디지털포렌식 문제집4

100問 • 8ヶ月前

김호수

通報

問題一覧

디지털 포렌식에서 ‘레지스트리’는 어떤 종류의 정보를 담고 있는가?

A. 시스템과 사용자 설정 정보 키워드: 레지스트리 (Registry) Windows OS의 설정 DB로, USB 연결 기록, 프로그램 설치 흔적, 사용자 활동 기록 등을 담고 있음.

JPEG 파일의 파일 시그니처(매직넘버)는 무엇인가?

A. FF D8 FF 키워드: 파일 시그니처 (Magic Number) 파일의 확장자와 상관없이 파일 형식을 판별할 수 있는 고유한 앞부분 값, 포렌식 도구에서 복구 및 분류에 사용.

이미지 포렌식에서 EXIF 메타데이터는 무엇을 포함할 수 있는가?

A. 촬영 시간, GPS 정보, 카메라 모델 키워드: EXIF 메타데이터 사진 파일 내 숨겨진 정보로, 조작 여부 판단, 위치 추적 등 디지털 증거로 활용 가능.

악성코드 분석 시, 실행되면서 자동 시작되는 위치를 탐지하기 위해 확인해야 할 것은?

A. 레지스트리 Run 키 키워드: 자동 실행 위치 (Run Key) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 같은 키에서 악성코드의 자동 실행 흔적을 탐지할 수 있음.

로그 파일에서 발생 시간 조작 여부를 확인할 수 있는 포렌식 기법은?

A. 타임라인 분석 키워드: 타임라인 분석 (Timeline Analysis) 다양한 타임스탬프(MAC 시간 등)를 비교해 이상 징후나 조작된 시간 흐름을 식별함.

USB 장치 연결 기록을 확인할 수 있는 윈도우 레지스트리 경로는?

A. SYSTEM\CurrentControlSet\Enum\USBSTOR 키워드: USB 연결 흔적 해당 레지스트리 경로를 통해 연결된 저장장치의 VID, PID, 시간 정보 등을 확보 가능.

FAT32 파일 시스템에서 디렉터리 엔트리에 저장되는 삭제 파일의 첫 문자는 어떻게 표시되는가?

A. E5h 키워드: 삭제 파일 식별 (E5h) FAT 시스템에서는 삭제된 파일의 파일 이름 첫 글자만 E5로 변경되며, 실제 데이터는 덮어쓰기 전까지 유지될 수 있음.

레지스트리는 폴더가 아니다

> 레지스트리는 "폴더처럼 보이는 설정 데이터 저장소" 실제 폴더는 아니고, 키와 값으로 이루어진 구조화된 설정 데이터베이스야.

타임스탬프가 중요한 이유

범죄 시간 추적: "삭제는 언제 했나?" "침입 후 어떤 파일을 열었나?"를 확인할 수 있어. 위조 탐지: 조작된 파일은 타임스탬프가 불연속적이거나 비정상적일 수 있어. 타임라인 분석: 여러 이벤트를 시간 순서대로 재구성해서 사건 흐름을 파악할 수 있어.

타임스탬프란?

**타임스탬프(Timestamp)**는 디지털 포렌식에서 파일이나 이벤트가 언제 발생했는지를 나타내는 시간 정보야. 쉽게 말하면 **"언제 무슨 일이 있었는지 기록한 시계"**라고 보면 돼.

EXIF 메타데이터가 뭐야?

좋은 질문이야! **EXIF 메타데이터(Exchangeable Image File Format)**는 디지털 사진이나 이미지 파일 안에 자동으로 저장되는 부가 정보야. 쉽게 말하면, > "사진 속에 숨겨진 데이터"라고 보면 돼. --- 1. EXIF 메타데이터란? 디지털 카메라, 스마트폰 등으로 사진을 찍을 때, 촬영 환경, 시간, 장비 정보, 설정값 등이 이미지 파일 내부에 자동 저장됨. JPEG, TIFF, HEIC 같은 이미지 포맷에 많이 쓰임. --- 2. EXIF 메타데이터에 담긴 주요 정보 --- 3. 포렌식에서 EXIF 메타데이터의 활용 사진의 진짜 촬영 시간 확인 (SNS 업로드 시간과 다를 수 있음) 위치 추적 (GPS) → 범죄 현장 촬영 여부 파악 카메라 정보 분석 → 같은 장비로 찍은 사진 식별 가능 포토샵 등 편집 여부 추정 → EXIF가 삭제되거나 수정된 흔적 있음 --- 4. EXIF 메타데이터는 조작 가능할까? 가능해. exiftool, Photoshop, 일부 앱 등을 이용하면 삭제하거나 바꾸는 것도 가능함. 그래서 포렌식에서는 조작 여부까지 함께 분석해야 해. --- 요약 정리 > EXIF 메타데이터 = 사진에 자동으로 담기는 촬영 정보 시간, 위치, 카메라 정보 등 증거로 매우 중요한 데이터이며, 포렌식 분석 시 진실된 시간과 장소를 추적하는 단서로 사용돼. --- 원하면 실제 EXIF 메타데이터 확인 예시나, 분석 도구(exiftool 사용법 등)도 알려줄게!

Windows에서 최근 문서 열람 목록은 어떤 파일에 저장되는가?

A. Recent Files (shellbags) 키워드: Shellbags (셸백) 사용자가 열어본 폴더/문서 목록을 기록. 사용자가 삭제해도 흔적이 남아 포렌식에서 중요.

클라우드 포렌식에서 가장 먼저 확인해야 하는 것은 무엇인가?

A. 접근 권한 및 계정 인증 정보 키워드: 클라우드 포렌식 Google Drive, Dropbox 등에서 로그, 파일, 위치 기록을 확보해야 하며, 계정 접근 권한이 핵심.

윈도우에서 임시 파일이 기본적으로 저장되는 경로는?

A. C:\Users\사용자\AppData\Local\Temp 키워드: 임시파일 (Temporary Files) 프로그램 실행 중 생성되며, 사용 흔적이나 캐시 데이터가 저장돼 포렌식에서 단서로 활용됨.

시스템 시간이 인터넷 시간 서버(NTP)와 자동으로 동기화되도록 설정된 기능은?

A. 시간 동기화 서비스 (Windows Time Service) 키워드: NTP, 시간 동기화 정확한 타임스탬프 유지에 필수. 시간 조작 여부를 분석할 때 NTP 기록을 비교함.

파일 복구 시 데이터가 조각나 있을 경우 사용하는 기법은?

A. 파일 카빙 (File Carving) 키워드: 파일 카빙 파일 시스템 정보 없이 시그니처 기반으로 파일을 추출하는 기법. JPEG, PNG, ZIP 복구 등에 자주 사용됨.

USB 장치 연결 시 ‘장치 설치 시간’은 레지스트리의 어떤 항목에 저장되는가?

A. DeviceInstallDate 키워드: DeviceInstallDate USB 저장장치가 최초 연결된 시각이 저장되며, 범죄 도구의 연결 시점을 밝히는 단서로 사용됨

레지스트리에서 USB 장치 연결 여부를 추적할 수 있는 대표적인 키는?

A. USBSTOR 키워드: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR USB 장치의 VID, PID, 장치명, 연결 시간 등이 저장됨 사용자 활동과 장치 사용 흔적을 추적할 수 있음

WebCacheV01.dat 파일의 데이터 구조 형식은 무엇인가?

A. ESE Database 키워드: ESE DB (Extensible Storage Engine) MS에서 만든 고속 구조의 데이터베이스 포맷 WebCache뿐만 아니라 Windows Search, Windows.edb 등에서도 사용됨.

FAT 파일 시스템에서 삭제된 파일의 디렉터리 항목 첫 문자는 무엇으로 바뀌는가?

A. E5h 키워드: FAT 삭제 파일 구조 삭제되면 첫 문자가 E5h로 변경됨 데이터는 덮어쓰기 전까지 그대로 존재할 수 있어

TCP 프로토콜의 주요 특징 중 하나로, 데이터의 신뢰성과 순서를 보장하기 위한 번호는? ① 시퀀스 번호 ② 포트 번호 ③ 체크섬 ④ 헤더 길이

정답: ① 시퀀스 번호 키워드 설명: 시퀀스 번호(Sequence Number): TCP 세그먼트의 순서를 지정하고, 재조립을 위한 기준값.

tcp 프로토콜이란?

TCP는 데이터가 빠르진 않아도, 반드시 정확하게 순서대로 도착하게 해주는 ‘신뢰성 우선’ 통신 방식이야. 필요하면 UDP와의 차이점도 설명해줄게!

TCP 3-Way Handshake란?

TCP는 신뢰성 있는 통신을 위해 3단계 연결 설정 과정을 거쳐. 단계별 설명: 1. SYN (Client → Server) 클라이언트가 서버에게 "나 연결할게요!" 라고 신호 보냄. 2. SYN-ACK (Server → Client) 서버가 클라이언트에게 "좋아요, 나도 준비됐어요!" 응답함. 3. ACK (Client → Server) 클라이언트가 "응답 잘 받았어요, 시작하죠!" 라고 다시 응답함.

TCP/IP란?

TCP/IP는 인터넷에서 사용하는 기본 통신 규약(프로토콜)의 집합이야. 정확한 이름은 Transmission Control Protocol / Internet Protocol **‘인터넷이 돌아가는 규칙 세트’**라고 보면 돼. --- 구성 요약: TCP/IP는 여러 계층으로 이루어진 구조야. 대표적인 4계층은 다음과 같아: --- 왜 'TCP/IP'라고 불러? TCP와 IP는 이 구조에서 가장 핵심적인 역할을 하는 두 프로토콜이기 때문이야. TCP: 데이터가 정확히 전달되도록 함 IP: 데이터가 어디로 가야 할지 주소를 지정함 --- 비유로 이해하자면: > 편지를 보낼 때, IP는 수신자의 주소 (어디로 갈지) TCP는 봉투 안의 내용이 순서대로, 완전하게 도착하도록 도와주는 기능이야. --- 필요하면 OSI 7계층과 TCP/IP 4계층 비교도 정리해줄게!

응용프로토콜

"HTTP는 웹, FTP는 파일, SMTP는 메일 보내고 POP3/IMAP은 메일 받는다. DNS는 주소 찾기."

프로토콜은 운영체제에 설치하는거지?

프로토콜은 운영체제(Operating System)에 설치되거나 포함되는 거야. 우리가 사용하는 네트워크 통신은 **운영체제의 네트워크 계층(Network Stack)**이 실행 주체이기 때문에, 프로토콜도 운영체제 안에 설치되거나 내장되어 있어야 작동해. --- 정리: 프로토콜은 운영체제에 설치된다 --- 예시로 설명: 1. Windows TCP/IP는 기본 설치돼 있고, 제어판 → 네트워크 설정에서 활성화/비활성화 가능. VPN 프로토콜(L2TP/IPSec 등)은 설치하면 드라이버 형식으로 등록됨.

프로토콜과 네트워크 드라이버

[응용 프로그램] ↓ [프로토콜 (HTTP, TCP/IP 등)] ↓ [운영체제 네트워크 계층] ↓ [네트워크 드라이버 (랜카드용)] ↓ [물리 네트워크 (케이블, 무선 등)] 프로토콜은 데이터를 어떤 방식으로 주고받을지 규칙을 정함 드라이버는 컴퓨터가 실제 하드웨어(랜카드 등)를 제어할 수 있게 해줌 운영체제는 이 둘을 중간에서 통합 실행시킴

해시값은 그러면 이미징 전에 계산해두는거야?

아주 좋은 질문이야! 해시값은 "이미징 전과 후" 모두 계산해두는 것이 원칙이야. 디지털포렌식에서 해시값은 무결성(integrity) 보장을 위해 필수니까! --- 해시값 계산 시점 요약 단계 해시 계산 목적 1. 이미징 전 (원본 디스크) 예 원본의 무결성 확보 2. 이미징 후 (이미지 파일) 예 이미지의 무결성 확인 및 원본과 일치 여부 검증 --- 왜 두 번 해시를 계산하나? 이미징 전 해시: 원본 증거가 수집 당시 변경되지 않았음을 기록. 이미징 후 해시: 복제본(이미지)이 원본과 동일함을 검증. > 두 해시값(MD5 또는 SHA-1 등)이 일치하면 → 증거 복제 과정에서 변조되지 않았음을 증명할 수 있어. --- 필요하다면 해시 계산 명령어나 실제 툴 사용 예시도 보여줄 수 있어!

디지털포렌식에서 메모리 분석에 주로 사용되는 오픈소스 도구는?

A: Volatility [키워드 설명] Volatility: 메모리 덤프 분석 도구로, 프로세스, 네트워크, DLL, 레지스트리 등 다양한 아티팩트 추출 가능.

volatility는 주로 언제 사용해?

Volatility는 디지털포렌식에서 메모리(램) 덤프를 분석할 때 주로 사용되는 도구야. 즉, "휘발성 정보 분석"이 필요할 때 사용해. --- Volatility 사용 시점 요약 사용 시점 설명 1. 시스템 감염 의심 시 악성코드가 메모리에 상주하는 경우, 프로세스/모듈 분석 가능 2. 실시간 흔적이 필요한 경우 네트워크 연결, 로그인 세션, DLL, 명령어 실행 흔적 등 3. 시스템이 강제 종료되기 전 메모리 수집 후 분석 대상이 전원 종료되기 전에 메모리 수집 → 분석 4. 휘발성 정보가 디스크에 저장되지 않는 경우 예: 암호화 키, 비밀번호, 잠깐 실행된 악성 프로세스 등 --- Volatility로 분석 가능한 정보 예시 실행 중인 프로세스 리스트 (pslist) 네트워크 연결 정보 (netscan) 로딩된 DLL 모듈 (dlllist) 레지스트리 키 내용 (printkey) 최근 실행된 명령어 히스토리 루트킷 탐지 (malfind, ldrmodules 등) --- 정리 Volatility는 > "디스크가 아니라 메모리 속에 있는 단서를 분석해야 할 때 사용하는 포렌식 도구"라고 기억하면 정확해. 필요하면 실전 분석 예제도 보여줄게!

디지털 서명에 사용되는 대표적인 공개키 알고리즘은?

A: RSA [키워드 설명] RSA: 공개키 암호 방식 중 하나로, 인증서, 서명, 키 교환 등에 활용. 디지털 증거의 무결성 검증에도 사용됨.

NTFS 파일 시스템에서 파일을 삭제하면 실제로 삭제되는 것은? A. 데이터 영역 B. MFT 엔트리 C. 파일 시그니처 D. MFT 비트맵 표시

정답: D 키워드: NTFS, MFT 비트맵 → 파일 삭제 시 실제 데이터는 유지되고, MFT 비트맵에서 해당 엔트리가 사용 가능 상태로 표시됨. 복구 가능성이 있는 이유.

Wireshark에서 HTTP 패킷만 필터링하기 위한 적절한 필터는? A. tcp.port==80 B. http C. port 443 D. udp.port==53

정답: B 키워드: Wireshark 필터 → http는 고수준 필터로, HTTP 프로토콜을 포함한 패킷만 표시. tcp.port==80은 포트 기반, 더 넓은 범위 포함.

브라우저 아티팩트 중 방문한 URL과 검색어를 함께 기록하는 곳은? A. index.dat B. History Provider Cache C. SearchDB D. Favicons

정답: B 키워드: History Provider Cache → Chrome 등 최신 브라우저에서 URL뿐 아니라 사용자의 검색 패턴까지 기록됨. 사용 흔적 분석에 중요.

EnCase에서 Evidence File을 생성할 때 기본 확장자는? A. .img B. .dd C. .e01 D. .raw

정답: C 키워드: E01 파일 → EnCase 고유 포맷. 메타데이터와 해시값 자동 저장되어 법적 증거로 활용 가능.

메모리 포렌식 도구 중 Linux 시스템의 메모리 덤프 분석을 지원하는 것은? A. Redline B. Volatility C. Belkasoft D. AccessData Registry Viewer

정답: B 키워드: Volatility → 오픈소스 메모리 분석 도구로 Windows, Linux, macOS 메모리 포렌식 지원.

index.dat는 검색어를 저장하지 않음 → 정답 아님. History Provider Cache는 검색어와 URL을 모두 저장 → 정답 맞음.

윈도우에서 실행한 프로그램의 흔적을 확인할 수 있는 레지스트리 키로 적절한 것은? ① RunMRU ② SAM ③ Security ④ WebcacheV01.dat

A: ① RunMRU 키워드 설명: **RunMRU (Most Recently Used)**는 사용자가 실행 창 (Win + R)에서 실행한 명령어 목록이 저장되는 레지스트리 키로, 프로그램 실행 흔적을 추적하는 데 유용함.

ESE 데이터베이스의 주요 용도로 가장 적절한 것은? ① 이벤트 로그 저장 ② 파일 복구 정보 저장 ③ 윈도우 캐시 및 브라우저 데이터 저장 ④ 네트워크 트래픽 캡처

A: ③ 윈도우 캐시 및 브라우저 데이터 저장 키워드 설명: **ESE DB (Extensible Storage Engine Database)**는 WebcacheV01.dat, Windows.edb 같은 파일 포맷으로, 인터넷 기록, 캐시, 쿠키 등을 저장하는 데 쓰임.

다음 중 디지털 서명의 주된 기능이 아닌 것은? ① 무결성 보장 ② 부인방지 ③ 암호 해독 ④ 인증

A: ③ 암호 해독 키워드 설명: 디지털 서명은 데이터가 변경되지 않았음을 보장하고, 작성자의 신원을 확인하며, 송신자가 나중에 부인하지 못하도록 하는 부인방지 기능을 가짐. 암호 해독은 해당 기능이 아님.

Linux 시스템에서 최근 접속한 사용자 정보를 확인할 수 있는 명령어는? ① ifconfig ② lsmod ③ last ④ ps

A: ③ last 키워드 설명: last는 리눅스 시스템에서 최근 로그인 기록을 확인할 수 있는 명령어로, 사용자의 로그인, 로그아웃 시간 등을 추적할 수 있음.

디지털포렌식에서 '이미징'을 수행할 때 가장 중요한 원칙은? ① 데이터 압축 ② 속도 ③ 원본 보존 ④ 용량 최적화

A: ③ 원본 보존 키워드 설명: **이미징(Imaging)**은 저장장치 전체를 비트 단위로 복제하는 작업이며, 무엇보다 원본의 무결성과 보존이 가장 중요함.

디지털포렌식에서 ‘Live Forensics’가 필요한 대표적인 상황은? ① 시스템이 꺼져 있는 경우 ② 하드디스크만 남은 경우 ③ 메모리에서만 증거가 있는 경우 ④ 파일 복호화가 필요한 경우

A: ③ 메모리에서만 증거가 있는 경우 키워드 설명: Live Forensics는 시스템이 켜진 상태에서 **휘발성 메모리(RAM)**나 네트워크 상태 등을 수집하는 포렌식 기법으로, 메모리 기반 증거가 있을 때 필수임.

다음 중 USB 장치 연결 흔적을 확인할 수 있는 레지스트리 경로로 적절한 것은? ① HKCU\Software\Microsoft\Windows\Run ② HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR ③ HKCU\Control Panel\Desktop ④ HKLM\SYSTEM\MountedDevices

A: ② HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR 키워드 설명: USBSTOR 레지스트리 키는 시스템에 연결된 USB 저장장치의 식별 정보를 저장하므로, USB 흔적 추적에 활용됨.

다음 중 스테가노그래피(Steganography)의 정의로 가장 적절한 것은? ① 데이터를 압축하여 저장하는 기술 ② 데이터의 암호화를 위한 알고리즘 ③ 데이터를 숨겨 저장하는 기술 ④ 데이터를 무결성 검사하는 기술

A: ③ 데이터를 숨겨 저장하는 기술 키워드 설명: 스테가노그래피는 텍스트, 이미지, 오디오 등에 데이터를 숨겨 저장하는 기술로, 암호화와는 다르며, 주로 숨김에 초점을 둠.

NTFS 파일 시스템에서 파일을 삭제해도 시그니처가 남는 이유는? ① 파일 내용은 자동 백업되기 때문에 ② 파일 시그니처는 별도 저장되기 때문에 ③ 메타데이터만 지워지고 실제 데이터는 덮어쓰기 전까지 남아 있기 때문에 ④ 시스템이 자동으로 로그를 저장하기 때문에

A: ③ 메타데이터만 지워지고 실제 데이터는 덮어쓰기 전까지 남아 있기 때문에 키워드 설명: NTFS에서는 삭제 시 파일 할당 정보(MFT)만 제거되고, 실제 내용(시그니처 포함)은 남아 있음, 따라서 복구 가능성이 있음.

디지털 증거 수집의 원칙 중 '변경 금지 원칙'을 위반할 경우 발생할 수 있는 문제는? ① 저장 용량 부족 ② 증거로 인정되지 않을 수 있음 ③ 속도 저하 ④ 암호화 실패

A: ② 증거로 인정되지 않을 수 있음 키워드 설명: **변경 금지 원칙(Integrity)**은 디지털 증거 수집 시 원본을 훼손하거나 수정하지 않아야 한다는 기본 원칙으로, 위반 시 법적 증거능력 상실.

Windows의 'Prefetch' 파일은 주로 어떤 정보를 제공하는가?

A. 프로그램 실행 이력 키워드 설명: Prefetch: 프로그램이 실행될 때 로딩 속도 향상을 위해 정보 기록. 실행된 시간, 경로 등도 포함되어 있어 분석 대상.

로그온(Logon) 이벤트 분석 시, 원격 데스크톱 접속을 식별할 수 있는 로그온 타입은?

A. Logon Type 10 키워드 설명: Logon Type 10: 원격 데스크톱(RDP) 접속 시 사용되는 이벤트 타입. 이벤트 로그 분석에 활용.

이미지 파일 내부에 숨겨진 정보를 추출할 때 활용하는 메타데이터 형식은?

A. EXIF 키워드 설명: EXIF (Exchangeable Image File Format): 촬영 날짜, 카메라 정보, GPS 정보 등 사진 파일에 포함된 메타데이터.

Shellbag 분석을 통해 알 수 있는 사용자의 활동 정보는?

A. 폴더 열람 이력과 위치 정보 키워드 설명: Shellbag: Windows가 사용자가 탐색한 폴더의 위치, 뷰 설정을 저장. 삭제된 폴더 추적에도 활용.

Windows 시스템에서 사용자별 활동 정보가 저장되는 레지스트리 파일은?

A. NTUSER.DAT 키워드 설명: NTUSER.DAT: 각 사용자 계정에 연결된 레지스트리 설정을 저장. 사용자의 환경 설정, 최근 사용 기록 등 포함.

브라우저 캐시, 히스토리, 쿠키 등이 저장되는 Internet Explorer의 핵심 파일은?

A. WebCacheV01.dat 키워드 설명: WebCacheV01.dat: ESE DB 형식. IE 및 Edge 브라우저의 사용 흔적이 저장됨.

파일 삭제 시 일반적으로 사라지지 않고 남아 있어 복구에 사용되는 정보는?

A. 시그니처(Signature) 키워드 설명: Signature: 파일의 고유한 시작/끝 패턴. 파일이 삭제돼도 시그니처가 남아있으면 carving 가능.

이미지에 데이터를 숨겨 넣는 기술로, 포렌식 분석 시 주의 깊게 확인해야 하는 기법은?

A. 스테가노그래피(Steganography) 키워드 설명: Steganography: 데이터 은닉 기술. 텍스트, 이미지, 오디오 등에 몰래 정보를 숨김.

시스템 시간 조작 여부를 확인할 때 주요하게 검토해야 하는 타임스탬프 종류는?

A. MAC 시간 키워드 설명: MAC (Modified, Accessed, Created): 파일의 수정/접근/생성 시간을 의미. 비정상 조작 탐지에 사용.

레지스트리에서 시스템의 마지막 종료 시각을 확인할 수 있는 키는?

System\ControlSet001\Control\Windows\ShutdownTime

이메일 포렌식에서 이메일 원본의 진위를 판단하는 데 중요한 구성 요소는?

A. 이메일 헤더(Email Header) 키워드 설명: Email Header: 송신자 IP, 서버 정보, 전달 경로 등을 포함. 스푸핑 여부 확인 가능.

타임라인 분석에서 여러 소스의 시간 정보를 통합하여 구성한 분석 기법은?

A. super timeline 키워드 설명: super timeline: 로그, 메타데이터, 레지스트리 등 다양한 시간 데이터를 통합해 시간순으로 정렬한 분석 자료.

시스템 부팅 시 자동 실행되는 프로그램 정보를 저장하는 레지스트리 위치는?

A. Run 키 (HKCU 또는 HKLM\Software\Microsoft\Windows\CurrentVersion\Run) 키워드 설명: Run 키: 윈도우 시작 시 자동으로 실행될 프로그램들을 설정. 악성코드 감지에도 사용.

웹 사용 기록 외에 사용자의 인터넷 검색어 기록을 별도로 저장하는 IE 관련 아티팩트는?

A. TypedURLs 키워드 설명: TypedURLs: 사용자가 직접 입력한 URL 기록을 저장하는 레지스트리 키. 수동 접속 기록 파악에 유용.

메모리 덤프를 분석하는 대표적인 오픈소스 도구

Volatility

메모리덤프란?

컴퓨터의 메모리(RAM)에 있는 데이터를 특정 시점에 그대로 저장한 파일을 말해. 쉽게 말해, 컴퓨터가 '지금 이 순간 기억하고 있는 모든 정보'를 복사해서 파일로 만든 것이라고 보면 돼. --- 메모리 덤프의 핵심 특징 항목 설명 저장 대상 RAM에 존재하는 모든 데이터 (프로세스, 네트워크 세션, 암호, 열린 문서 등) 형태 .dmp, .raw, .bin 등의 파일 형식 생성 시점 시스템 크래시 시 자동 생성되기도 하고, 포렌식 도구로 수동 추출 가능 활용 목적 악성코드 분석, 해킹 흔적 추적, 암호 추출, 실시간 사용자 활동 분석 등

NTFS에서 파일이 삭제되었을 때, 실제 데이터가 저장되는 영역은 어떻게 되는가?

A: 할당되지 않은 상태로 남아 있지만, 덮어쓰지 않는 한 데이터는 유지된다. 키워드: NTFS 삭제 → NTFS는 파일을 삭제해도 데이터 영역 자체는 지워지지 않으며, MFT에서 해당 엔트리만 비워진다. 이 영역을 분석해 파일 복구가 가능하다.

Windows에서 최근 열어본 파일 목록 정보를 저장하는 위치는 어디인가?

A: NTUSER.DAT 키워드: NTUSER.DAT → 사용자별 레지스트리 하이브로, 최근 문서 기록, 프로그램 실행 흔적 등 사용자의 활동 정보가 저장된다.

Windows에서 시스템 부팅 시 자동으로 실행되는 프로그램 목록은 어느 레지스트리 키에 저장되는가?

A: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 키워드: Run 키 → 시스템 부팅 시 자동 실행되는 프로그램들을 등록하는 위치. 악성코드 분석에도 중요한 단서가 된다.

웹 브라우저에서 사용자가 로그인한 인증 토큰 등이 저장되는 영역은 보통 어떤 종류의 파일에 저장되는가?

A: 쿠키 파일 (Cookies) 키워드: Cookies → 인증 정보, 사용자 설정 등이 저장되며, 브라우저 포렌식에서 중요한 데이터 소스이다.

디지털 이미지에서 위치 정보(GPS), 촬영 시간 등이 포함된 메타데이터 형식은?

A: EXIF 키워드: EXIF 메타데이터 → 디지털 사진에 자동으로 포함되는 정보로, 장소 및 시간 정보 등을 추적하는 데 유용하다.

윈도우에서 사용자 계정이 로그인할 때 생성되는 보안 토큰은 어떤 파일을 통해 기록되는가?

A: Security.evtx (보안 이벤트 로그) 키워드: Security.evtx → Windows Event Log의 일종으로, 로그인, 권한 상승, 시스템 변경 등의 보안 이벤트를 기록한다.

포렌식 분석에서 ESEDatabaseView 도구로 분석 가능한 데이터베이스 형식은?

A: ESE (Extensible Storage Engine) 키워드: ESE 형식 → Windows 시스템에서 사용되는 데이터베이스 형식으로, WebCacheV01.dat, mailstore 등의 분석에 활용됨.

Windows 시스템의 Prefetch 파일은 어떤 목적을 위해 사용되는가?

A: 프로그램의 실행 시간 단축을 위한 캐싱 키워드: Prefetch → 실행한 프로그램 정보를 저장해 재실행 시 속도를 빠르게 함. 파일 이름에 실행 시각과 실행 횟수 등이 포함됨.

디지털포렌식에서 ‘스테가노그래피’는 어떤 기법을 의미하는가?

A: 파일 속에 다른 정보를 숨기는 기술 키워드: 스테가노그래피 → 이미지, 오디오, 영상 등에 텍스트나 파일 등을 은닉하여 감지되지 않도록 한다. 분석 도구가 필요함.

웹캐시(WebCacheV01.dat)에서 저장되는 세 가지 주요 정보는 무엇인가?

A: 히스토리, 쿠키, 캐시 키워드: WebCacheV01.dat → IE 및 Edge에서 사용되며, ESE 형식으로 구조화된 데이터로 분석 시 다양한 사용자 흔적을 추적할 수 있다.

네트워크 포렌식에서 패킷의 흐름을 분석할 때 사용하는 도구는 무엇인가?

A: Wireshark 키워드: Wireshark → 실시간 패킷 캡처 및 분석 도구. 프로토콜, IP, 포트 등을 시각적으로 확인 가능.

디지털포렌식에서 사용하는 쓰기 방지 장치는 왜 필요한가?

A: 증거 데이터의 무결성을 유지하기 위해 키워드: 쓰기 방지 장치 (Write Blocker) → 디스크나 저장장치에 데이터를 쓰는 행위를 차단해 증거의 변조를 막는다.

디지털 서명은 어떤 암호 방식에 기반하고 있는가?

A: 공개키 암호 방식 키워드: 공개키 암호 (Public Key Crypto) → 비대칭키 구조. 개인키로 서명하면 공개키로 검증 가능. 인증 및 무결성 보장에 사용됨.

포렌식에서 타임스탬프 조작 여부를 판단할 때 사용하는 주요 기준은?

MAC 타임 비교 키워드: MAC 시간 → Modified(수정), Accessed(접근), Created(생성) 시간 정보. 비정상적 순서나 시간 격차로 조작 추정 가능.

이메일 포렌식에서 '헤더(Header)' 분석이 중요한 이유는?

A: 발신자, 경유 서버, IP 정보 등 추적 가능하기 때문 키워드: 이메일 헤더 → 발신자 위조 여부, 중간 경로(IP, 서버), 시간 정보 등을 포함. 스푸핑 여부 확인 가능.

FTK Imager에서 Evidence Item을 추가할 때 선택할 수 없는 옵션은?

A: 실시간 메모리 스냅샷 키워드 설명: FTK Imager: 이미지 획득 도구 Evidence Item: 디스크, 폴더, 파일, 이미지 등을 추가하는 기능 실시간 메모리 스냅샷: FTK Imager는 메모리 덤프 기능이 없음. Volatility 등이 사용됨

Windows에서 USB 장치 연결 흔적은 주로 어떤 레지스트리 하이브에 저장되는가?

A: SYSTEM 키워드 설명: 레지스트리 하이브: SYSTEM, SOFTWARE, NTUSER.DAT 등 USB 흔적: SYSTEM 하이브의 Enum\USBSTOR 경로에 저장됨 분석 도구: USBDeview, Registry Explorer

'Alternate Data Stream(ADS)'를 활용하여 은닉된 파일을 탐지하는 명령어는?

A: dir /r 키워드 설명: ADS: NTFS에서 파일의 보조 데이터 저장 공간 dir /r: ADS 포함 모든 스트림 표시 포렌식 사용: 은닉 파일 탐지

WebcacheV01.dat 파일은 어떤 데이터베이스 형식을 사용하는가?

A: ESE(Extensible Storage Engine) 키워드 설명: WebcacheV01.dat: IE 및 Edge의 히스토리, 쿠키, 캐시 저장 ESE: MS의 구조화 DB, .edb 파일 형태 분석 도구: ESEDatabaseView

시그니처 기반 탐지는 어떤 방식으로 파일을 식별하는가?

A: 파일의 헤더 정보와 매직 넘버 키워드 설명: 시그니처 기반 탐지: 파일 시작 부분의 고유 패턴 식별 매직 넘버: 예: JPEG → FF D8 FF 한계: 위장된 파일명에는 속기 쉬움

MAC 타임스탬프 중 'Created Time'은 어떤 상황에서 변하지 않는가?

A: 파일을 복사할 때 키워드 설명: MAC 시간: Modified, Accessed, Created 복사 시: Created는 새로 생성되므로 변화 이동 시: 시간 정보 유지 가능

Windows에서 사용자의 최근 실행 프로그램 정보는 어디에 저장되는가?

A: NTUSER.DAT 키워드 설명: NTUSER.DAT: 사용자별 레지스트리 정보 최근 실행기록: Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU 분석 도구: Registry Explorer, Regripper

이미지 파일 내 촬영 시간, GPS 위치 등이 저장되는 메타데이터 형식은?

A: EXIF 키워드 설명: EXIF: Exchangeable Image File Format

웹 브라우저의 프라이빗 모드(시크릿 모드)에서는 방문 기록이 저장되지 않지만, 실제로 일부 정보가 남을 수 있는 위치는?

A: RAM (메모리) 키워드 설명: 시크릿 모드: 사용자 흔적 최소화 RAM: 휘발성 메모리지만 분석 시 흔적이 남을 수 있음

FAT 파일 시스템에서 삭제된 파일의 첫 문자로 사용되는 것은?

A: E5h 키워드 설명: FAT: 파일 할당 테이블 E5h: 삭제된 파일 표시용 특수 문자

NTFS의 Master File Table(MFT)은 어떤 정보를 저장하는가?

A: 파일의 메타데이터 키워드 설명: MFT: NTFS의 핵심 구조 메타데이터: 파일 이름, 크기, 생성/수정/접근 시간 등

레지스트리에서 USB 장치 연결 기록을 확인할 수 있는 주요 키는?

A: SYSTEM 하이브의 Enum\USB 키워드 설명: 레지스트리: 윈도우 설정 데이터베이스 USB 흔적: 장치 연결 시 자동 기록됨

웹캐시 분석 도구인 ESEDatabaseView는 어떤 파일 분석에 주로 사용되는가?

A: WebCacheV01.dat 키워드 설명: ESE Database: Extensible Storage Engine 기반 DB WebCacheV01.dat: IE와 Edge의 캐시/히스토리 저장 파일

'파일 카빙(file carving)' 기법은 어떤 상황에서 주로 활용되는가?

A: 파일 시스템 정보가 손상되었을 때 키워드 설명: 파일 카빙: 파일 구조 기반 복원 헤더/푸터 기반 검색: 확장자 대신 시그니처 활용

Volatility 도구는 어떤 유형의 포렌식 분석에 사용되는가?

A: 메모리 분석 키워드 설명: Volatility: 오픈소스 메모리 포렌식 도구 프로세스, 네트워크, DLL 정보 등 분석 가능

시스템 부팅 시 자동 실행되는 프로그램의 흔적은 어느 레지스트리 키에 저장되는가?

A: SOFTWARE\Microsoft\Windows\CurrentVersion\Run 키워드 설명: 자동 실행 프로그램: 악성코드 흔적 분석 시 중요 Run 키: 로그인 시 실행되는 항목 저장

디지털 증거 수집 시 '라이브 분석'의 주된 단점은 무엇인가?

A: 증거 오염 가능성 키워드 설명: 라이브 분석: 시스템 작동 중 수집 오염: 수집 과정에서 데이터 변경 우려

윈도우에서 Prefetch 파일은 어떤 확장자를 가지며, 주로 어떤 정보를 저장하나요?

A. .pf, 프로그램 실행 이력 키워드 설명: Prefetch: 프로그램 실행 시간과 경로 등의 정보를 저장해 성능 향상을 도모 .pf 파일: C:\Windows\Prefetch에 저장됨

리눅스 시스템에서 최근 명령어 실행 기록을 저장하는 기본 파일은?

A. .bash_history 키워드 설명: .bash_history: 사용자의 셸 명령 기록 파일 리눅스 포렌식에서 사용자 행위 추적에 중요

NTFS 파일 시스템에서 파일 삭제 시 실제 데이터는 어디에 남아 있을 수 있는가?

A. MFT (Master File Table) 키워드 설명: MFT: NTFS 구조의 핵심 메타데이터 영역 삭제 파일: 데이터는 남아 있고 MFT 항목만 삭제됨

macOS의 로그 파일은 일반적으로 어떤 디렉터리에 저장되는가?

A. /var/log 키워드 설명: /var/log: 시스템 로그, 보안 로그, 커널 로그 등 포함 macOS 포렌식의 기본 출발점

100

Windows Event Log의 기본 확장자는

A. .evtx 키워드 설명: .evtx 파일: 이벤트 로그 저장, Event Viewer로 열람 시스템/보안 로그: 로그인, 오류, 서비스 실행 확인 가능

가정2

가정2

회사정보

회사정보

< 1교시 >

kinosent · 55問 · 3ヶ月前

< 1교시 >

철콘 중간

철콘 중간

평가-우수유출(개정)

kinosent · 15問 · 4ヶ月前

평가-우수유출(개정)

항해실무-함정운용

항해실무-함정운용

7.재해영향평가2 - 강사출제

kinosent · 39問 · 4ヶ月前

7.재해영향평가2 - 강사출제

열의 종류

열의 종류

연소범위

연소범위

방재교육 강사 문제

kinosent · 28問 · 4ヶ月前

방재교육 강사 문제

전공

전공

위험류 종류와 성질

위험류 종류와 성질

기본이론&연소이론

기본이론&연소이론

군번

군번

학개론 금융론

학개론 금융론

<경기> 조경시설설계

<경기> 조경시설설계

점화원의 종류

점화원의 종류

특정소방대상물2

특정소방대상물2

23년2회

23년2회

과학의 기초 - it북, 모의고사, 시험

. · 16問 · 6ヶ月前

과학의 기초 - it북, 모의고사, 시험

16問 • 6ヶ月前