매체 정보 문제는 개인 USB 또는 개인 컴퓨터의 하드디스크로 분석도 가능하다. USB는 속도도 느리고 용량 설정도 다양하게 하기 어렵다. 윈도우의 가상디스크를 이용하여 원하는 크기, 용량,파일시스템을 설정하여 이미지를 추출한 뒤 분석 연습을해 볼 수 있다.
내 컴퓨터 [우클릭] – 관리 선택 한다.
컴퓨터 관리 – 저장소의 [디스크 관리] 선택 후 기타 작업 – [VHD 만들기] 선택
가상이미지를 저장할 경로, 크기, 고정크기 등을 설정한다. 보통 시험은 16GB 또는 32GB 크기의 USB를 제공할 것이다. 그러나 연습환경에서는 필요한 용량만 설정하여 활용하면 된다.
완료가 되면 디스크에 아직 포멧이 되지 않은 디스크가 할당된다. 이때, 디스크 선택 – 우클릭 – 디스크 초기화를 선택한다.
만약 위의 그림과 같이 민트색이 나오지 않거나 안되면 아래와 같이 기타 작업 – [VHD 연결]을 선택 하여 만들어진 가상이미지(경로)를 선택한다.
디스크 초기화가 되면 아래와 같이 선택 하면 된다. 마약 GPT 파티션 테이블 분석 연습을 위해선 GPT로 선택하여도 된다.
초기화가 완료되면 아래와 같이 디스크의 검정 부분 선택 후 우클릭 - [새 단순 볼륨]을 통해 파티션 크기등을 설정할 수 있다.
파티션을 여러개 나누고 싶다면 용량을 최대 디스크 용량보다 작게 원하는 크기로 설정하면 된다.
또한 아래와 같이 파일시스템 종류, 할당 단위크기(클러스터크기), 레이블 등을 설정할 수 있다.
완료가 된 후 추가로 파티션을 만들고 싶다면 아래와 같이 남은 영역에 [새 단순 볼륨]을 설정하면 된다.
아래와 같이 실제 USB 처럼 사용할 수 있다. 이 곳에 다양한 파일들을 넣거나 하여 문제 이미지 처럼 만들 수 있을 것이다.
FTK Imager에서도 Add evidence에서 physical 을 선택하면 본인이 설정한 용량에 해당하는 것을 선택하면 내용 확인도 가능하고 Raw, E01등의 이미지로 추출할 수 있다.
EnCase에서도 Add Local Device를 통해 실제 USB를 연결한것과 동일하게 이미지 획득 및 분석 또한 가능하다.
만약 연결을 해제하고 싶거나 가상 디스크 파일을 삭제 하고 싶다면 아래와 같이 가상 디스크 부분을 우클릭 - VHD 분리 한 후 만든 vhd 파일을 삭제할 수 있다. 만약 다른 사람과 고유 하고 싶다면 VHD 파일을 복사해서 활용하면 된다.
