EDISCOVERY TALK

Computer Forensic 업계에서 최강의 분석/복구툴로 군림하는 EnCase와 뒤를 이어 선두자리 다툼을 하는 FTK(사실 그닥 좋지는 않은것 같다만), 대부분의 포렌직전문가들이라면 그들이 사용한다는 툴로 이들의 이름을 주로 거론한다. 그리고 Hex viewer는 WinHex를 사용을 많이 한다고 한다. 그러나 내가 만나본 사람들중 WinHex를 지대로 사용하는 사람들은 얼마나 있었을까 돌이켜 본다면 그닥, 아니 없었던 같다. 그러나 그 툴의 진면모를 본다면 그들이 왜 진작 WinHex를 진작 사용하지 않았나 싶을 것이다. 나아가 WinHex를 제작한 X-Ways의 X-Ways Forensics 툴까지 본다면 결코 EnCase와 FTK에 뒤지지 않는 성능에 또 한번 놀랄 것이다. X-Ways F..

http://sansforensics.wordpress.com/2008/10/31/shellbags-registry-forensics/ http://windowsir.blogspot.com/2008/07/copying-files.html

http://forensiczone.blogspot.com/

It's all a bit confusing but here's my understanding (using Brian Carrier's FSFA book and Google): The $I30 is the a "file" name given to NTFS MFT attributes containing file name indexes for directories. NTFS stores the file name contents of the directory in several places, depending on the number of files in the directory: - For directories with just a few files, all are stored resident in the ..