공장장과 함께하는 디지털 포렌식 이야기

EnCase Portable 구성품입니다.

윗줄 왼쪽부터

제품 Pouch, 간략 설명서(Brief Manual), 부팅 CD (Booting Disc), 설치 DVD (Installation Disc), USB 동글 (HASP Key), EnCase Portable Program USB (4GB), EnCase Portable Evidence Storage USB (16GB), 4 port USB 2.0 Hub

입니다.

USB 는 우레탄 처리가 되어 어느정도의 충격에도 견딜 것 같은 느낌을 줍니다.

EnCase Portable 은 조사 방법이 두가지 입니다.

1. 활성 시스템으로부터의 증거 수집 ; 메모리 덤프를 뜨거나, FDE 등이 적용된 디스크를 조사할 때 사용됩니다.

2. 비활성 시스템으로부터의 증거 수집 ; 포렌식적으로 "안전"한 증거를 수집할 수 있습니다.

BIOS에서 USB 부팅을 지원하지 않는다면 CD를 이용해서 부팅할 수 있습니다. 이 경우에도 Program USB는 필요합니다.

따라서, 조사 대상은 최소 2개 이상의 USB 포트를 가지고 있어야 합니다.

부팅은 Windows PE 환경에서 작업이 이루어집니다.

활성 시스템에 Program USB를 연결하면 HASP Key 를 찾습니다. 프로그램이 종료되면 드라이버는 제거된다고 합니다.


EnCase Portable이 실행되면 아래와 같은 창이 뜨면서 언제나 처럼 Case 이름과 조사관 이름을 입력한 후 수집 작업을 선택할 수 있습니다.


나머지 사항도 곧...

EnCase Portable 1.1

H/W 솔루션이라고 해야하나 모르겠네요.

부팅CD or 부팅 USB를 이용하여 조사 대상 PC의 중요 데이터에 대한 디지털 증거화 작업을 해줍니다.

디지털 포렌식 전문가가 아니더라도 기초 증거 획득을 "안전"하게 해주는 툴이라고 합니다.

가격이 안드로메다 급이란게 에러. (EnCase Forensics Edition이 포함되어 있습니다.)

 EnCase 6.14.1 기반인듯 합니다..


자세한 리뷰는 곧...

좀 더 구체화된 소식이 있다기에 적어 봅니다. 

EnCase Portable Kit은 아래와 같이 구성됩니다. 

4GB USB drive with EnCase Portable preinstalled

16GB drive for additional storage

4 port USB hub

EnCase Portable security key

User guide

EnCase Portable installation CD

Carrying Case

 EnCase Portable로 부팅한 후에 아래의 정보를 수집할 수 있다고 합니다. 

Collect Internet Artifacts

Collect Windows Event Logs

ICONS

Collect all Word Documents

Collect all Images

All PST

All MPG

Collect all Archive Files

Capture Registry

Collect EXE Files

Collect all Email Archives

Collect Mail Archives

Collect TEMP Files

초기 대응 단계에서는 유용하게 쓰일 수도 있을 듯 합니다만...

나오고 써봐야 알겠죠? 구경할 기회가 있으려나 모르겠네요.

아래는 EnCase Portable 관련 Youtube 입니다. 참조하시기 바랍니다.

7월 출시 예정

출처 : http://www.gizmag.com/encase-portable/11756/

출처 : http://www.tradingmarkets.com/.site/news/Stock%20News/2332988/