하여 캘린더에 대한 상세한 사항이 저장되어 있습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : Magnet AXIOM Examinations (AX200)

[Mac Forensics] Mac 아티팩츠 분석 (01)

도깬리 — Sun, 29 Oct 2023 07:10:57 +0900

안녕하세요. 도깬리 포렌식스 입니다.

오늘은 Mac에서의 주요 아티팩츠에 대해 알아보겠습니다. 모두 화이팅 하세요!!!

Users Directory

일반적으로 파일은 사용자의 홈 디렉토리 내부의 기본 경로에 위치하게 됩니다.

‘Users’ 디렉토리는 하드드라이브의 최상위 root에 위치합니다.

‘Home’ 디렉토리는 일반적으로 사용자의 이름으로 표시됩니다.

‘Shared’ 디렉토리는 로컬 시스템의 다른 사용자가 접근하여 읽고 쓸수 있는 파일을 모아 놓은 곳 입니다.

User > Library

Library 디렉토리에는 resources, 사용자 환경 설정, 각 개별 사용자에 대한 데이터가 저장되어 있습니다.

이것은 Windows 시스템의 ‘Documents and Settings’폴더와 레지스트리를 합친 것과 비슷한 개념입니다.

즉, 포렌식 분석 측면에서 ‘Forensic Goldmine’ 입니다.

사용자의 Library를 global and universal 설정을 포함하는 Global Library 디렉토리와 혼동하지 않도록 주의 합니다.

User > Library > Preferences

어플리케이션의 설정파일은 Plists 파일에 저장됩니다.

프로그램이 업데이트되면 설정정보를 Plists에 반영하게 됩니다.

Preferences 폴더는 아티팩츠 분석을 위한 또 하나의 중요한 정보라고 할 수 있습니다.

어플리케이션이 설치되거나 처음으로 동작하게 되면 해당 어플리케이션의 Plist 날짜와 시각이 모두 동일할 것 입니다.

이러한 현상은 새로운 데이터가 Plist에 추가될 때에도 마찬가지 입니다.

새로운 파일이 생성될 때 각각의 시간 데이터가 추가되기 마련입니다.

User > Library > Containers

Containers는 Sandbox 어플리케이션에 이용됩니다.

Users와 마찬가지로, 하나의 어플리케이션이 권한 없이 다른 어플리케이션에 영향을 끼칠수 없습니다.

어플리케이션 폴더 내부의 디렉토리는 사용자 디렉토리 구조와 비슷합니다.

대부분의 파일은 공간을 절약하기 위해 Hard Links 형태로만 존재합니다.

User > Library > Preferences > com.apple.recentitems.plist

마지막 10개의 접근 문서를 확인할 수 있습니다.

마지막 10개의 접근한 어플리케이션을 확인할 수 있습니다.

마지막 10개의 접근한 서버를 알 수 있습니다.

감사합니다. 오늘도 즐거운 하루 되세요.

"좋아요"와 "구독하기"는 힘이 됩니다.

참고문서 : MAC Forensics Training Event 2016 (IACIS)