1. PC 이미지의 각 파티션 정보를 확인하시오.

(포맷 날짜, 용량, 볼륨시리얼번호, 볼륨 문자 등)

• 포맷 날짜 : 볼륨의 파일시스템 메타데이터 파일($XXX)의 생성시간으로 판단

  

• 용량, 볼륨시리얼번호 : 볼륨 부트 섹터의 BPB를 통해 판단

  

  • 용량 : 0x027CCFFF (19.9GB)
  • 볼륨시리얼번호 : CA0C-7A48 (48 7A 0C CA 8D 0C CA C8)

• 볼륨 문자 : 바로가기 파일을 통해 판단

  

  • 볼륨이 2개 이상인 경우, 분석 전 2, 3, ... 볼륨의 드라이브 문자를 확인하고 분석 시작!!

2. PC에 설치된 운영체제 정보를 확인하시오.

• SOFTWARE\Microsoft\Windows NT\CurrentVersion

3. PC의 운영체제는 언제 설치되었나요?

• SOFTWARE\Microsoft\Windows NT\CurrentVersion

4. PC의 타임존, 컴퓨터이름, 시스템 종료시각, IP 주소를 확인하시오.

• 타임존 : SYSTEM\ControlSet00X\Control\TimeZoneInformation

• 컴퓨터 이름 : SYSTEM\ControlSet001\Control\ComputerName\ComputerName