상용 포렌식 도구
분석 기능은 강력하지만 라이선스 비용이 커서, 개인 조사관·교육 기관·작은 조직은 쓰기 어렵습니다.
Windows · 버전 1.8.0 · 무료
상용 도구 수준의 포렌식 분석을
무료로, 하나의 프로그램에서
지금까지 디지털 포렌식은 값비싼 상용 도구를 사거나, 무료 도구 여러 개를 번갈아 쓰며 결과를 직접 맞춰 봐야 했습니다. ForenSuite는 FTK Imager · EnCase · Autopsy · REGA · NTFS Log Tracker 등 여러 포렌식 도구의 핵심 기능을 하나로 모은 무료 통합 디지털 포렌식 도구입니다.
- 외부 상용 엔진 없이 동작
- 증거는 항상 읽기 전용
- 한국어 · English 화면
- 순수 Python + PySide6(Qt)
도구를 사거나, 여러 개를 엮거나
지금까지는 둘 중 하나를 골라야 했습니다.
무료 도구 여러 개
이미징, 파일시스템 분석, 레지스트리, NTFS 저널 분석을 서로 다른 도구로 처리하고, 결과를 조사관이 직접 맞춰 봐야 합니다.
ForenSuite
획득·분석·레지스트리·NTFS 로그·타임라인·보고서를 한 사건 안에서 처리합니다. 결과가 한 데이터베이스에 모여 서로 연결됩니다. 무료입니다.
파일 25만 개도 1분 남짓
파일 목록을 메모리에 쌓지 않고 바로 기록하는 스트리밍 구조라, 파일 수가 늘어도 메모리 사용량이 일정합니다. 중단돼도 남은 파일만 이어서 분석합니다.
61초ext4 3GB, 파일 250,511개 · 최대 메모리 332MB (이전 버전은 40분 안에 끝나지 않음)
약 40배자체 EVTX 해석기의 이벤트 로그 처리 속도 (python-evtx 대비)
같은 PC, 2코어에서 측정한 값입니다.
상용 도구에 뒤지지 않는 고급 분석
단순히 기능을 모은 것이 아닙니다. 여러 출처의 기록을 서로 맞대어 결론에 가까운 형태로 정리하고, 지워지거나 손상된 흔적까지 되살립니다.
획득 · 이미징
FTK Imager 계열
- 물리 디스크·볼륨 → E01 · RAW(분할) · VHD 이미지 생성
- 획득 중·후 MD5 / SHA1 / SHA256 검증과 획득 보고서
- 읽기 전용 마운트, 메모리 덤프(WinPmem 내장), 활성 시스템 수집
파일시스템 분석
Autopsy 계열
- NTFS · FAT · exFAT · ext2/3/4 · ISO9660, MBR · GPT
- 삭제·고아 파일, ADS, 미할당 영역, 파일 카빙
- 파일 형식 식별과 확장자 불일치, 해시셋(NSRL)
통합 분석
여러 아티팩트를 맞대어 결론에 가깝게
- 프리페치·Amcache·ShimCache·BAM 등을 합친 프로그램 실행 이력
- USB 장치별 연결 이력과 그 장치에서 연 파일
- 로그 삭제·시각 변경·흔적 삭제 도구 등 안티포렌식 흔적
NTFS 로그 분석
NTFS Log Tracker 계열
- $MFT · $LogFile · $UsnJrnl 상관 분석
- 이름 변경·이동 추적, 삭제된 파일과 복구 가능성
- 타임스탬프 조작($SI < $FN)·저널 삭제 등 이상 징후
레지스트리 · Windows 아티팩트
REGA 계열
- 트랜잭션 로그를 반영한 하이브 분석, 삭제된 키·값 복구
- USB·블루투스·사용자 행위·지속성·보안 설정 항목
- 이벤트 로그를 로그온·RDP·USB·PowerShell 등 의미별로 분류
검색 · 색인
EnCase Index 대응
- DOCX · HWP · PDF · EML 등 문서 본문 색인, 한글 부분 일치 검색
- 주민등록번호·카드번호·이메일 등 패턴 검색, 정규식 지원
- 내장 YARA 엔진으로 규칙 검사
파일시스템 자동 복구
손상된 볼륨도 읽기
- 부트 섹터·FAT·$MFT·슈퍼블록·GPT를 백업 구조로 복구
- 지워진 파티션을 찾아 "되찾은 파티션"으로 표시
- 원본은 그대로 두고 읽기 전용 덧씌움으로만 적용
보고서 · 스크립트
EnScript 대응
- HTML 보고서, CSV 묶음, KML(GPS 지도), TSK body file
- 증거 처리 과정을 남기는 작업 기록(감사 로그)
- Python 스크립트로 사건 데이터 조회·가공 (예제 6개)
지원 형식
확장자가 아니라 파일 내용(시그니처)으로 형식을 판별합니다.
- 디스크 이미지
- E01 · Ex01 · SMART(s01) · AFF · AFF4 · RAW · 분할 RAW · VHD · VHDX · VMDK · VDI · QCOW2 · DMG · Parallels · 물리 장치
- 파일시스템
- NTFS · FAT12/16/32 · exFAT · ext2/3/4 · ISO9660
- 파티션
- MBR(확장 파티션 포함) · GPT
- 문서 본문
- DOCX · XLSX · PPTX · HWPX · HWP 5.0 · ODF · PDF · RTF · HTML · EML · MSG
- 브라우저
- Chrome · Edge · 웨일 · Firefox
다운로드
ForenSuite 1.8.0
압축을 풀고 run_windows.bat를 실행하면 됩니다. Python 3.10 이상이 없으면 스크립트가 설치를 안내합니다.
- 파일
- ForenSuite-1.8.0.zip (911,015 바이트)
- 운영체제
- Windows
- SHA-256
- f43c31bea00fcb8771ea5162b1f8ee7e88a262b2ca9520a7a4e33d6a7d26f0ea
ForenSuite는 교육과 적법한 디지털 포렌식 조사를 위한 도구입니다. 적법한 권한이 있는 대상에만 사용하세요. 자동 분석 결과(특히 의심 항목)는 조사관이 맥락과 함께 검토해야 합니다.