부록: 지원 아티팩트
윈도우와 리눅스를 대상으로 123종의 아티팩트 추출과 분석을 지원합니다. 증거 ZIP을 적재할 때 압축 안의 파일이 어느 증거인지 가려내고, 그 증거에 딸린 추출규칙이 자동으로 실행됩니다.
여기 적힌 것이 별도 설정 없이 바로 추출되는 범위입니다. 목록에 없는 형식은 관리 → 증거 유형과 관리 → 아티팩트 추출규칙에서 추가할 수 있습니다. 자세한 것은 관리에 있습니다.
| # | 증거 파일 | 아티팩트 |
|---|---|---|
| 1 | ActivitiesCache.db | Windows Timeline |
| 2 | ETL 파일 | ETL 파일 |
| 3 | IE10 데이터베이스 | IE/Edge 웹 다운로드 |
| 4 | IE10 데이터베이스 | IE/Edge 웹 방문 |
| 5 | IE10 데이터베이스 | IE/Edge 쿠키 |
| 6 | LNK 파일 | LNK 파일 |
| 7 | LastActivityView | LastActivityView |
| 8 | NTFS 마스터 파일 테이블 | Startup Program |
| 9 | NTFS 마스터 파일 테이블 | Task Scheduler |
| 10 | NTFS 마스터 파일 테이블 | 인터넷 다운로드 파일 |
| 11 | RealVNC 서버 로그 | RealVNC 접속 |
| 12 | RecentFileCache.bcf | RecentFileCache.bcf |
| 13 | SRUM DB | SRUM 네트워크 사용 |
| 14 | SRUM DB | SRUM 네트워크 연결 |
| 15 | SRUM DB | SRUM 에너지 사용 |
| 16 | SRUM DB | SRUM 응용 프로그램 리소스 사용 |
| 17 | SRUM DB | SRUM 장기 에너지 사용 |
| 18 | SRUM DB | SRUM 푸시 알림 데이터 |
| 19 | TightVNC 서버 로그 | TightVNC 접속 |
| 20 | UltraVNC 서버 로그 | UltraVNC 접속 |
| 21 | WER 파일 | 윈도우 에러 리포팅 |
| 22 | WMI OBJECTS.DATA | WMI OBJECTS.DATA |
| 23 | autoruns.csv | Sysinternals Autoruns |
| 24 | 구형 IE index.dat | 구형 IE 쿠키 |
| 25 | 구형 IE index.dat | 구형 IE 히스토리 |
| 26 | 레지스트리 하이브 | Active Setup |
| 27 | 레지스트리 하이브 | Amcache |
| 28 | 레지스트리 하이브 | AppCompatCache |
| 29 | 레지스트리 하이브 | AppCompatFlags |
| 30 | 레지스트리 하이브 | BAM |
| 31 | 레지스트리 하이브 | ComDlg32/CIDSizeMRU |
| 32 | 레지스트리 하이브 | ComDlg32/FirstFolder |
| 33 | 레지스트리 하이브 | ComDlg32/LastVisitedPidMRU |
| 34 | 레지스트리 하이브 | ComDlg32/OpenSavePidMRU |
| 35 | 레지스트리 하이브 | HWP MRU |
| 36 | 레지스트리 하이브 | LEGACY_ |
| 37 | 레지스트리 하이브 | MUICache |
| 38 | 레지스트리 하이브 | PDF MRU |
| 39 | 레지스트리 하이브 | Port Monitors |
| 40 | 레지스트리 하이브 | Print Processors |
| 41 | 레지스트리 하이브 | RecentApps |
| 42 | 레지스트리 하이브 | RecentDocs |
| 43 | 레지스트리 하이브 | Run MRU |
| 44 | 레지스트리 하이브 | SRUM 설정 |
| 45 | 레지스트리 하이브 | Shellbags |
| 46 | 레지스트리 하이브 | Syscache |
| 47 | 레지스트리 하이브 | Tracing |
| 48 | 레지스트리 하이브 | UserAssist |
| 49 | 레지스트리 하이브 | Winlogon |
| 50 | 레지스트리 하이브 | WordWheelQuery |
| 51 | 레지스트리 하이브 | 예약된 작업 설정 |
| 52 | 레지스트리 하이브 | 오피스 MRU |
| 53 | 레지스트리 하이브 | 오피스 문서 위치 |
| 54 | 레지스트리 하이브 | 윈도우 IE URL 입력 |
| 55 | 레지스트리 하이브 | 윈도우 USB 장치 연결 |
| 56 | 레지스트리 하이브 | 윈도우 네트워크 프로필 |
| 57 | 레지스트리 하이브 | 윈도우 데스크톱 연결 |
| 58 | 레지스트리 하이브 | 윈도우 드라이버 |
| 59 | 레지스트리 하이브 | 윈도우 사용자 계정 |
| 60 | 레지스트리 하이브 | 윈도우 사용자 폴더 |
| 61 | 레지스트리 하이브 | 윈도우 사용자 환경변수 |
| 62 | 레지스트리 하이브 | 윈도우 서비스 |
| 63 | 레지스트리 하이브 | 윈도우 설치 정보 |
| 64 | 레지스트리 하이브 | 윈도우 설치 프로그램 |
| 65 | 레지스트리 하이브 | 윈도우 시간대 |
| 66 | 레지스트리 하이브 | 윈도우 시스템 환경변수 |
| 67 | 레지스트리 하이브 | 윈도우 자동실행 |
| 68 | 리눅스 ARP 캐시 | 리눅스 ARP 캐시 |
| 69 | 리눅스 CRON 작업 | 리눅스 CRON 작업 |
| 70 | 리눅스 I/O 부하 | 리눅스 I/O 부하 |
| 71 | 리눅스 SETUID 파일 | 리눅스 SETUID 파일 |
| 72 | 리눅스 계정 | 리눅스 계정 |
| 73 | 리눅스 계정 그룹 | 리눅스 계정 그룹 |
| 74 | 리눅스 네트워크 연결 | 리눅스 네트워크 연결 |
| 75 | 리눅스 네트워크 인터페이스 | 리눅스 네트워크 인터페이스 |
| 76 | 리눅스 라우팅 테이블 | 리눅스 라우팅 테이블 |
| 77 | 리눅스 로그인 세션 | 리눅스 로그인 세션 |
| 78 | 리눅스 로그인 실패 이력 | 리눅스 로그인 실패 이력 |
| 79 | 리눅스 로그인 이력 | 리눅스 로그인 이력 |
| 80 | 리눅스 루트킷 헌터 | 리눅스 루트킷 헌터 |
| 81 | 리눅스 비 장치 파일 | 리눅스 비 장치 파일 |
| 82 | 리눅스 서비스 | 리눅스 서비스 |
| 83 | 리눅스 소유자 없는 파일 | 리눅스 소유자 없는 파일 |
| 84 | 리눅스 숨김 파일 | 리눅스 숨김 파일 |
| 85 | 리눅스 쉘 명령 | 리눅스 쉘 명령 |
| 86 | 리눅스 시스템 정보 | 리눅스 시스템 정보 |
| 87 | 리눅스 시스템 파일 | 리눅스 시스템 파일 |
| 88 | 리눅스 열린 파일 | 리눅스 열린 파일 |
| 89 | 리눅스 임시 파일 | 리눅스 임시 파일 |
| 90 | 리눅스 최근 파일 | 리눅스 최근 파일 |
| 91 | 리눅스 타이머 | 리눅스 타이머 |
| 92 | 리눅스 파이프 | 리눅스 파이프 |
| 93 | 리눅스 파티션 | 리눅스 파티션 |
| 94 | 리눅스 프로세스 | 리눅스 프로세스 |
| 95 | 리눅스 환경변수 | 리눅스 환경변수 |
| 96 | 알약 | 알약 |
| 97 | 윈도우 이벤트 | BITS 다운로드 |
| 98 | 윈도우 이벤트 | MTP 사용 |
| 99 | 윈도우 이벤트 | PowerShell |
| 100 | 윈도우 이벤트 | PowerShell 스크립트 |
| 101 | 윈도우 이벤트 | Program-Compatibility-Assistant |
| 102 | 윈도우 이벤트 | RDP 로컬 인바운드 접속 |
| 103 | 윈도우 이벤트 | RDP 원격 인바운드 접속 |
| 104 | 윈도우 이벤트 | RDP 클라이언트 접속 |
| 105 | 윈도우 이벤트 | WinRM |
| 106 | 윈도우 이벤트 | 윈도우 계정 로그온 |
| 107 | 윈도우 이벤트 | 이동식 장치 연결 및 해제 |
| 108 | 윈도우 이벤트 | 작업 스케줄러 실행 |
| 109 | 이메일 | 이메일 |
| 110 | 점프목록 - AutomaticDestinations | 점프목록 - AutomaticDestinations |
| 111 | 점프목록 - CustomDestinations | 점프목록 - CustomDestinations |
| 112 | 크롬 웹 히스토리 | 크롬 웹 검색어 |
| 113 | 크롬 웹 히스토리 | 크롬 웹 다운로드 |
| 114 | 크롬 웹 히스토리 | 크롬 웹 방문 |
| 115 | 크롬 쿠키 | 크롬 쿠키 |
| 116 | 크롬 플러그인 | 크롬 플러그인 |
| 117 | 팀뷰어 접속 | 팀뷰어 접속 |
| 118 | 파워쉘 콘솔 로그 | 파워쉘 콘솔 로그 |
| 119 | 파이어폭스 웹 히스토리 | 파이어폭스 웹 방문 |
| 120 | 파이어폭스 플러그인 | 파이어폭스 플러그인 |
| 121 | 프리페치 | Prefetch |
| 122 | 호스트 파일 | 호스트 파일 |
| 123 | 휴지통 | 휴지통 |
아티팩트를 만들지 않는 증거
다음 8종은 적재는 되지만 아티팩트를 따로 뽑지 않습니다. 파일시스템, 레지스트리, 로그 화면에서 원본 그대로 조회합니다.
| 증거 파일 | 조회 화면 |
|---|---|
| NTFS 저널 로그 | 로그 |
| 윈도우 프로세스 목록 | 로그 |
| 파워쉘 스크립트 검색 로그 | 로그 |
| SetupAPI 장치 설치 로그 | 로그 |
| ARP 캐시 | 로그 |
| NGINX | 로그 |
| PCAP | 로그 |
| 루트 디렉터리 | 파일시스템 경로 해석용 |
Note
적재 중에는 모든 증거의 값에서 IP주소, 도메인, URL, MD5, SHA1이 함께 수집되어 아티팩트
화면의 침해지표 분류에 쌓입니다. 이것은 추출규칙이 아니므로 위 표에 없으며, 값이 발견
되었다는 사실일 뿐 악성이라는 뜻도 아닙니다.
화면의 침해지표 분류에 쌓입니다. 이것은 추출규칙이 아니므로 위 표에 없으며, 값이 발견
되었다는 사실일 뿐 악성이라는 뜻도 아닙니다.