윈도우 포렌식 수사

‘윈도우 디지털 포렌식 완벽 활용서’를 내놓은 지 3년이 지났습니다. 그동안 생성형 AI를 비롯하여 정보기술이 놀라울 정도로 급변하였고, 현재도 진행 중입니다. 이러한 변화에 맞추어 마이크로소프트사에서도 자사 운영체제에 대한 신규 버전을 계속 출시하고 있습니다. 현재 우리나라에서 가장 많이 사용하는 운영체제는 윈도우 10 버전입니다. 필자의 전작도 윈도우 10 버전을 기반으로 집필된 것입니다. 그러나 마이크로소프트사는 윈도우 10 버전에 대한 지원을 2025년 10월경 종료하고, 사용자들에게는 윈도우 11 버전으로 전환할 것을 권고하고 있습니다.

이 책은 이러한 변화에 맞게, 윈도우 11 시스템에 대한 디지털 포렌식 수사 기술을 담아낸 것입니다. 윈도우 레지스트리, 윈도우 이벤트 로그, 그외 다양한 윈도우 아티팩트를 실무에서 바로 참고할 수 있도록 예제 시나리오를 구성하고, 이것을 실무자의 관점에서 풀어나가는 과정을 그려냈습니다. 특히 각 아티팩트별로 별도의 명칭을 부여함으로써 독자님들이 해당 아티팩트의 출처와 기능을 쉽게 연상할 수 있도록 구성하였습니다. 예를 들면 윈도우 레지스트리는 ⓡ로 시작되는 접두어를, 윈도우 이벤트 로그는 ⓔ로 시작되는 접두어를, 나머지 아티팩트는 ⓐ로 시작되는 접두어를 각각 붙여 쉽게 구분이 가능하도록 배치하였습니다.

[목 차]

제 1 장 윈도우 레지스트리

1.1 개요 2

1.1.1 레지스트리란 무엇인가? 2

1.1.2 디지털 포렌식 관점에서의 활용도 11

1.1.3 윈도우 11 레지스트리의 특징 15

1.1.4 레지스트리 분석 방법과 도구 17

1.2 주요 레지스트리 27

1.2.1 운영체제 설치 정보 27

1.2.2 네트워크 정보 39

1.2.3 사용자 계정 54

1.2.4 프로그램 설치 정보 65

1.2.5 심캐시 73

1.2.6 프로그램 자동 실행 76

1.2.7 유저어시스트 81

1.2.8 서비스/드라이버 목록 87

1.2.9 타임존 92

1.2.10 USB 등 저장 매체 연결 흔적 95

1.2.11 MRU 목록 133

 

제 2 장 윈도우 이벤트 로그

2.1 개요 164

2.1.1 윈도우 이벤트 로그란 무엇인가? 164

2.1.2 디지털 포렌식 관점에서의 활용도 177

2.1.3 윈도우 11 이벤트 로그의 특징 182

2.1.4 윈도우 이벤트 로그 분석 방법과 도구 187

2.2 주요 이벤트 로그 194

2.2.1 시스템의 시작과 종료 194

2.2.2 로그온과 로그오프 207

2.2.3 네트워크 연결 213

2.2.4 외부저장장치의 연결 216

2.2.5 스마트폰 연결 227

2.2.6 프린터 연결 235

2.2.7 프로그램 자동 실행 239

2.2.8 사용자 계정 관리 242

2.2.9 시스템 시간 변경 250

2.2.10 컴퓨터 이름 변경 257

2.2.11 절전 모드 260

 

제 3 장 윈도우 아티팩트

3.1 개요 264

3.1.1 윈도우 아티팩트란 무엇인가? 264

3.1.2 디지털 포렌식 관점에서의 활용도 276

3.1.3 윈도우 11 아티팩트의 특징 280

3.1.4 윈도우 아티팩트 분석 방법과 도구 284

3.2 주요 아티팩트 293

3.2.1 시스템 서비스 등 동작 293

3.2.2 무선 네트워크 정보 299

3.2.3 프로그램 설치와 실행 304

3.2.4 알림 정보 342

3.2.5 이메일 흔적 348

3.2.6 인터넷 사용 흔적 (1) 354

3.2.7 인터넷 사용 흔적 (2) 403

3.2.8 인터넷 사용 흔적 (3) 441

3.2.9 파일 관리 454

3.2.10 접근한 파일/폴더 정보 (1) 486

3.2.11 접근한 파일/폴더 정보 (2) 518

3.2.12 파일/폴더의 삭제 537

3.2.13 썸네일 546

3.2.14 윈도우 검색 색인 DB 550

3.2.15 메신저 백업 데이터 556

3.2.16 모바일 백업 데이터 558

 

제 4 장 사건 시나리오와 실습하기

4.1 사건 시나리오 568

4.2 실습하기 570

4.2.1 현장 대응 570

4.2.2 라이브 포렌식 조사 573

4.2.3 사후 포렌식 준비 579

4.2.4 Autopsy를 이용한 포렌식 분석 582

 

부록 639

1. 분석 프로그램 목록 640

2. 윈도우 레지스트리(ⓡ), 윈도우 이벤트로그(ⓔ), 윈도우 아티팩트(ⓐ) 목록 642

3. 가상머신을 이용한 분석환경 만들기 652

 

색인 / 662