사용법

설치부터 첫 사건의 보고서를 만들기까지 순서대로 안내합니다.

1. 설치 · 실행

위 버튼으로 ForenSuite-1.8.0.zip을 받습니다.
ZIP 파일을 마우스 오른쪽 → "압축 풀기"로 풉니다.
풀린 ForensicSuite 폴더에서 아래 둘 중 하나를 더블클릭합니다.

파일	하는 일
`run_windows.bat`	빌드 없이 바로 실행합니다. 처음 써 볼 때 권장합니다.
`build_windows.bat`	실행 파일을 만듭니다 → `dist\ForenSuite\ForenSuite.exe`. Python이 없는 PC로 옮겨 쓸 때 사용합니다.

Python 3.10 이상이 없으면 스크립트가 알려 주고, 가능하면 자동 설치(Y)를 제안합니다.
첫 실행은 필요한 패키지를 설치하느라 몇 분 걸립니다. 다음부터는 바로 열립니다.

2. 관리자 권한

프로그램은 일반 권한으로 실행됩니다. 그래야 탐색기에서 증거 파일을 끌어다 놓을 수 있습니다.

아래 작업이 필요할 때만 홈 화면의 [관리자 권한으로 다시 시작]을 누르세요. 열려 있던 사건은 다시 열립니다.

물리 디스크 획득
메모리 덤프
잠긴 시스템 파일 추출
이미지 마운트

3. 화면 언어

설정 → 언어 / Language에서 한국어와 영어를 고릅니다. 프로그램을 다시 시작하면 적용됩니다.
처음 실행할 때는 Windows 표시 언어를 따릅니다 (한국어 Windows → 한국어, 그 외 → 영어).
명령줄에서는 --lang ko / --lang en, 또는 FORENSUITE_LANG 환경 변수로 정합니다.
프로그램이 만든 글자만 번역합니다. 파일 이름·경로·레지스트리 값·메일 같은 증거 내용은 그대로 표시합니다.

4. 첫 사건 분석하기

홈 화면의 단계 안내(증거 추가 → 분석 → 검토 → 북마크 → 보고서)를 그대로 따라가면 됩니다.

사건 만들기 — 위쪽 막대의 [사건 ▾] 또는 Ctrl+N로 새 사건을 만듭니다. 기존 사건은 Ctrl+O로 엽니다.
증거 추가 — [증거 추가]를 누르거나 증거 파일(E01·RAW·VHD 등)을 창에 끌어다 놓습니다. 증거는 읽기 전용으로 열리고, 볼륨이 손상되어 있으면 백업 구조로 자동 복구해 읽습니다.
분석 실행 — 분석 수준(빠른 / 표준 / 전체)을 고릅니다. 통합 분석은 기본으로 켜져 있습니다. 키워드나 정규식을 함께 지정할 수 있습니다. 레지스트리·이벤트 로그·브라우저 기록 같은 핵심 파일을 먼저 처리하므로 결과를 일찍 볼 수 있습니다.
검토 — [분석 결과]에서 의심 항목, 프로그램 실행 흔적, 외부 장치 등 분류별로 확인합니다. [타임라인]에서 기간을 좁히고 "앞뒤 5분 보기"로 전후 상황을 봅니다.
북마크 — 중요한 파일이나 기록에 Ctrl+B로 태그(중요·증거·의심·검토 필요)와 메모를 남깁니다.
보고서 — [보고서]에서 포함할 항목을 골라 HTML 보고서, CSV 묶음, KML(GPS 지도), TSK body file로 내보냅니다. 북마크와 사건 메모가 함께 들어갑니다.

분석이 프로그램 종료나 오류로 중단돼도 저장된 결과는 남습니다. [분석 실행]을 다시 누르면 남은 파일만 이어서 분석합니다.

5. 화면 구성

화면	내용
홈	단계 안내, 통계(파일·삭제 파일·아티팩트·의심 항목·북마크), 주요 발견, 요일·시간대별 활동 분포
증거 탐색	증거 트리 · 파일 목록 · 미리보기. 삭제 파일은 빨간색, ADS·확장자 불일치는 배지로 표시
분석 결과	아티팩트를 의미별로 묶고, 종류마다 무엇을 뜻하는지 설명
타임라인	파일 시스템 MACB 시각 + 아티팩트 + NTFS 저널을 합친 통합 타임라인
NTFS 로그	활동 요약, 파일별 이력, 이름 변경·이동, 삭제된 파일, 이상 징후, $MFT 목록
검색	파일 이름·경로·해시, 아티팩트, 문서 본문을 한 번에 검색. 내용 키워드·패턴·정규식 검색
이미지 갤러리	사건의 모든 이미지 썸네일 (삭제 / GPS / 확장자 위장 필터)
북마크 · 메모	태그와 메모, 사건 메모
보고서	HTML · CSV · KML · body file, 작업 기록(감사 로그)
획득 · 도구	디스크 이미지 생성·검증, 마운트, 메모리 덤프, 활성 시스템 수집, 카빙, 해시셋(NSRL), 디스크 보기, 사건 간 상관 분석, 파일시스템 진단·복구
스크립트	Python으로 사건 데이터를 조회·가공하고 결과를 표·아티팩트·북마크로 저장 (예제 6개)

6. 파일 작업 · 단축키

파일 목록·갤러리·검색 결과에서 파일을 고르면 미리보기 위에 버튼이 나오고, 마우스 오른쪽 버튼으로 전체 메뉴를 엽니다.

내보내기 — 여러 파일은 폴더 구조, 해시 목록(CSV), 원본 시각을 유지합니다.
열기 — 임시 폴더의 읽기 전용 사본을 기본 프로그램으로 엽니다. 실행 파일·스크립트는 분석 PC 보호를 위해 열지 않습니다.
해시 — MD5·SHA1·SHA256 계산, 같은 해시의 파일 찾기, VirusTotal 해시 조회(파일은 올리지 않음).
압축·문서 내부 보기 — ZIP·TAR·GZ, DOCX/HWPX 속 이미지, 썸네일 캐시를 폴더처럼 탐색합니다.
16진수 편집기 — 원본은 바꾸지 않고 "다른 이름으로 저장"으로만 저장하며, 원본·수정본 SHA256을 비교해 작업 기록에 남깁니다.
해시셋에 추가 — 선택한 파일로 bad / notable / good 해시셋을 만들어 다른 사건에서 씁니다.

단축키	동작
`Ctrl`+`E`	내보내기
`Ctrl`+`B`	북마크
`Ctrl`+`F`	검색
`Backspace`	뒤로
`Ctrl`+`1`~`9`	화면 이동
`Ctrl`+`N` / `O` / `W`	새 사건 / 사건 열기 / 사건 닫기
`Ctrl`+`\`	왼쪽 메뉴 접기·펴기

7. 디스크 이미지 만들기

홈 화면에서 [관리자 권한으로 다시 시작]을 누릅니다.
획득 · 도구 → 디스크 이미지 생성에서 원본(물리 디스크·볼륨·이미지)을 고릅니다.
형식(E01 · RAW 분할 · VHD)과 저장 위치를 정하고 시작합니다.
획득 중·후에 MD5 / SHA1 / SHA256으로 검증하고, 획득 보고서가 함께 저장됩니다.

만든 이미지는 같은 화면의 무결성 검증, 이미지 정보, 형식 변환, 읽기 전용 마운트로 다시 확인할 수 있습니다.

8. 명령줄(CLI)

화면 없이 같은 기능을 쓸 수 있습니다. 빌드하지 않았다면 ForenSuite.exe 대신 python -m forensuite를 씁니다.

ForenSuite.exe info     <image>
ForenSuite.exe acquire  <source> <dest> -f e01 --examiner 홍길동
ForenSuite.exe verify   <image>
ForenSuite.exe ingest   <image> -o case.db --keywords 비밀 mimikatz --regex "01[016-9]-?\d{3,4}-?\d{4}"
ForenSuite.exe ntfslog  <image> -o ntfs_out
ForenSuite.exe carve    <image> -o carved
ForenSuite.exe report   case.db -o report.html --all

중단된 분석은 --resume으로 이어서 하고, 영어 출력은 --lang en을 붙입니다.

9. 다른 PC로 옮기기

build_windows.bat로 만든 뒤 dist\ForenSuite 폴더 전체를 복사하세요. exe 파일만으로는 실행되지 않습니다(같은 폴더의 _internal이 필요). 받는 PC에는 Python이 없어도 됩니다.

10. 주의 사항

증거는 항상 읽기 전용으로 엽니다. 미리보기용 "열기"도 임시 사본을 씁니다.
자동 분석 결과(특히 이상 징후·의심 항목)는 조사관이 맥락과 함께 검토해야 합니다.
적법한 권한이 있는 대상에만 사용하세요.
스크립트는 프로그램과 같은 권한으로 실행됩니다. 믿을 수 있는 스크립트만 실행하세요.
사건 간 상관 분석 DB에는 파일 해시·USB 시리얼·이메일 주소 등이 저장됩니다. 사건 보안 정책에 맞게 위치를 정하거나 설정에서 끄세요.