X-Ways Imager
소개
X-Ways Imager는 X-Ways Software Technology AG에서 개발한 디스크 이미징 도구이며 Windows 운영체제 환경에서 실행 가능하다. 상용 소프트웨어로 1개의 라이선스는 EUR 149.90(약 21만원)이고, 최근까지 활발히 업데이트되고 있다.
기본적으로 .e01, .001, .dd 형식으로 디스크를 이미징할 수 있으며 추후 포맷 변환이 가능하다. 이미지의 무결성을 위해 이미지 파일 생성 후 해시 값을 계산한다. 또한 장애가 발생한 디스크 기반의 RAID 시스템을 재구성하고 이미징하거나 RAID를 복제할 수 있다. X-Ways Imager는 포터블하게 사용할 수 있어 도구를 설치하지 않아도 USB 등에서 실행시킬 수 있다.
사용법
X-Ways Imager의 초기 실행 화면은 [그림 1]과 같다. 디스크 드라이브를 이미징하기 위해서는 메뉴바에 ‘File – Create Disk Image...’를 선택한다.
이미징 작업을 진행할 디스크를 선택하고 OK 버튼을 클릭하면 [그림2]와 같은 화면을 확인할 수 있다.
상단 필드에 파티션 여부, 파일시스템 종류, 크기 등의 정보를 보여주고, 좌측 하단 필드에 디스크 내부의 헥사 값을 보여준다. 우측에는 선택한 디스크에 대한 정보가 출력되며, 녹색으로 ‘[Read-only mode]’라고 쓰여 있다. X-Ways Imager는 Tableau Imager 또는 EnCase Imager와 달리 하드웨어 쓰기방지장치(Write Blocker)를 연결하지 않아도 도구에서 자체적으로 쓰기방지모드로 접근한다. 중앙에 ‘Create Disk Image’ 창은 이미지 파일 형식, 이미징 범위, 해시 설정, 이미지 검증, 압축 설정, 암호 설정, 분할 설정, 이미지 경로 지정 등 이미징 작업을 위한 설정 단계이다. OK 버튼을 클릭하면 바로 이미징 작업이 시작된다.
이미징이 완료되면 ‘Messages’ 창에 소요시간, 생성된 이미지 파일 개수, 작업속도, 압축률 등이 표시된다. 또한 이미지 파일 저장 경로에 동일한 파일명으로 이미징 내역에 대한 텍스트 파일이 생성된다. 파일의 내용은 [그림 3]과 같다.
도구기능
X-Ways Imager를 사용하여 RAID를 재구성할 수 있고, 디스크 복제 기능을 이용할 수도 있다. 또한 선택한 디스크를 로드하여 트리구조로 탐색할 수 있다. 이미징한 파일은 다른 파일 형식으로 변환할 수 있으며, 미할당영역을 제외한 이미징 작업도 가능하다.
X-Ways Imager는 물리적 쓰기방지장치 연결이 없어도 도구 자체적으로 디스크를 Read-only 모드로 마운트하기 때문에 다른 이미징 도구에 비해 이미징 작업 속도도 굉장히 빠른 특징이 있다.
제한사항
Windows XP 이상의 환경에서 실행 가능하며, x86(32bit), x64(64bit)용 실행 파일이 분리되어 있기 때문에 조사자의 작업 환경에 맞춰 실행하면 된다. 또한 동글키를 삽입하지 않으면 도구 실행 및 사용이 불가능하다.
수사 활용 방안
X-Ways Imager는 동글을 삽입하여 포터블하게 사용할 수 있다. 이미징 속도도 다른 이미징 도구에 비해 빠르며, 기능 설정도 심플한 편이기 때문에 간단한 이미징 작업시 유용하게 사용할 수 있다.
