have a Young's

1. FTK Imager를 열고, Add Evidence Item을 클릭 후 Logical Drive 선택 후 다음 2. Source Drive 선택하고 완료 3. 삭제된 파일 선택해서 Export Files를 한다. 결과를 보면 성공적으로 추출했다. Export Results가 0 bytes인 경우에는 복원이 되지 않은 것이다. 추출한 파일을 열어보니 복원이 된 것을 확인할 수 있다.

휘발성 메모리에는 장치를 다시 시작하거나, 종료할 때 손실되는 아래와 같은 Artifacts(운영체제나 애플리케이션을 사용하면서 생성되는 흔적으로 포렌식에서 사용되는 단어)가 포함되어 있다. - 시스템 프로세스 - 서비스 실행 - 클립보드 정보 - 탐색 세션(시크릿 세션) - 비밀번호 - 액세스된 파일 및 멀티미디어 - 채팅/실행 중인 애플리케이션 저장 데이터 - Malware 동작 - etc.. [ 프로세스 제한 ] - 휘발성 메모리 획득에는 많은 제한이 존재하는데, 전적으로 시나리오와 시스템 상태에 따라서 다름. - 접근이 제한된 장치는 휘발성 메모리 분석에 사용할 수 없음. - 잠금 해제로 인해서 시스템 데이터가 변경되면 시스템이 불안정 할 수 있음. - 모바일 장치(루팅되거나 탈옥된) 플랫폼의 경..