책소개

최고의 윈도 포렌식 실무서

컴퓨터 포렌식 개요, 라이브 리스폰스, 메모리 분석, 파일 분석, 레지스트리 분석 등 해외 유명 서적과 비교해도 손색을 정도로 포렌식에 관한 방대하고 상세한 이론과 실전 정보를 제공한다. 윈도XP가 대상이며 윈도Vista 및 윈도7은 반영하지 않았지만, XP와 큰 차이는 없다. 다수의 공개 프로그램을 주로 사용하였으며 부가적으로 EnCase 6.15를 사용했다.
체계적이고 깊이 있는 포렌식 최고의 전문서!
이 책은 사이버 증거를 확보하기 위한 포렌식 절차와 기법, 중요 툴에 대해서 다룬 최고의 집필서이다. 영화나 드라마에서 사이버 수사로 잘 알려진 포렌식은 미국의 DoD나 FBI는 말할 것도 없고 국내에서도 이미 수사기관, 군기관, 관제소, 대기업(E-Discovery), 세무회계법인 등에서 활용하고 있다. 만약 당신이 포렌식의 전문가로서의 길을 선택한다면 지금 바로 이 책을 읽어야 할 것이다!
컴퓨터는 또 하나의 범죄 현장이다!
아직 컴퓨터와 인터넷이 친숙하지 않던 시절, 범죄 현장의 컴퓨터는 하나의 부수적인 증거물에 지나지 않았다. 그러다 컴퓨터가 업무와 일상생활 양쪽에서 밀접한 관계를 맺기 시작하면서, 컴퓨터는 더 이상 부수적인 증거물이 아니라 또 하나의 ‘범죄 현장’으로 인식되기 시작했다. 사이버 범죄의 모든 증거는 컴퓨터에 있다. 이 책은 윈도우에 숨겨진 진실을 밝히기 위한 방법을 체계적으로 다루고 있다.
판결을 뒤집는 디지털 증거에 대한 무결성을 확보하라!


법원이 인정하는 디지털 증거를 제시하기 위해서 어떻게 무결성을 확보해야 할까? 결정적인 자료가 무결성이 훼손되어 증거로 채택되지 않아 범행을 입증하지 못한다면 얼마나 억울한 일이겠는가? 증거 확보를 위해 무조건 컴퓨터 플러그를 뽑고 본체를 압류하는 행동은 정말 적절한 방법인가? 이 책은 여러분에게 디지털 자료를 디지털 증거로 만드는 최고의 방법을 선사해 줄 것이다.
[주요 내용]
- 라이브 리스폰스(휘발성 정보의 종류, 특징, 수집 방법)
- 윈도우 가상 메모리 구조와 가상 주소와 물리 주소 변환
- 프로세스의 구조
- 메모리 분석의 실제 예
- 윈도우 실행 파일의 PE 파일의 구조와 분석 기법
- 레지스트리 분석
- 윈도우 아티팩츠
- 윈도우 포렌식에 필요한 각종 도구
어떤 독자를 위한 책인가?
-. 사이버 수사 기관
-. 정보보호 업무, 인터넷 침해 사고 대응 담당자
-. 대학원생 & 관심 있는 대학생
-. 해킹 전문가
-. 안티바이러스 제작 전문가

저자소개

고원봉
저자 고원봉은 성균관대학교 전기전자컴퓨터 학과를 졸업하고 정보보호 학과 석사를 수료했다. KT 스팸대응센터, SKT 고객정보보호 운영실 근무했고 현재는 모 기관에서 포렌식과 관련된 직종에서 일하고 있다. CISSP, CISA, EnCE 자격증을 보유하고 있다.

목차

서론
컴퓨터 포렌식
디지털 포렌식, 사이버 포렌식, 컴퓨터 포렌식
컴퓨터 포렌식의 적용 분야
데이터 복구 및 파일 카빙
컴퓨터 포렌식 전문가
이 책의 목적과 구성
윈도우 Vista, 7
1장. 라이브 리스폰스
1. 라이브 리스폰스의 중요성
2. 언제 라이브 리스폰스를 수행할 것인가?
3. 라이브 리스폰스의 원칙
4. 사전 준비
4.1 모니터링과 문서화
4.2 시스템 DLL 파일 사용하지 않기
4.3 파일 이름 변경
5. 조사용 미디어와 데이터 수집 기법
5.1 CD와 USB 썸 드라이브
5.2 네트워크를 통한 데이터 전송 및 유의 사항
6. 휘발성 정보의 수집 순서
7. 휘발성 정보의 수집
7.1 OS 쉘과 권한 상승
7.2 물리적 메모리 덤프
7.3 시스템 시간
7.4 네트워크 연결 정보
7.5 프로세스 목록
7.6 핸들(Handles)
7.7 DLL 파일
7.8 로그온 사용자
7.9 열린 파일
7.10 열린 포트와 프로세스 맵핑
7.11 커맨드 히스토리(Command History)
7.12 서비스 목록
7.13 시작점
7.14 내부 라우팅 테이블
7.15 네트워크 인터페이스 정보
7.16 예약된 작업
7.17 클립보드
7.18 네트워크 드라이브와 공유 폴더
7.19 넷바이오스 이름
7.20 프로세스 덤프
8. 스크립트 만들기
2장. 메모리 분석
1. 라이브 리스폰스와 메모리 분석
2. 메모리 덤프 만들기
2.1 하드웨어를 이용한 메모리 덤프
2.2 소프트웨어를 이용한 메모리 덤프
2.3 크래쉬 덤프
2.4 하이버네이션 파일
3. 프로세스와 커널 오브젝트
3.1 프로그램, 프로세스, 스레드
3.2 커널 오브젝트
4. 윈도우 메모리
4.1 파일로서의 메모리
4.2 시스템 메모리
4.3 가상 메모리
4.4 가상 메모리의 구조
4.5 가상 주소와 물리적 주소 사이의 주소 변환
5. 숨겨진 프로세스 찾기
5.1 EPROCESS
5.2 ActiveProcessList
5.3 Direct Kernel Object Manipulation
5.4 커널 오브젝트 검색
6. 윈도우 메모리 분석
6.1 전통적인 메모리 분석 기법
6.2 프로세스 목록
6.3 프로세스 정보
6.4 드라이버 목록
6.5 네트워크 연결 정보
6.6 후크
6.7 추가적인 메모리 분석 기법과 메모리 아티팩츠
7. 메모리 분석 도구 비교
3장. 실행 파일 분석
1. 실행 파일 분석 순서
2. 정적 분석과 동적 분석
3. 정적 분석 환경
3.1 간단한 실행 파일 분석
3.2 안티 바이러스 프로그램
3.3 문자열 조사
4. PE 파일 분석
4.1 PE 파일의 내부 구조
4.2 도스 영역
4.3 PE 헤더 영역
4.4 섹션 헤더 영역
4.5 섹션 영역
5. 방해꾼들
5.1 팩커
5.2 크립터
5.3 프로텍터
5.4 압축, 암호화된 파일의 검출과 해제
5.5 프로세스 디버깅
6. 동적 분석
6.1 동적 분석 환경
6.2 모니터링
4 장. 레지스트리 분석
1. 레지스트리의 구성
1.1 HKEY_CLASSES_ROOT (HKCR)
1.2 HKEY_CURRENT_USER (HKCU)
1.3 HKEY_LOCAL_MACHINE (HKLM)
1.4 HKEY_USER (HKU)
1.5 HKEY_CURRENT_CONFIG (HKCC)
1.6 하이브 목록
2. 레지스트리 값과 ROT13
3. 하이브 파일의 구조
3.1 하이브 블록
3.2 하이브 빈
3.3 셀
3.4 레지스트리 시그니처
4. 레지스트리 하이브 카빙
5. 레지스트리 아티팩트
5.1 시스템 정보
5.2 표준 시간대와 시간/날짜 조정 애플릿
5.3 마지막으로 로그온한 사용자
5.4마지막 종료 시간
5.5 공유 목록
5.6 자동 시작점
5.7 감사 정책
5.8 Wireless SSID
5.9 네트워크 인터페이스
5.10 이동형 저장장치
5.11 연결된 저장장치
5.12 계정 정보
5.13 UserAssist
5.14 MRU List
5.15 Mapped Network Drive
5.16 캐시 된 다국적 프로그램 이름
5.17 삭제된 프로그램의 알림 아이콘
6. 레지스트리 모니터링
5장. 윈도우 아티팩트
1. 시간과 날짜
1.1 Real-Time Clock
1.2 시스템 시간
1.3 표준 시간대
1.4 파일 시스템 시간
1.5 파일 복사/이동에 의한 타임스탬프 변경
1.6폴더의 복사/이동 시의 타임스탬프 변경
1.7 파일 타임스탬프를 통한 추론들
1.8 윈도우 시간의 불확실성
1.9 컴퓨터 포렌식에서의 관점
2. 보안 식별자
2.1 SID의 형식
2.2 SID와 계정 연결하기
3. 휴지통(Recycle Bin)
3.1 휴지통 폴더의 구조
3.2 유틸리티로서의 휴지통
3.3 INFO2 파일의 구조
3.4 삭제된 파일의 복원
3.5 파일 삭제와 휴지통 비우기
3.6 휴지통 사용하지 않기
4. 이벤트 로그
4.1 이벤트 로그의 형식
4.2 이벤트 세부 정보
4.3 이벤트 ID
4.4 메세지 파일
4.5 이벤트 로그 파일의 구조
4.6 복사한 이벤트 로그 파일 열기
5. 바로 가기
5.1 바로 가기의 생성
5.2 바로 가기의 구조
5.3 EnCase로 본 바로 가기
6. 프리패치 파일 (Prefetch Files)
6.1 프리패치 파일이 가지고 있는 정보
7. 기타 윈도우 로그 파일들
7.1 SetupLog.txt
7.2 SetupAct.log
7.3 SetupAPI.log
7.4 예약된 작업 로그
7.5 윈도우 방화벽 로그
7.6 Dr. Watson 로그
8. 기타 윈도우 아티팩트
8.1 사용자 루트 폴더
8.2 내 최근 폴더
8.3 바탕 화면 폴더
8.4 내 문서 폴더
8.5 보내기 폴더
8.6 Temp 폴더

한줄 서평