[DFIR] FTK Imager로 E01 이미지 만들고 검증하기

개요

FTK Imager로 실습용 가상 디스크를 E01 이미지로 만들어봤습니다.
이미지를 만든 뒤 해시 검증과 소스 파일의 변경 여부까지 확인했습니다.
실습에는 Windows 11과 FTK Imager 8.3.0.27을 사용했습니다.

파일 해시 확인: Get-FileHash와 HashMyFiles

파일의 SHA-256은 PowerShell의 Get-FileHash 또는 GUI 도구인 HashMyFiles로 확인할 수 있습니다.
이번 실습에서는 HashMyFiles로 원본과 복사본의 해시를 비교했습니다.

• Get-FileHash: 아래처럼 파일 경로와 알고리즘을 지정합니다. 경로는 실제 저장 위치에 맞게 바꿉니다.

Get-FileHash -LiteralPath 'D:\CS2002\Work\W05\source.vhd' -Algorithm SHA256 |
  Format-List Path, Algorithm, Hash

• HashMyFiles: 원본과 복사본을 창에 끌어놓고 SHA-256 열의 전체 값을 비교합니다. 결과를 복사하거나 파일로 저장할 수도 있습니다.

같은 파일을 같은 알고리즘으로 계산하면 두 도구의 결과는 같습니다.
실습 후에는 이전 표시값을 재사용하지 않고 파일을 다시 읽어 해시를 계산합니다.

VHD를 읽기 전용으로 연결

먼저 VHD를 복사하고 원본과 복사본의 SHA-256이 같은지 확인했습니다.
분석에 사용할 복사본은 Windows 디스크 관리에서 연결했습니다.

1. 시작 버튼을 우클릭하고 디스크 관리를 엽니다.
2. 상단 동작 → VHD 연결을 선택합니다.
3. 찾아보기에서 복사한 source.vhd를 선택합니다.
4. 읽기 전용을 체크하고 확인을 누릅니다.

연결 후 CS2002FAT32 (F:) 볼륨이 나타났습니다.
위 화면은 연결 결과이며, 읽기 전용 체크 화면은 별도로 남기지 않았습니다.
이제 FTK Imager에서 이 볼륨이 속한 가상 디스크를 획득 대상으로 선택합니다.

디스크 선택과 이미지 생성

1. FTK Imager에서 File → Create Disk Image → Physical Drive를 선택합니다.
2. 연결한 가상 디스크의 모델과 용량을 확인합니다.
3. Verify images after they are created를 체크합니다.
4. Add → E01을 선택하고 사건번호·증거번호·조사자 정보를 입력합니다.

이번 환경의 대상은 PHYSICALDRIVE2 — Microsoft 가상 디스크였습니다.
디스크 번호는 환경마다 달라지므로 번호만 외워 선택하면 안 됩니다.

출력 파일명은 W05_Practice_20261018_01로 지정했습니다.
분할 크기는 1500MB, 압축은 6으로 설정했습니다.
암호화는 사용하지 않았습니다.

생성 후 검증

획득이 끝나면 FTK Imager가 이미지의 해시를 다시 계산합니다.
이번 실습에서는 MD5와 SHA1 모두 Match였고, 로그에도 verified가 기록됐습니다.

이 결과는 획득할 때 저장한 해시와 이미지에서 재계산한 해시가 일치한다는 뜻입니다.
화면에는 이미지에서 불량 블록이 발견되지 않았다는 결과도 표시됐습니다.

획득·검증 로그 TXT 보기

작성자·컴퓨터 이름·호스트 환경 정보·저장 경로를 가린 공개용 사본입니다.
획득 대상과 해시, 검증 결과는 유지했습니다.

소스 파일의 변경 여부 확인

검증 후 VHD를 분리하고 소스 파일의 SHA-256을 다시 계산했습니다.
실습 전후 값이 같아 소스 파일의 내용이 유지됐음을 확인했습니다.

세 해시는 대상과 목적이 다릅니다.
특히 E01 파일 자체의 해시를 VHD 파일 해시와 같게 맞추는 것은 아닙니다.
생성된 E01, 텍스트 로그, 검증 화면을 함께 보관했습니다.

참고 자료

• HashMyFiles — NirSoft
• FTK Imager 8.3 — Exterro
• VHD 관리 — Microsoft Learn
• Get-FileHash — Microsoft Learn