top of page

MacBook에서 이메일 수집 및 분석 - Blackbag Solution

MacBook에서 이메일 수집 및 분석

2020 년 7 월 21 일 |

게시자 : Julie Urban O'Shea-BlackBag a Cellebrite Company 글로벌 마케팅 관리자

번역/편집 : CK Blog

Web Shell은 일반적으로 사이버 공격에 사용되며 악의적 목적을 가질 수 있으며 이러한 경우 탐지하기 어렵습니다. 법의학 분석을 수행하는 대부분의 민간 컨설팅 회사는 매년 동일한 도구를 사용합니다. 또한 디지털 포렌식 커뮤니티도 수십 년 동안 이러한 도구 중 일부를 의존적으로 사용해 왔습니다. 기업 클라이언트와 작업하는 디지털 포렌식 분석가는 일반적으로 Windows 시스템에서 동일한 유형의 데이터를 반복해서 접하는 경향이 있습니다. 컨설턴트는 데이터가 저장되는 위치, 저장되는 형식 및 소송에 사용할 데이터를 추출하는 방법에 매우 익숙해지는 이유입니다. 데이터를 식별하기위한 특정 프로토콜과 절차는 익숙하게 사용하고 있는 포렌식 도구를 통해 모두 잘 작동하고 있는 것처럼 보입니다. 언젠가는 그렇지 않다는 것을 알게 될 것입니다.

한 회사의 변호사가 개인 컨설팅 회사 Contact Discovery Services를 고용하여 MacBook에 저장된 이메일 확인을 요청했습니다. 변호사는 직원이 회사를 떠나며 두고 간 MacBook에 저장된 이메일이 필요했습니다. 업무상 이메일을 최대한 빨리 복구해야 했습니다. 첫 번째 장애물은 이미징 이었습니다. 오랫동안 사용해오던 포렌식 도구로는 MacBook의 내부 저장 장치를 쉽게 분리해 내거나 복제할 수 있는 방법이 없었습니다. 이 딜레마에 대한 답은 Cellebrite MacQuisition이었습니다. Apple 컴퓨터를 이미지화 하기 위해 만들어진 Cellebrite MacQuisition은 MacBook의 전체 디스크 이미지를 만드는 데 사용합니다. 이미지는 법 의학적으로 안정적이고 데이터가 변경되지 않습니다. 이제 어떻게 진행되었는지 살펴보겠습니다.

사례

디지털 포렌식 분석에 배치된 담당자는 10년이 넘는 디지털 포렌식 분석 경험과 지식을 가지고 있었습니다. 이 분석의 우선 순위는 이메일을 최대한 빨리 찾는 것이었기 때문에 담당자 기존 포렌식 분석 도구를 사용하여 MacBook의 포렌식 이미지를 읽어드려 e메일 파일 검색을 시작했습니다. 전자 메일 및 전자 메일 저장소를 찾기 위해 설계된 도구의 필터는 요청된 데이터를 찾지 못했습니다. e메일이 없었습니다. 데이터를 빠르고 쉽게 추출해 완료할 수 있는 사례가 이제 잠재적으로 오랜 시간과 인력이 필요한 장기 분석 작업이 될 것으로 보였습니다. 본격적인 디지털 포렌식 분석 연구가 시작되고 이메일 파일이 맥 2011 Outlook에서 생성된 형식으로 저장되었다는 것을 발견했습니다. 문제는 이것이 담당자에게 익숙한 형식이 아니라는 것입니다. 파일 확장자와 폴더 위치가 익숙하지 않습니다. 더 나쁜 것은 사용 중인 포렌식 도구가 데이터를 해석할 수 없다는 것입니다. 담당자는 다음 단계로 무엇을 해야 할지 확신할 수 없었습니다. 그가 수년 동안 사용한 업계 표준 도구는 도움이 되지 않았고 이메일 메시지 내용을 찾을 수 없었습니다. 이 시점에서 담당자는 Cellebrite BlackLight 로 도구를 전환했습니다. 그러자 Cellebrite BlackLight가 MacBook의 저장소 이미지는 물론 이에 포함된 데이터를 추출해 냈습니다. 이메일 파일은 초기 증거 처리 중에 구문 분석되어 Communications 탭에 표시되었습니다. 담당자는 이전에 Cellebrite BlackLight를 사용하거나 맥 OS 시스템에서 분석을 수행한 경험이 없었지만, 직관적인 인터페이스로 쉽게 전자 메일 메시지 위치를 알 수 있었고, 디지털 포렌식 분석 작업이 끝난 후 고객이 확인할 수 있도록 보고서를 작성할 수 있었습니다. 디지털 포렌식 분석 담당자는 Cellebrite BlackLight의 내보내기(export)를 사용하여 고객에게 현실적이고 정확한 타임 라인을 제공했습니다. 전반적으로 Cellebrite MacQuisition은 MacBook에있는 데이터의 이미지를 법의학적으로 안정적으로 캡처 할 수 있었고 Cellebrite BlackLight는 고객이 필요로 하는 e메일을 자동으로 찾아 냈습니다. Cellebrite BlackLight의 사용자 친화적인 인터페이스를 통해 복잡한 과정을 수행하지 않고도 신속하게 이메일을 찾아 확보할 수 있었습니다.

분석

다양한 다른 포렌식 도구를 사용하는 대신 이 분석을 위해 Cellebrite BlackLight 를 선택했습니다. 이 도구를 사용하면 많은 대용량 데이터 세트를 처리할 수 ​​있습니다.

결과

Cellebrite BlackLight는 전체 프로세스를 쉽게 만들었습니다. 모든 조사 활동에 태그가 지정되어 있고 Cellebrite BlackLight는 이메일을 자동으로 찾았습니다. 인터페이스는 직관적이므로 별도의 교육 없이도 사용자가 검색 기능, 필터링 및 피벗을 매우 쉽게 수행할 수 있습니다. 장치에 저장된 이메일을 빠르게 추출하려는 고객의 기대가 충족되었습니다.

한 고객이 다른 도구를 사용하여 분석이 끝난 클라우드 호스팅 이메일 계정에서 중요한 이메일 중 일부가 누락되어 검토 대상에 포함되지 않았음을 확인한 적이 있습니다. 당시 저는 Cellebrite MacQuisition을 사용하여 MacBook 이미지를 획득하여 랩톱에 설치된 Cellebrite BlackLight로 즉시 누락된 이메일을 확인할 수 있었습니다."
Balal Abouelenein, Digital Forensic Analyst, Contact Discovery Services

Cellebrite BlackLight 기능

Cellebrite BlackLight 컴퓨터 포렌식 소프트웨어를 사용하면 디지털 포렌식 분석가가 컴퓨터 볼륨과 모바일 장치를 신속하게 분석하여 사용자 행동을 파악할 수 있습니다. 이 솔루션을 통해 조사관은 대규모 데이터 세트를 쉽게 검색, 필터링 및 선별하여 Mac 또는 Windows 기반 컴퓨터에서 생성된 데이터에 대해 스마트하고 포괄적인 분석을 수행 할 수 있습니다.

Mac 지원

  • 비교할 수 없이 사용하기 쉬운 인터페이스.

  • T2 칩을 포함한 최신 시스템 지원

  • Fusion 및 Encrypted 된 장치 지원

  • APFS 스냅 샷 및 Time에서 기록 검토

  • Machine 백업들 지원

  • Spotlight 메타 데이터 표시 및 검색

  • 네트워크 연결, 최근 문서 및 사용자 활동 검토

Windows 지원

  • 더 편리한 분석을 지원하는 신뢰받는 도구

  • Microsoft Volume에서 장치 기록 검토

  • Shadow복사본 지원

  • 내장된 Windows 메모리(Bootcamp) 및 Windows 지원

  • 레지스트리 분석

  • 계정 정보, 최근 문서, 다운로드, 휴지통 및 USB 연결 자동 구문 분석

BlackLight는 이제 Cellebrite 제품입니다.




Cellebrite는 최근 BlackLight의 모회사 인 BlackBag를 인수하여 디지털 소스 지원을 확대하고 조사 흐름에 컴퓨터 데이터를 포함시켰습니다. 이러한 자연스러운 과정은 여러 소스에서 디지털 데이터에 액세스, 관리 및 분석하고 전체 디지털 인텔리전스 작업을 관리하여 타의 추종을 불허하는 플랫폼을 제공하기 위한 Cellebrite의 노력의 결과 중 하나입니다. 회사의 결합된 솔루션을 활용함으로써 고객은 이제 다음을 수행 할 수 있습니다.

  • Mac 및 Windows 기반 플랫폼에 대한 데이터 액세스 지원

  • 라이브 데이터 수집 단순화

  • 추출 전 장치 분류

  • 선택적 데이터 추출 수행





Cellebrite의 강력한 디지털 인텔리전스 솔루션 라인업에 Cellebrite BlackLight를 추가하면 현재와 미래의 요구 사항을 지원할 수 있는 최고의 도구를 고객에게 제공한다는 Cellebrite의 목표에 한발 더 다가가게 됩니다.

주요 요점 :

  • Cellebrite MacQuisition은 MacBook의 법의학적 무결성을 가지는 이미지를 만듭니다.

  • 숙련된 디지털 포렌식 분석가가 기존 사용하던 도구와 방법으로는 요청 이메일을 찾을 수 없었습니다.

  • Cellebrite BlackLight는 MacBook 이미지에 저장된 이메일 파일을 자동으로 처리하여 Communications 탭에 표시했습니다.

  • 이전의 도구를 사용한 디지털 포렌식 분석은 Cellebrite BlackLight 처럼 맥 OS 이미지 분석에서 사용자 친화적인 인터페이스를 사용하여 빠르고 정확하게 요구된 이메일을 찾을 수 없었습니다.

Cellebrite의 컴퓨터 액세스 및 분석 솔루션이 어떻게 도움이 될 수 있는지 자세히 알아보십시오.


조회수 102회댓글 3개

최근 게시물

전체 보기

3 Comments


WB
WB
Feb 22

MacBook을 포렌식하려면 장애물들이 있습니다. 처음으로는 이미징입니다. 오랫동안 사용했던 기존의 포렌식 도구로는 MacBook의 내부 저장 장치를 분리하여 복제하기 어렵기 때문에 Cellebrite MacQuisition을 사용하여 전체 디스크 이미지를 만듭니다.

이미지는 법의학적으로 안정적이고 데이터가 변하지 않습니다. 또, MacBook의 이메일 파일은 Outlook에서 생성된 형식이기 때문에 기존 업계 표준 포렌식 도구가 데이터를 해석하지 못할 수 있고 이에 Cellebrite BlackLight로 전환하여 분석하였습니다.

MacBook의 저장소 이미지는 물론 포함된 데이터를 추출해내었고 이메일 파일 또한 구문분석되어 탭에 표시되었습니다. Cellebrite BlackLight의 사용자 친화적인 인터페이스를 통해 신속 정확하게 이메일을 찾아 확보할 수 있습니다.

Cellebrite BlackLight 기능으로는

[Mac] 쉬운 인터페이스, T2칩 포함 최신 시스템, Fusion 및 Encrypted된 장치 지원, APFS 스냅 샷 및 Time에서 기록 검토, 백업 지원, 각종 활동들과 네트워크 연결 검토가 있다.

[Windows] 편리한 분석, Microsoft Volume에서 장치 기록 검토, Shadow…

Like

영아 김
영아 김
Sep 04, 2023

[Cellebrite BlackLight]

컴퓨터 볼륨, 모바일 장치 신속하게 분석 사용자 행동 파악

대규모 데이터 세트 → 쉽게 검색, 필터링, 선별_ Mac, Windows 기반 컴퓨터 데이터 스마트하고 포괄적으로 분석 수행


BlackBag 인수 → 디지털 소스 지원 확대, 컴퓨터 데이터 포함

Like

JM
JM
Apr 24, 2023

Cellebrite는 BlackBag을 인수하여 컴퓨터 데이터 분야의 디지털 인텔리전스 솔루션도 제공합니다.


Cellebrite MacQuistion, Cellebrite BlackLight로 MacBook의 법의학적 무결성을 지닌 이미지를 만들고,

이미지에 저장된 이메일 파일을 자동으로 처리하여 만들어진 보고서는 고객의 요청을 충족 할 수 있습니다.

Like
bottom of page