지은이 서문

서론
컴퓨터 포렌식
디지털 포렌식, 사이버 포렌식, 컴퓨터 포렌식
컴퓨터 포렌식의 적용 분야
데이터 복구 및 파일 카빙
컴퓨터 포렌식 전문가
이 책의 목적과 구성
윈도우 Vista/7

1장 라이브 리스폰스
01. 라이브 리스폰스란?
02. 라이브 리스폰스의 중요성
03. 언제 라이브 리스폰스를 수행할 것인가?
04. 라이브 리스폰스의 원칙
05. 사전 준비
모니터링과 문서화
시스템 DLL 파일 사용하지 않기
파일 이름 변경
06. 조사용 미디어와 데이터 수집 기법
CD와 USB 썸 드라이브
네트워크를 통한 데이터 전송 및 유의 사항
07. 휘발성 정보의 수집
OS 셸과 권한 상승
물리적 메모리 덤프
시스템 시간
네트워크 연결 정보
프로세스 목록
핸들
DLL 파일
로그온 사용자
열린 파일
열린 포트와 프로세스 맵핑
커맨드 히스토리
서비스 목록
시작점
내부 라우팅 테이블
네트워크 인터페이스 정보
예약된 작업
클립보드
네트워크 드라이브와 공유 폴더
넷바이오스 이름
프로세스 덤프
09. 스크립트 만들기

2장 메모리 분석
01. 메모리 분석이란?
메모리에 바로 로드되는 악성 프로그램
사용자 프라이버시 보호
안티 포렌식 기술
02. 라이브 리스폰스와 메모리 분석
03. 메모리 덤프 만들기
하드웨어를 이용한 메모리 덤프
소프트웨어를 이용한 메모리 덤프
크래시 덤프
하이버네이션 파일
04. 프로세스와 커널 오브젝트
프로그램, 프로세스, 스레드
커널 오브젝트
05. 윈도우 메모리
파일로서의 메모리
시스템 메모리
가상 메모리
가상 메모리의 구조
가상 주소와 물리적 주소 사이의 주소 변환
06. 숨겨진 프로세스 찾기
EPROCESS
ActiveProcessList
Direct Kernel Object Manipulation
커널 오브젝트 검색
07. 윈도우 메모리 분석
전통적인 메모리 분석 기법
프로세스 목록
프로세스 정보
드라이버 목록
네트워크 연결 정보
후크
추가적인 메모리 분석 기법과 메모리 아티팩트
08. 메모리 분석 도구 비교

3장 실행 파일 분석
01. 실행 파일이란?
02. 실행 파일 분석 순서
03. 정적 분석과 동적 분석
04. 정적 분석 환경
간단한 실행 파일 분석
안티 바이러스 프로그램
문자열 조사
05. PE 파일 분석
PE 파일의 내부 구조
도스 영역
PE 헤더 영역
섹션 헤더 영역
섹션 영역
06. 방해꾼들
팩커
크립터
프로텍터
압축, 암호화된 파일의 검출과 해제
프로세스 디버깅
07. 동적 분석
동적 분석 환경
모니터링

4장 레지스트리 분석
01. 레지스트리의 구성
HKEY_ CLASSES_ ROOT(HKCR)
HKEY_ CURRENT_ USER(HKCU)
HKEY_ LOCAL_ MACHINE(HKLM)
HKEY_ USER(HKU)
HKEY_ CURRENT_ CONFIG(HKCC)
하이브 목록
02. 레지스트리 값과 ROT-13
03. 하이브 파일의 구조
하이브 블록
하이브 빈
셀
레지스트리 시그니처
04. 레지스트리 하이브 카빙
05. 레지스트리 아티팩트
시스템 정보
표준 시간대와 시간/날짜 조정 애플릿
마지막으로 로그온한 사용자
마지막 종료 시간
공유 목록
자동 시작점
감사 정책
Wireless SSID
네트워크 인터페이스
이동형 저장장치
연결된 저장장치
계정 정보
UserAssist
MRU List
Mapped Network Drive
캐시된 다국적 프로그램 이름
삭제된 프로그램의 알림 아이콘
06. 레지스트리 모니터링

5장 윈도우 아티팩트
01. 시간과 날짜
Real-Time Clock
시스템 시간
표준 시간대
파일 시스템 시간
파일 복사/이동에 의한 타임스탬프 변경
폴더의 복사/이동 시의 타임스탬프 변경
파일 타밍스탬프를 통한 추론
윈도우 시간의 불확실성
컴퓨터 포렌식에서의 관점
02. 보안 식별자
SID의 형식
SID와 계정 연결하기
03. 휴지통(Recycle Bin)
휴지통 폴더의 구조
유틸리티로서의 휴지통
INFO2 파일의 구조
삭제된 파일의 복원
파일 삭제와 휴지통 비우기
휴지통 사용하지 않기
04. 이벤트 로그
이벤트 로그의 형식
이벤트 세부 정보
이벤트 ID
메시지 파일
이벤트 로그 파일의 구조
복사한 이벤트 로그 파일 열기
05. 바로 가기
바로 가기의 생성
바로 가기의 구조
EnCase로 본 바로 가기
06. 프리패치 파일(Prefetch Files)
프리패치 파일이 가지고 있는 정보
07. 기타 윈도우 로그 파일
SetupLog.txt
SetupAct.log
SetupAPI.log
예약된 작업 로그
윈도우 방화벽 로그
Dr. Watson 로그
08. 기타 윈도우 아티팩트
사용자 루트 폴더
내 최근 문서 폴더
바탕 화면 폴더
내 문서 폴더
보내기 폴더
Temp 폴더

찾아보기