01. USB 장치 식별 정보 분석

Windows에 남아 있는 관련 기록을 확인해 USB 장치의 식별 정보와 연결된 흔적을 검토합니다.

주요 자료: 장치 식별 정보, 제조사·모델 정보, 기록에 남아 있는 식별자

02. USB 연결 흔적 분석

Windows 레지스트리 및 관련 시스템 아티팩트를 분석해 장치 연결과 관련된 흔적을 확인합니다.

주요 자료: USBSTOR 등 관련 레지스트리 키, 장치 설치 및 연결 관련 기록

03. Windows 시스템 기록 분석

SetupAPI 로그와 확보된 이벤트 기록 등에서 USB 장치 설치 및 관련 시스템 활동의 흔적을 검토합니다.

주요 자료: SetupAPI.dev.log, 관련 이벤트 로그 및 시스템 기록

04. 파일 활동 및 메타데이터 분석

조사 목적에 따라 파일의 생성·수정 시각과 관련 흔적을 검토하고 USB 사용 기록과 비교할 수 있는 자료가 있는지 확인합니다.

주요 자료: 파일 메타데이터, 관련 시스템 아티팩트, 확보된 파일 기록

05. 파일 복사·반출 의심 정황 분석

파일 복사나 정보 반출이 의심되는 경우, 장치 연결 흔적뿐 아니라 확보된 파일 기록과 관련 아티팩트를 종합적으로 검토합니다.

주요 자료: 파일 관련 기록, 장치 정보, 시간 정보 및 기타 확보 증거

06. 사용 흔적 타임라인 및 보고서

확보된 장치 기록과 관련 자료를 시간순으로 정리하고, 분석 근거와 한계를 구분해 결과를 문서화합니다.

주요 결과: 확인된 장치 정보, 시간 정보, 분석 근거 및 한계

01. 증거 접수 및 현황 기록

접수된 USB 저장장치, 분석 대상 PC, 운영체제, 의뢰 목적 및 확보 경위를 확인합니다. 장치 상태와 기존 자료의 변경 가능성을 검토하고 분석 범위를 설정합니다.

02. 원본 보존 및 자료 확보

가능한 경우 원본에 대한 쓰기 작업을 최소화하고, 분석 목적에 맞는 자료 확보 방법을 결정합니다. 저장장치 자체를 이미징하는 경우와 Windows 시스템 기록을 수집하는 경우를 구분해 진행합니다.

03. SHA-256 무결성 확인

이미지 파일이나 확보된 증거 파일에 SHA-256 해시값을 계산해 기록합니다. 복사본 생성 전후 또는 분석 전후의 해시값을 비교해 해당 데이터의 동일성 여부를 확인합니다.

04. Windows 아티팩트 분석

확보된 자료에서 USBSTOR 등 레지스트리 흔적, SetupAPI.dev.log, 관련 이벤트 로그 및 파일 메타데이터를 확인합니다. 각 자료의 생성 조건과 기록 범위를 고려해 해석합니다.

05. 기록 상관분석 및 타임라인

서로 다른 기록의 시간, 장치 식별 정보 및 파일 관련 흔적을 비교합니다. 시간대 설정과 시스템 시계 오차 등을 고려하며, 자료만으로 확인할 수 없는 복사·반출 행위는 단정하지 않습니다.

06. 분석 결과 및 보고서 작성

분석 대상, 확보 자료, 사용한 분석 방법, 주요 확인 사항 및 증거의 한계를 정리합니다. 확인된 사실과 추정 사항을 구분하고, 의뢰 목적에 맞춰 결과를 제공합니다.

01

의뢰 목적 및 분석 범위 확인

USB 사용 여부 확인, 특정 저장장치의 연결 흔적 확인, 파일 복사 정황 조사 등 의뢰 목적을 파악합니다. 분석 대상 PC와 USB의 확보 여부, 운영체제 및 사건 관련 정보를 확인합니다.

02

증거 자료 확보 및 보존

제공된 장치와 파일을 확인하고 자료의 상태를 기록합니다. 필요한 경우 적절한 방식으로 이미징 또는 시스템 아티팩트 수집을 진행하며, 원본 변경을 최소화하는 절차를 적용합니다.

03

USB 장치 식별 정보 분석

Windows 레지스트리의 USB 관련 흔적과 장치 설치 기록 등을 확인합니다. 자료가 존재하는 경우 제조사, 제품 식별 정보, 일련번호 등 장치를 구분할 수 있는 항목을 검토합니다.

04

연결 기록 및 파일 관련 흔적 분석

SetupAPI.dev.log, 관련 시스템 기록, 파일 메타데이터 등 확보된 아티팩트를 분석합니다. 기록마다 남는 정보와 시간 범위가 다르므로 단일 기록만으로 연결 시점이나 파일 복사 사실을 단정하지 않습니다.

05

자료 교차 검토 및 결과 검증

서로 다른 아티팩트의 장치 정보와 시간 기록을 비교하고, 시간대 및 시스템 환경을 고려해 해석합니다. 확인된 사실, 정황상 가능성, 자료 부족으로 판단할 수 없는 사항을 구분합니다.

01. 분석 대상 장비

USB 저장장치만 확보되어 있는지, 연결에 사용된 PC나 노트북도 함께 확보되어 있는지에 따라 확인 가능한 자료와 작업 범위가 달라질 수 있습니다.

02. 분석 목적 및 범위

USB 연결 흔적 확인, 장치 식별, 관련 시스템 기록 분석, 특정 파일의 복사 정황 검토 등 의뢰 목적에 따라 필요한 분석 항목이 달라집니다.

03. 증거 자료 확보 상태

원본 장치의 확보 여부, 시스템 로그와 관련 파일의 잔존 상태, 기존에 수집된 자료의 종류 등을 검토합니다. 자료가 부족한 경우 분석 가능한 범위가 제한될 수 있습니다.

04. 결과 정리 및 보고서 범위

분석 결과의 정리 수준, 타임라인 작성, 주요 아티팩트 설명 및 보고서 작성 범위에 따라 필요한 작업이 달라질 수 있습니다. 제공 가능한 결과물은 상담 시 확인합니다.

상담 전 확인 목록 — 준비된 항목을 선택할 수 있습니다.

유형 01. USB 연결 흔적 및 장치 식별 분석

USBSTOR 등 Windows 레지스트리와 관련 시스템 기록을 검토해 USB 장치의 식별 정보와 연결 관련 흔적을 확인합니다. 기록이 남아 있는지와 식별 가능한 정보는 운영체제 및 시스템 상태에 따라 달라질 수 있습니다.

주요 검토 자료: Windows 레지스트리, SetupAPI.dev.log, 관련 시스템 기록

유형 02. 특정 USB 사용 정황 분석

특정 USB가 업무용 PC에서 사용되었는지 검토할 때 장치 식별 정보와 시스템 기록을 비교합니다. 장치 연결 사실과 실제 사용자, 사용 목적은 서로 다른 판단 대상이며, 기록만으로 사용자를 확정할 수 없는 경우도 있습니다.

주요 검토 자료: 장치 식별 정보, 연결 관련 기록, 확보된 사건 자료

유형 03. 파일 복사 및 반출 정황 검토

USB 연결 기록과 파일 관련 아티팩트, 시스템 로그 등 확보된 자료를 교차 검토합니다. USB 연결 사실만으로 특정 파일의 복사나 외부 반출을 입증할 수는 없으며, 추가 증거가 확보되었는지에 따라 판단 범위가 달라집니다.

주요 검토 자료: 파일 메타데이터, 관련 시스템 기록, 확보된 원본 자료

유형 04. USB 관련 기록 타임라인 및 보고서

확보된 기록의 시간 정보와 장치 관련 항목을 비교해 분석 타임라인을 정리합니다. 시스템 시계, 시간대, 로그 보존 상태 등을 고려하며 확인된 사실과 판단의 한계를 보고서에 구분해 기재합니다.

주요 결과: 분석 항목, 확인된 기록, 시간 정보, 해석상 한계