공장장과 함께하는 디지털 포렌식 이야기

Lance Mueller 의 blog에 공개된 내용입니다.

EnCase로 조사를 수행하다 보면 중복된 파일을 필터링해야할 필요가 있습니다.

EnCase에서 기본으로 제공하는 필터인 "Unique Files by Hash"가 있긴 하지만 이 필터는 Case 내의 모든 파일에 적용되는 필터입니다.

Lance Mueller가 수정한 EnScript에서는 선택한 파일을 대상으로만 필터가 적용됩니다.

필터 창에서 새로만들기로 붙여넣어주시면 됩니다.

class MainClass { NameListClass HashList; bool UserCancel; MainClass() : HashList() { if (SystemClass::CANCEL == SystemClass::Message(SystemClass::ICONINFORMATION | SystemClass::MBOKCANCEL, "Unique Files By Hash", "Note:\nFiles must be hashed prior to running this filter.")) UserCancel = true; } bool Main(EntryClass entry) { if (UserCancel) return false; if (entry.IsSelected()){ HashClass hash = entry.HashValue(); if (!HashList.Find(hash)) new NameListClass(HashList, hash); else return false; return true; } else return false; } }

이전다음

012