포렌식/윈도우 - Windows 10 Artifacts - Prefetch

본 게시글은 인프런 '맥으로 배우는 윈도우즈 포렌식'를 참고하여 작성했습니다. (www.inflearn.com/course/forensic-2/dashboard)

 

맥으로 배우는 윈도우즈 포렌식 - 인프런

#1. Prefetch

1-1. Prefetch 란?

OS가 파일을 실행할 때 빠르게 실행할 수 있도록 애플리케이션이 사용하는 자원을 미리할당 해놓는 것이다, 파일의 마지막 실행 시간, 실행 횟수 등등을 확인할 수 있다. Win10 부터 MAM 형태로 압축되어 있어서 압축을 해제 해야만 내용을 확인할 수 있다. 

MAM 압축된 pf 파일

강의에서 저자는 w10pfdecomp.py 파일을 이용하여 MAM 압축을 해제한다. (mac에서 되는지 볼 것)

 

1-2. Prefetch 파일을 타임라인 순서대로 정리 (with Plaso log2timeline)

바로 위에서 진행한 것처럼 MAM 압축을 해제한 pf 파일들을 일일이 열어보고 확인하는 것은 어렵다. 그래서 한눈에 보기 좋게 정리하기 위해 Plaso 도구의 log2timeline.py 를 이용한다.

그럼 시간순대로 prefetch가 정렬된 csv 파일을 볼 수 있다. 

 

 

 

 

 

 

 

끝.