디스크 이미징

 

디스크 이미징은 디지털 포렌식의 가장 기본적인 단계이자 핵심이라고 할 수 있다.

 

디스크 이미징은 하드 디스크(HDD)나 SSD 같은 디지털 저장 매체의 내용을 비트(0과 1) 단위까지 그대로 복제하여 하나의 파일로 만드는 과정이다. 간단히 말해, 원본 하드 드라이브를 통째로 '사진 찍어서' 파일(디스크 이미지)로 저장하는 것이다. 이 이미지 파일에는 우리가 일반적으로 보는 파일들뿐만 아니라, 삭제된 파일이나 숨겨진 데이터, 그리고 디스크의 구조 정보까지 모두 포함된다.

 

실습을 위해 아래 링크를 통해 FTK Imager를 다운받길 바란다.

FTK Imager - Forensic Data Imaging and Preview Solution | Exterro

FTK Imager - Forensic Data Imaging and Preview Solution | Exterro

 

이는 디지털 포렌식에 사용되는 무료 소프트웨어 도구이다. 이 도구의 가장 중요한 기능은 하드 드라이브, USB 드라이브, CD/DVD 등 다양한 디지털 저장 매체에서 원본 데이터를 훼손하지 않고 복사본(이미지)을 만드는 것이다.

 

 

FTK Imager를 실행 후 왼쪽 상단의 "Add Evidence Item"을 클릭시 다음과 같은 네가지 선택 창이 뜬다.

 

 

- Physical Drive

물리적인 저장 장치 전체를 의미한다. 하드 드라이브(HDD)나 솔리드 스테이트 드라이브(SSD)를 통째로 분석할 때 선택한다.

이 옵션을 선택하면 디스크의 모든 섹터를 분석하기 때문에 삭제된 파일, 포맷된 파티션, 할당되지 않은 영역 등 숨겨진 데이터까지 모두 조사할 수 있다. 디지털 포렌식에서 가장 기본이 되는 옵션으로, 증거의 무결성을 확보하고 전체적인 분석을 할 때 사용된다.

 

 

 

- Logical Drive

Windows의 C:, D: 드라이브처럼 논리적으로 구분된 파티션을 의미한다.

이 옵션은 특정 파티션에 있는 데이터만 분석할 때 사용되며, 파일 시스템 구조 내에 있는 데이터만 볼 수 있다. 삭제되거나 할당되지 않은 영역의 데이터는 분석 대상에 포함되지 않는다.

 

- Image File

이미 만들어진 디스크 이미지 파일(.e01, .dd 등)을 불러와 분석할 때 사용한다.

이미징을 통해 원본 증거의 사본을 확보한 후, 원본을 훼손하지 않고 이 이미지 파일만으로 분석을 진행할 때 선택한다.

 

- Contents of a Folder

특정 폴더에 있는 파일들만 분석하고 싶을 때 사용한다.

이 옵션은 파일 시스템 내의 논리적인 파일 분석만 가능하므로, 삭제된 데이터나 할당되지 않은 영역은 분석할 수 없다.

 

우선 Physical Drive를 선택 후, 아무 디스크나 삽입해본다. 좌측에 뜨는 디스크를 우클릭해 "Export Disk Image"를 클릭한다. 이는 FTK Imager에서 추가된 증거물들을 디스크 이미지로 생성해 내보내는 역할을 한다.

 

Add 클릭시 다음과 같은 창이 뜬다.

 

Raw (dd) 형식은 원본 저장 매체의 모든 데이터를 비트 단위로 그대로 복사한 파일이며, E01은 EnCase Forensic이라는 전문 포렌식 도구에서 개발된 압축 이미지 형식(일반적으로 많이 쓰임)이다. 

 

SMART, AFF는 잘 쓰이지 않는다.

 

 

 

디스크 이미징, 디스크 복제, 복사

디스크 이미징은 저장 장치에 있는 모든 데이터를 비트 단위로 복제하여 하나의 파일로 만드는 것이며, 디스크 복제는 저장 장치에 있는 모든 데이터를 다른 저장 장치에 그대로 옮기는 것이다.

마지막으로 복사는 우리가 일반적으로 하는 파일이나 폴더를 다른 위치에 옮기는 작업을 의미한다.

 

	디스크 이미징 (Disk Imaging)	디스크 복제 (Disk Cloning)	복사 (Copying)
목표	원본 증거의 사본 파일 생성	부팅 가능한 동일 디스크 생성	파일 및 폴더 이동
결과물	하나의 이미지 파일	새로운 저장 장치	파일/폴더
특징	숨겨진 데이터 포함, 무결성 입증	부팅 가능, 백업/복구 용이	논리적 데이터만 이동
주요 용도	디지털 포렌식	시스템 백업, 하드웨어 교체	일상적인 파일 관리

 

디스크 이미지 마운트

디스크 이미지 마운트는 디스크 이미지 파일을 컴퓨터에 인식시키는 과정이다.

 

이를 하기 위해서는 이번에는 Image File을 선택 후 아까 만들었던 디스크 이미지 파일 삽입해준다.