수업 1타임라인 구축: 타임스탬프 정규화, 소스 간 상관, 타임라인 도구 (PLASO/Timesketch) 및 방법론이 섹션은 포렌식 타임라인 체계적 구축을 가르칩니다. 학생들은 타임스탬프 정규화, 소스 간 이벤트 상관, PLASO 및 Timesketch 같은 도구를 사용해 타임라인 구축, 쿼리, 조사 결론 지원 제시를 합니다.
Collecting timestamped artifacts safelyTimezone handling and normalization rulesBuilding super timelines with PLASOVisualizing and querying in TimesketchCorrelating events across multiple sourcesUsing timelines to test case hypotheses수업 2Windows 특정 로그 및 아티팩트: 이벤트 로그 (시스템, 보안, 애플리케이션), Windows 보안 감사 로그, Prefetch, LNK 단축키 파일, RecentDocs, UserAssist이 섹션은 사용자 및 시스템 활동을 드러내는 Windows 로그 및 지원 아티팩트를 탐구합니다. 학습자는 보안, 시스템, 애플리케이션 로그, Prefetch, LNK, RecentDocs, UserAssist를 분석해 프로그램 실행 및 파일 접근 재구성합니다.
Key Windows Event Log channels and usesSecurity Audit events for logon and accessPrefetch analysis for program executionLNK shortcuts and RecentDocs correlationsUserAssist entries and GUI-based activityCross-validating logs with file system data수업 3애플리케이션 및 브라우저 아티팩트: 웹메일 접근 흔적 (쿠키, 캐시 페이지, 저장 자격 증명), 브라우저 기록, 양식 자동 입력, 확장, 웹메일 헤더이 섹션은 온라인 행동을 드러내는 애플리케이션 및 브라우저 아티팩트에 중점을 둡니다. 학생들은 쿠키, 캐시, 저장 자격 증명, 기록, 자동 입력, 확장, 웹메일 헤더를 분석해 웹메일 접근 및 잠재적 데이터 유출 추적합니다.
Browser history and visit reconstructionCookie and session artifact analysisCached pages and offline web contentSaved credentials and password storesForm autofill and input reconstructionWebmail headers and access indicators수업 4네트워크 및 VPN 아티팩트: VPN 클라이언트 로그, Windows 네트워킹 로그, 라우팅 테이블, 네트워크 캡처 (사용 가능 시), DHCP, DNS 캐시이 섹션은 네트워크 및 VPN 사용을 드러내는 아티팩트를 다룹니다. 학습자는 VPN 클라이언트 로그, Windows 네트워킹 로그, 라우팅 데이터, DHCP, DNS 캐시, 패킷 캡처를 검토해 원격 접근, 유출 경로, 명령 채널 식별합니다.
VPN client logs and session timelinesWindows firewall and networking logsDHCP leases and IP address attributionDNS cache and name resolution historyAnalyzing routing tables and tunnelsUsing packet captures when available수업 5파일 시스템 및 저장 아티팩트: NTFS 구조 (MFT, $LogFile, $UsnJrnl), 파일 슬랙, 대체 데이터 스트림, 타임스탬프 (MFT, $STANDARD_INFORMATION, $FILE_NAME)이 섹션은 조사에 중요한 Windows 파일 시스템 아티팩트를 검토합니다. 학습자는 MFT, $LogFile, $UsnJrnl을 포함한 NTFS 구조, 파일 슬랙, 대체 데이터 스트림을 분석해 파일 기록 및 숨김 활동 재구성합니다.
Master File Table structure and entries$LogFile and transaction rollback analysis$UsnJrnl for change tracking over timeInterpreting NTFS timestamp triadsFile slack and residual data inspectionAlternate Data Streams and hidden content수업 6외부 미디어 및 USB 사용 아티팩트: Windows USBSTOR, SetupAPI, 레지스트리 MountPoints2, PnP 항목, 기기 연결 타임스탬프 아티팩트이 섹션은 외부 미디어 사용을 기록하는 Windows 아티팩트를 검토하며, USB 기기에 중점을 둡니다. 학생들은 USBSTOR, SetupAPI, MountPoints2, PnP 데이터를 분석해 기기, 최초 및 마지막 사용, 잠재적 데이터 전송 창 식별합니다.
USBSTOR keys and device identificationSetupAPI logs and installation timelinesMountPoints2 and volume label correlationsPnP device entries and connection historyCorrelating USB artifacts with user sessionsDetecting suspicious removable media activity수업 7삭제 및 할당되지 않은 공간 복구: 캐빙 기술, 파일 슬랙 분석, 삭제 복구 도구, 삭제 이메일 첨부 복구이 섹션은 삭제 및 할당되지 않은 공간에서 증거 복구에 중점을 둡니다. 학생들은 캐빙 기술 적용, 파일 슬랙 분석, 삭제 복구 도구 사용, 의심 유출 관련 문서 및 이메일 첨부 복구를 합니다.
Understanding deleted and unallocated spaceFile carving methods and tool selectionAnalyzing file slack for residual contentUsing undelete tools safely and forensicallyRecovering deleted email attachmentsValidating and documenting recovered data수업 8조사 목표 및 가설 정의: 유출 증명, 타임라인 수립, 사용자 계정 및 의도 식별이 섹션은 사건 질문을 구체적 포렌식 목표로 변환, 테스트 가능 가설 형성, 특정 아티팩트 매핑을 다룹니다. 학습자는 유출 증명, 타임라인 구축, 사용자 의도 방어 가능 평가 계획합니다.
Turning case questions into forensic objectivesLinking hypotheses to specific artifact sourcesPlanning to prove or refute data exfiltrationDesigning methods to establish activity timelinesAttributing actions to user accounts and devicesDocumenting assumptions, limits, and caveats
