| 1 |
1
분석대상이 되는 증거PC(200)를 분석하는 타임 라인 기반의 라이브 포렌식 시각화 시스템에 있어서,상기 증거 PC(200)에 접속하여 시스템 부팅 및 로그인 시간과, 실행 파일 기록, Wi-Fi 사용내역, 이동식 저장매체 접촉 기록 중 선택되는 하나 이상의 기록을 획득하여 파일 형태로 저장하는 라이브 포렌식 도구(110);상기 라이브 포렌식 도구(110)에서 생성된 파일을 타임라인 순서로 정렬하여 시각화 하는 라이브 포렌식 기반 분석 시각화 도구(120); 및사용자의 정보를 확인하여 상기 라이브 포렌식 도구(110) 및 상기 라이브 포렌식 기반 분석 시각화 도구(120)의 접근을 승인 또는 거부하는 사용자확인 도구(130);를 포함하며,상기 라이브 포렌식 도구(110), 상기 라이브 포렌식 기반 분석 시각화 도구(120) 및 상기 사용자확인 도구(130)는 상기 증거 PC(200) 외부의 별도의 저장매체에 저장되어 상기 증거 PC(200)와 원격으로 연결되며 외부의 단말에서 원격으로 접속이 가능하도록 구성되며,상기 라이브 포렌식 기반 분석 시각화 도구(120)는 상기 라이브 포렌식 도구(110)에서 생성된 파일의 기록을 타임라인 순서로 정렬하여 달력형식으로 출력하며,상기 라이브 포렌식 도구(110)에서 상기 증거 PC(200)에서 수집하는 정보는 동작 중인 프로세스 정보 수집, 로컬과 리소스 공유, 로그온 사용자 정보, 디스크 볼륨, 설치된 애플리케이션, 설치된 핫픽스, 시스템 서비스 정보, promiscuous 모드 탐지, NIC 전체 구성 정보, 작업 스케줄러 정보, 클립보드 정보, 자동 실행 정보, $MFT 수집, 프리패치 파일 수집, 레지스트리 하이브 파일 수집, 이벤트 로그 수집, 설치된 윈도우 업데이트 목록, 그룹 정책에 관한 정보, 물리적 메모리, 네트워크 연결, 열린 TCP 또는 UDP 포트, NetBIOS, 현재 로그인된 사용자/사용자계정, 현재 실행중인 프로세스 및 서비스, 윈도우 레지스트리, 브라우저 자동 완성 데이터, 패스워드, Windows SAM, NTuser
|
