Falcon NEO 디스크 이미징 수행 과정

Falcon NEO를 이용한 디스크 이미징

 

디지털 포렌식 이미징 장비인 Falcon NEO 로 디스크 이미징을 수행하는 과정에 대해 알아보도록 하겠습니다.

 

Falcon NEO 제품

 

Falcon NEO 제품은 위와 같이 생겼습니다.

준비물로는 이미징을 수행 할 매체, 사본이 저장 될 매체(용량은 이미징 대상 매체보다 커야 함), 매체에 맞는 케이블이 필요하겠습니다. (USB, SATA, SAS 등)

 

우선 이미징 장비에 전원 케이블을 연결해서 부팅을 해줍니다.

부팅을 하면 위 사진과 같은 화면이 나옵니다. 제공하는 기능으로는 이미징, 데이터 소거, 쓰기 방지, 해시 검증 등이 있습니다.

 

Source 연결

Falcon NEO 좌측

 

장비의 좌측을 보면 Source Write Protected라고 해서 이미징 대상 매체를 연결과 동시에 쓰기 방지가 적용되도록 되어 있습니다.

이미징 대상 매체에 맞는 케이블로 연결해주시면 됩니다.

해당 장비는 멀티 이미징을 지원하는데 두 개 이상의 장비를 연결할 경우 위 그림에서 보이는 노란색 선에 맞춰서 케이블을 꽂아주어야 합니다.

 

Destination 연결

Falcon NEO 우측

 

장비의 우측에는 Destination, 사본이 저장될 매체를 연결할 수 있도록 되어 있습니다.

Source와 마찬가지로 매체에 맞는 케이블을 연결해주시면 됩니다.

 

이미징 수행 전 점검

Falcon NEO Pannel

이미지 출처 : (https://www.forensicfocus.com/articles/walkthrough-forensic-falcon-neo-from-logicube/)

매체를 모두 연결했으면 장비 패널에서 매체가 정상적으로 인식되는지 확인합니다.

(위 그림은 세팅이 끝난 후 이미징을 수행 중인 그림입니다.)

주의 할 점으로는 Destination 매체의 경우 기존 데이터가 있으면 안되기 때문에 장비 패널에서 Destination 탭에 들어가서 매체 포맷을 수행해준 뒤 진행하도록 합니다.

Source, Destination 탭에서 연결한 매체를 선택해준 뒤 Settings를 눌러 케이스 정보를 입력해주면 됩니다.

케이스 정보에는 이미지 포맷, 케이스 이름, 분석관, 케이스 설명 등의 정보를 입력해주면 됩니다.

 

예시

• 이미지 포맷 : E01
• 케이스 이름 : 220110_PHJ_EXHDD_4TB (이미징수행날짜_요청자or사건이름_매체종류(ex=외장)_매체용량)
• 분석관 : PRESENT4N6

 

정보를 모두 입력한 뒤 다시 한 번 매체를 정상적으로 선택했는지 확인 후 이미징을 실행하시면 됩니다.

 

Falcon NEO Select Mode

 

Mode에서는 사본의 생성 형태를 선택할 수 있습니다.

 

여러 개의 이미징을 동시에 수행할 경우 패널 상단의 추가 작업 생성을 누른 후 같은 과정을 거치면 됩니다.

기존에 이미징 중인 매체를 선택하지 않도록 유의해서 진행하면 되겠습니다.

 

장비를 보면 UI가 직관적으로 구성이 되어 있기 때문에 쉽게 이미징을 수행할 수 있을 것입니다.

(USB 케이블을 연결해서 사용할 시 굉장히 느리다고 합니다.)

 

https://www.logicube.com/shop/forensic-falcon-neo/

Falcon®-NEO - Logicube