DFAS Pro를 활용한 Data Leakage Hacking Case 컴퓨터 포렌식 분석

01장 디지털포렌식 개념 및 기초

02장 CFReDS : Data Leakage Case
(1) CFReDS란?
(2) Data Leakage Case 다운로드
(3) Data Leakage Case 시나리오
(4) 사내 보안정책
(5) 기타
(6) 분석 대상 정보

03장 PC정보 수집
(1) 각 이미지의 해시 값을 확인하고 검증하시오
(2) PC 이미지의 파티션 정보를 확인하시오
(3) 설치된 OS는 무엇인가? (설치 날짜, OS이름, 등록된 소유자/조직 등)
(4) 시간대(timezone) 정보는 무엇인가?
(5) 컴퓨터의 이름은 무엇인가?
(6) 모든 계정의 상세 정보를 나열하시오.(계정 명, 마지막 로그인 시각, 로그인 횟수 등)
(7) 마지막으로 로그온한 사용자는 누구인가?
(8) 마지막 시스템 종료 시각은 언제인가?
(9) DHCP에 할당된 IP 주소는 무엇인가?
(10) OS 설치 후 용의자가 설치한 프로그램은 무엇인가?

04장 사용자 행위 분석
(11) 응용프로그램 실행 로그를 나열하시오.(실행 경로, 실행 시간, 실행 횟수 등)
(12) 시스템 시작/종료, 로그온/로그오프 기록을 찾으시오.(문제 4의 시간대를 기준으로 09:00 ~ 18:00사이의 시간 범위만 고려)
(13) 사용된 웹 브라우저는 무엇인가?
(14) 웹 브라우저 기록과 관련한 디렉터리/파일 경로를 나열하시오.
(15) 용의자가 접근한 웹 사이트를 나열하시오.
(16) 웹 브라우저를 사용해 검색한 모든 키워드를 나열하시오.
(17) 윈도우 탐색기 검색창에 타이핑한 모든 검색 키워드를 나열하시오.
(18) 이메일에 사용된 응용프로그램은 무엇인가?
(19) 이메일 파일의 모든 위치를 나열하시오.
(20) 용의자의 이메일 계정은 무엇인가?
(21) 용의자의 모든 이메일을 나열하고, 가능하면 삭제된 이메일을 찾으시오.(힌트 : OST 파일만 검색)
(22) 시스템에 연결된 모든 외장저장장치를 나열하시오.
(23) 바탕화면 폴더에서 '이름 바꾸기'와 관련한 모든 흔적을 식별하시오. (2015-03-23~2015-03-24 날짜 범위만 고려)
(24) 회사의 공유 네트워크 드라이브의 IP 주소는 무엇인가?
(25) 'RM #2'에서 탐색된 모든 디렉터리를 작성하시오.
(26) ''RM #2'에서 열어본 모든 파일을 나열하시오.
(27) 회사 네트워크 드라이브에서 탐색된 모든 디렉터리를 나열하시오.
(28) 회사 네트워크 드라이브를 통해 열어본 모든 파일을 나열하시오.
(29) 시스템에서 클라우드 서비스와 관련된 흔적을 찾으시오. (서비스 이름, 로그 파일 등)
(30) 구글 드라이브에서 삭제된 파일은 무엇인가? 파일명과 수정 시간을 찾으시오.(구글 드라이브 트랜잭션 로그 확인)
(31) 구글 드라이브 동기화를 위한 계정은 무엇인가?
(32) CD-R 굽기에 사용된 방법(또는 소프트웨어)는 무엇인가?
(33) 용의자는 언제 CD를 레코딩 하였는가?
(34) 시스템에서 CD-R로 복사된 파일은 무엇인가?
(35) CD-R에서 열어본 파일은 무엇인가?
(36) 바탕화면의 사직서 파일과 관련한 모든 타임 스탬프를 조사하시오.
(37) 용의자가 사직서를 인쇄한 시각은 언제인가?
(38) Thumbcache 파일의 위치는 어느 경로인가?
(39) Thumbcache에 저장된 기밀 파일의 흔적을 찾으시오.
(40) 스티커 메모 파일의 경로는 어디인가?
(41) 스티커 메모 파일에 저장된 메모를 확인하시오.
(42) 윈도우 '검색 및 색인' 기능이 활성화 되어 있는가? 'windows Search' 색인 데이터베이스의 위치는 어디인가?
(43) Windows Search DB에 저장된 데이터는 무엇인가?
(44) Windows Search DB에서 Internet Explorer 사용량과 관련한 흔적을 찾으시오.(2015-03-23 ~ 2015-03-24 사이의 기간만 고려)
(45) Windows Search DB에 저장된 Email 통신 흔적을 찾으시오. (2015-03-23 ~ 2015-03-24 사이의 기간만 고려)
(46) Windows Search DB에 저장된 윈도우 바탕화면과 관련된 파일과 디렉터리 흔적을 찾으시오. (User\informant\Desktop)
(47) 볼륨 쉐도우 카피의 위치와 각 복사본 파일의 생성 시각은 언제인가?
(48) 볼륨 쉐도우 카피에서 구글 드라이브 서비스와 관련한 흔적을 찾으시오.
(49) 구글 드라이브에서 삭제된 파일은 무엇인가? VSC내 snap shot.db의 cloud_entry 테이블에서 삭제된 레코드를 찾으시오.
(50) VSC에서 아웃룩 전자메일 데이터를 찾을 수 없는 이유는 무엇인가?
(51) 시스템의 휴지통을 조사하시오.
(52) 마지막 날인 '2015-03-25'에 시스템에 행해진 안티포렌식 행위는 무엇인가?
(53) 'RM#2'에서 삭제된 파일을 복구하시오.
(54) 'RM#2'에 행해진 안티포렌식 행위는 무엇인가?
(55) 시스템에서 'RM#2'로 복사된 파일은 무엇인가?
(56) CD-R 'RM#3'에 숨겨진 파일을 복구하시오.
(57) CD-R 'RM #3'에 행해진 안티포렌식 행위는 무엇인가?
(58) 데이터 유출 타임라인을 구성하시오.
(59) 용의자가 수행한 데이터 유출 방법을 열거하고 설명하시오.
(60) 결과 요약에 대한 시각적 다이어그램을 만드시오.

05장 CFReDS : Hacking Case
(1) Hacking Case 다운로드
(2) Hacking Case 시나리오
(3) Hacking Case 이미지 파일 및 문제 리스트

06장 PC 정보 수집
(1) 이미지의 해시 값을 확인하고 검증하시오
(2) 설치된 OS는 무엇인가?
(3) OS가 설치된 날짜는 언제인가?
(4) 시간대(timezone) 정보는 무엇인가?
(5) 등록된 소유자(Registered owner)는 누구인가?
(6) 컴퓨터의 이름은 무엇인가?
(7) 작업 그룹(Primary Domain)은 무엇인가?
(8) 마지막 시스템 종료 시각은 언제인가?
(9) 등록된 계정은 몇 개인가?
(10) 컴퓨터를 가장 많이 사용하는 계정은 무엇인가?
(11) 마지막으로 로그온한 사용자는 무엇인가?

07장 사용자 행위 분석
(12) Greg Schardt가 Mr.Evil이고 이 컴퓨터의 관리자임을 증명하는 파일은 어떤 파일이고, 어떤 프로그램과 관련이 있는가?
(13) 이 컴퓨터가 사용하는 네트워크 카드는 무엇이 있는가?
(14) 이 컴퓨터의 IP주소와 MAC 주소를 기록한 파일이 있다. IP주소와 MAC주소는 무엇인가
(15) LOOK@LAN 설치 및 설정 시 사용된 네트워크 인터페이스 카드는 무엇인가?
(16) 해킹에 사용된 것으로 추정되는 설치된 응용프로그램 6개는 무엇인가?
(17) Mr.Evil의 SMTP 이메일 주소는 무엇인가?
(18) Mr.Evil의 NNTP(News Server) 서버 설정은 무엇인가?
(19) 해당 정보(NNTP)를 보여주는 프로그램 두개는 무엇인가?
(20) Mr.Evil이 구독한 5개의 뉴스 그룹은 무엇인가?
(21) MIRC라 불리는 인기 IRC 프로그램이 설치되어 있다. 사용자가 온라인 상태로 채팅 채널에 있을 때 표시되는 사용자 설정은 무엇인가?
(22) MIRC는 세션을 기록하는 기능이 있다. 이 컴퓨터의 사용자가 접속한 IRC 채널 3개를 나열하라.
(23) 스니핑 프로그램 "Ethereal"이 설치된 것으로 확인된다. TCP 패킷을 수집할 때 가로챈 데이터를 포함하는 파일은 USER의 기본 디렉터리에 저장된다. 해당 파일의 이름은 무엇인가?
(24) 23번 문제에서 확인한 파일을 텍스트 형식을 보면 누가 무엇을 도청했는지에 대한 다양한 정보를 확인할 수 있다. 피해자는 어떤 유형의 컴퓨터를 사용했는가?
(25) 피해자가 접근한 웹 사이트는 무엇인가?
(26) 메인 사용자의 웹 기반 이메일 주소는 무엇인가?
(27) 웹 기반 이메일 서비스인 야후 메일은 이메일 사본을 어떤 이름으로 저장하는가?
(28) 휴지통에 몇 개의 실행파일이 있는가?
(29) 휴지통에 있는 실행 파일은 정말로 삭제되었는가?
(30) 파일 시스템에 의해 삭제된 것으로 표시된 파일은 몇 개인가?
(31) 안티 바이러스(백신프로그램)를 실행했을 때, 해당 컴퓨터에서 바이러스가 검출되는가?

박원형