[디지털포렌식 실무 2편] Windows 레지스트리를 이용해 쓰기 방지 설정하기! (Windows Registry Forensic)

AI가 그린 디지털포렌식 분석관의 모습

 

오늘은 '디지털포렌식 실무 2편' 으로

1편에서 알아본 증거물 사본생성 작업에 앞서 선행 해야될

조치에 대한 내용을 전달하려 한다

 

1편 : 증거물 사본생성 하기

[디지털포렌식 실무 1편] FTK Imager 프로그램을 이용한 사본 생성 하기! (무료 포렌식 프로그램)

 

 

그렇다면 증거물을 사본생성 할 때, 왜 쓰기 방지를 해야 할까?

그건 바로 데이터의 위/변조를 방지하기 위해서 이다.

 

물론 증거물에 대한 쓰기방지를 위한 여러가지 장비 or 소프트웨어가

존재 하지만 대부분 전문 장비이거나 비용이 비싸

일반인들이 쉽게 접하거나 사용하기는 어렵다.

 

따라서, 오늘은 Windows 레지스트리 조작을 통해 간편하게 쓰기방지를 설정하는 방법을 알아보자!

 

#1. Windows 레지스트리 탐색기 열기

찾기 -> regedit 입력 ->  레지스트리 편집기 실행

 

 

#2. 쓰기방지 설정을 위한 레지스트리 추가

HKEY_LOCAL_MACHINE->SYSTEM->CurrentControlSet->Control

 

 

#3. 쓰기방지 설정을 위해 StorageDevicePolicies 레지스트리 키 추가

새로 만들기 -> 키 -> StorageDevicePolicies (대소문자 구별 필수)

 

 

 

 

#4. 쓰기방지 레지스트리에 WriteProtect 값 추가

StorageDevicePolicies (대소문자 구별 필수) -> 새로 만들기 -> DWORD -> WriteProtect

 

 

#5. 생성 된 WriteProtect 값 1로 변경 (쓰기방지 설정) / 0 (쓰기방지 해제)

값 데이터(V) : 1 - 쓰기방지 설정

값 데이터(V) : 2 - 쓰기방지 해제