디스크 이미징란?
디스크 이미징은 디지털 포렌식에서 저장매체에 복제본인 디스크 이미지를 만드는 과정입니다. 예시로 HDD, SSD와 같은 데이터 저장하는 매체를 복제하는거라고 생각하면 됩니다.
디스크 이미징이라는 것을 할 때 가장 많이 사용하는 것이 바로 FTK Imager라는 도구입니다.
환경 구축
FTK Imager 설치하기
디지털 포렌식에서 디스크의 이미지를 다운로드받을 때 가장 많이 사용하는 것은 FTK Imager이다.
사용 방법
위 돋보기 모양을 누를 경우, 디스크 이미지를 복제할 때 4가지 방식으로 선택해서 할 수 있습니다.
| 메뉴 | 의미 |
|---|---|
| Physical Drive | 물리적인 드라이브 프로그램을 추가 |
| Local Drive | 논리적인 드라이브를 프로그램에 추가 |
| Image File | 디스크 이미지 파일을 프로그램에 추가 |
| Contents of a Folder | 특정 폴더의 파일들을 프로그램에 추가 |
우리는 이중에서 Physical Drive를 가지고 진행하겠습니다.
다음과 같이 어떤 물리적 장치를 가져올지 선택할 수 있습니다. 여기서 저는 USB를 장착한 드라이브가 있으므로 해당 드라이브를 복제하겠습니다.
다음과 같이 추가된 디스크를 Export Disk Image를 클릭해서 이미지 파일을 추출해보겠습니다.
E01 파일로 만들겠습니다.
| 디스크 이미지 파일 확장자 | 설명 |
|---|---|
| Raw(dd) | 어떠한 압축도 없이 원본 그래도 저장하는 파일 확장자. |
| E01 | 일반적으로 많이 사용되는 디스크 이미지 파일 확장자. Encase 라는 디지털 포렌식 소프트웨어와 함께 널리 보급되었으며, CRC, MD5 필드를 통해서 위 변조 검증을 할 수 있다. |
| SMART, AFF | 특수한 경우에 이용되는 파일 확장자 |
이렇게 화면이 뜨면 성공적으로 이미지를 덤프하고 있는 것이다.