Release 노트

그림 지원 및 콘텐츠 분석

• 파일 형식 손상이나 파일 잘림(예: 불완전하게 조각난 파일)에 대한 복원력이 향상되어 사진 콘텐츠 감지 기능이 향상되었습니다.

• Excire 사진 콘텐츠 감지 기능 중 드물게 사용되는 일부 기능이 이제 파일의 계산된 관련성에 영향을 미칩니다. 예를 들어, X-Ways Forensics에서 사진 파일을 아이콘, 로고, 카탈로그 스타일로 인식하는 경우 해당 파일의 관련성이 감소합니다. 이는 사용자가 선택한 콘텐츠에 따라 관련성을 높이거나 낮추는 옵션에 추가됩니다.

• 색상 식별 상자를 모두 선택하면 고유한 이름을 가진 기본 색상의 다양한 음영(예: 진한 하늘색, 자홍색, 아쿠아마린, 연두색, 카키색, 진한 연어색 등)이 선택적으로 감지됩니다. 특수 색상은 항상 영어로 출력되며 독일어, 프랑스어, 스페인어 또는 이탈리아어로 번역되지 않습니다. 상자가 반만 선택된 경우 기본 색상만 출력됩니다. (SR-1)

• 기본 색상이든 특수 색상이든 모든 색상 이름에 이제 선택적으로 "Color: "라는 단어(언어별)를 접두사로 붙일 수 있습니다. 따라서 알파벳순으로 정렬하면 모든 색상 레이블이 연속된 블록으로 나열됩니다. (SR-1)

• 이제 사진에서 감지된 덜 우세한 색상도 출력됩니다. (SR-1)

• Excire 사진 콘텐츠 감지 기능은 이제 스캐너와 디지털 카메라 등의 장치 유형을 식별하는 데 도움이 됩니다.

• 발전장치 인식이 전반적으로 업데이트되었습니다.

• XMP 메타데이터 블록에서 유니코드 문자를 완벽하게 지원합니다.

• 내부 그래픽 디스플레이 라이브러리에서 TIFF 사진과 관련된 잠재적이고 이론적인 무한 루프를 수정했습니다.

• 메타데이터 분석을 기반으로 "실외"와 "실내"를 감지하고 레이블로 출력합니다(선택 사항).

• Excire Forensics v21.1 이상 버전의 사진 콘텐츠 분석 패키지가 최근 업데이트되었습니다. 마지막 수정 날짜는 웹 서버 파일 목록에서 확인할 수 있습니다. X-Ways Forensics 21.1 또는 21.2를 한동안 사용하더라도 다음 세 가지 개선 사항을 활용할 수 있습니다. v21.3에서 사용하려면 이 패키지의 최신 버전이 필요합니다.

• 사진 콘텐츠 분석을 기반으로 "실외"와 "실내"를 감지할 수 있습니다(v21.3에서는 선택 사항).

• 새로운 하위 트리인 "문화"에서 악기, 다양한 예술 형태, 이벤트 등을 포함하여 감지 가능한 그림 콘텐츠의 계층 구조가 업데이트되었습니다.

• "아키텍처"의 일부 잘못된 감지를 방지했습니다.

증거 객체 지원

• Cellebrite UFDR 보고서에서 파일을 원래 이름, 경로, 타임스탬프 및 추가 하드 링크와 함께 표시할 수 있습니다. 원래 디렉터리가 아니고 경로를 알 수 없는 파일을 저장하는 데 사용되는 디렉터리는 가상 디렉터리로 표시되며, 검사 목적으로 메타데이터가 포함된 파일도 가상 디렉터리로 표시됩니다. UFDR 파일은 다른 파일 아카이브와 마찬가지로 케이스에 파일로 추가할 수 있습니다.

• 해석된 이미지에서 읽을 때 성능에 미치는 영향이 마다하지 않는다면, .e01 증거 파일을 생성할 때 설정할 수 있는 최대 청크 크기가 이제 512KB가 아닌 1MB로 약간 압축 효과가 있습니다.

성능

• 여러 스레드를 사용한 갤러리 및 볼륨 스냅샷 세분화는 이제 아카이브 콘텐츠의 캐싱이 완전히 활성화된 상태에서 파일 아카이브인 증거 개체에 대해 더 빠르게 수행됩니다.

• X-Ways Forensics에서 생성된 .e01 증거 파일의 파일 헤더 서명 검색 및 동시 검색 속도가 더욱 향상되었습니다. 이는 v20.9 이상에서 생성 가능한 최신 압축 방식을 사용하는 .e01 증거 파일에도 적용됩니다.

• 수천 개의 검색어가 있고, 그 중 많은 검색어나 모든 검색어가 선택된 경우, 검색어를 기본/연대순(즉, 검색 기록 기반)으로 나열하면 검색어 목록을 채우는 속도가 훨씬 빨라졌습니다.

• 내부 그래픽 디스플레이 라이브러리에서 큰 이미지 픽셀 오프셋을 갖는 GIF 사진을 메모리 사용량이 적게 처리합니다.

사용자 인터페이스

• 사용자 인터페이스의 일본어 번역이 포함되어 있습니다.

• 사용자 인터페이스의 중국어 번역이 업데이트되었습니다.

• 이제 검색어 목록에 선택한 검색어에 대해 현재 나열된 검색 결과 수뿐만 아니라, 현재 증거 객체(또는 재귀 탐색을 위해 선택된 증거 객체의 사례 루트 창)에서 해당 검색어의 총 검색 결과 수가 더 큰 경우 슬래시 뒤에 표시됩니다. 이 기능은 필터가 활성화되었거나, 디렉터리가 선택되었거나, 검색어 목록의 특수 조합 옵션의 영향을 받는 등 특정 검색어에 대한 모든 검색 결과가 표시되지 않을 때 유용합니다. 특수 조합 옵션이 활성화되어 있지 않으면 현재 선택되지 않은 검색어에도 적용됩니다.

• 예를 들어 특정 기준을 충족하는 파일을 찾기 위한 필터와 함께 사용하기 위해 증거 개체가 특별히 읽기 전용 모드로 열린 경우 레이블을 일시적으로 설정하고 제거할 수 있으며, 증거 개체가 닫히면 이러한 변경 사항이 삭제됩니다.

• 한 사례의 여러 사용자를 구분할 때, 현재 로그인한 사용자의 이니셜이 해당 사용자가 지정한 각 레이블과 해당 사용자가 직접 만든 각 파일에 표시되는 것은 이제 선택 사항입니다. 기본적으로는 다른 사용자의 작업에만 이니셜이 표시되어 화면이 어수선해지는 것을 방지합니다.

• RVS 대화창에서 미리 사용할 해시 세트를 선택하는 등, 매칭을 위한 해시 데이터베이스를 구성할 수 있습니다. 사용자가 해당 옵션을 사용하지 않더라도 X-Ways Forensics는 사용자에게 메시지를 표시하지만, 이제 해시 데이터베이스와 매칭할 때마다 메시지가 표시되는 것이 아니라 세션당 한 번만 표시됩니다.

• 추출된 메타데이터에 디렉토리 브라우저에 따라 존재하는 경우, 휴지통 정보, 알려진 이전 이름/경로 및 Zone.Id=3 정보가 이제 세부 정보 모드의 메타데이터 셀에 안정적으로 표시됩니다.

• 메타데이터 열의 필터는 이제 사용자가 원하는 경우 디렉토리에도 적용되는 필터입니다. 디렉토리가 Windows 휴지통에 있고 메타데이터가 해당 $I 파일에서 검색되거나 디렉토리의 이전 이름이나 경로가 NTFS 인덱스 레코드에서 알려진 경우 디렉토리의 메타데이터 셀에 텍스트가 있을 수 있기 때문입니다.

• 세부 정보 모드는 이제 3개 대신 4개의 하위 모드를 갖습니다. 새로운 모드는 IM+로 설명되어 있으며, 내부 메타데이터는 물론 파일 시스템의 특정 메타데이터(NTFS 권한, NTFS 개체 ID 분석 등)도 표시합니다.

• 디렉토리 브라우저 컨텍스트 메뉴의 '인쇄' 명령을 통해 선택한 파일과 함께 세부 정보 모드(현재 사용 가능한 4가지 하위 모드 중 하나)의 내용을 인쇄할 수 있는 기능입니다. 여기서 체크 표시는 디렉토리 브라우저의 모든 셀을 포함하여 전체 세부 정보 모드를 나타내므로 표지 페이지를 포함하는 것이 더 이상 필요하지 않을 수 있습니다.

• 인쇄할 때 표지 페이지를 추가할지 여부를 자식 개체에 대해 별도로 결정할 수 있는 기능입니다.

• 재귀적 선택 통계에 대한 체크박스의 중간 상태에는 이제 직접 선택과 직접 및 간접 선택의 총계가 별도로 나열됩니다.

X-Tension API

• X-Ways Forensics는 이제 증거 객체가 쓰기 보호된 상태로 열린 경우(자체적으로 열리거나 전체 사례가 읽기 전용으로 열린 경우) X-Tensions에 의한 볼륨 스냅샷의 변경을 차단합니다.

• 이제 XT_Finalize()에서 플래그 0x02를 반환하여 X-Tension이 변경 사항을 적용했으므로 지정된 볼륨의 볼륨 스냅샷을 저장해야 함을 나타낼 수 있습니다. 이 기능은 실제로 필요하지 않으며 현재 볼륨 스냅샷 미세 조정의 일부로 실행될 때는 무시되지만, 일관성을 위해 이제 권장됩니다.

• XT_Prepare 함수의 nOpType 매개변수의 개정된 의미를 이해하는 X-Tension의 경우 XT_Init() 함수의 가능한 반환 값 목록이 약간 확장되었습니다. 이제 이 함수는 볼륨 스냅샷을 변경할 수 없음을 의미하는 읽기 전용으로 열린 증거 객체에 적용되는지 여부를 X-Tension에 알려줄 수 있습니다.

• XWF_SetItemSize, XWF_SetItemOfs, XWF_SetItemParent, XWF_SetItemType 함수에는 이제 성공 또는 실패를 나타내는 반환 값이 있습니다.

• X-Tension API 함수 XWF_GetReportTableAssocs()의 마지막 매개변수의 의미와 기능이 확장되었습니다. 반환값이 64비트로 확장되어 이제 추가 정보를 제공합니다.

• API 함수 XWF_GetReportTableAssocs()에 대한 설명서가 업데이트되었습니다. XWF_AddToReportTable() 함수에서 지원하는 플래그 값에 대한 설명서도 업데이트되었습니다.

• 프로그래밍 언어 Rust 팬 여러분: https://github.com/ThomasVogl/xwf-api-rs 덕분에 X-Tension API를 사용할 수 있게 되었습니다 .

여러 가지 잡다한

• 복구/복사 명령에서 지원하는 최대 총 출력 경로 길이는 이제 510자가 아닌 1023자입니다.

• "검색어" 열에 나열되는 검색어의 최대 개수가 기존 50개에서 100개로 늘어났습니다. 해당 개수를 초과하는 검색어는 생략 부호로 표시됩니다.

• 데이터 인터프리터와 템플릿에서 부호 없는 정수의 리틀 엔디안 및 빅 엔디안 가변 길이 표현을 디코딩하는 기능입니다. 리틀 엔디안에서는 (U)LEB128(=리틀 엔디안 베이스 128)과 호환됩니다. 빅 엔디안에서는 SQLite3의 varint와 호환됩니다. 템플릿에서는 변수 유형을 "varint"라고 합니다.

• 편집 | 수정의 XOR 함수가 이제 8비트 상수뿐만 아니라 16비트 및 32비트 상수도 지원합니다. 수학 연산의 원하는 단위는 입력하는 16진수 숫자(2, 4 또는 8)에서 차감되므로, 실제 값이 8비트 정수만큼 작더라도 앞에 0을 사용하여 16비트 또는 32비트 정수 상수로 해석할 수 있습니다.

• 최신 버전의 뷰어 구성 요소(v8.5.7)와의 호환성이 향상되었습니다. 알려진 유일한 제한 사항은 관리자 권한으로 64비트 버전을 실행할 경우 일부 오래된 PDF 문서를 보거나 텍스트 디코딩할 수 없다는 것입니다.

• "사례 보관" 메뉴 명령은 15년 동안 업데이트되지 않은 오래된 기능이며, 대용량 사례를 지원하도록 설계되지 않았기 때문에 최종적으로 제거되었습니다. 대신 새로운 "백업/복원(사례)" 메뉴 명령을 사용하거나 7-Zip, WinRAR 또는 WinZip과 같은 선호하는 압축 도구를 사용하여 .xfc 사례 파일과 해당 사례 디렉터리를 보관하는 것이 좋습니다. 참고로, 최신 버전 v21.0, v21.1 및 v21.2에서는 Shift 키를 누른 상태에서 파일 메뉴를 열면 "사례 보관" 명령을 사용할 수 있습니다.

• NSRL RDS 해시 세트는 XWF로 가져올 수 있는 형식으로 2024년 9월 9일에 2024.09.1 ​​릴리스로 업데이트되었으며, MD5와 SHA-1 버전 모두 리소스 디렉토리에서 다운로드할 수 있습니다.

• 프로그램 도움말과 사용자 매뉴얼이 업데이트되었습니다.

• 많은 사소한 개선이 있었습니다.

21.2 서비스 릴리스 변경 사항

• SR-1: .e0x 더미 세그먼트를 생성할 때 최신 및 호환 압축 중에서 선택할 수 있는 기능.

• SR-1: 내부적으로 하드코딩된 다른 설정을 사용하여 .e0x 더미 세그먼트를 생성할 때 일반 이미지 생성 설정이 이제 보존됩니다.

• SR-1: v21.2에서 사진 속의 알려진 얼굴을 찾지 못하는 문제를 수정했습니다. v21.2를 사용하려면 2024년 7월 17일부터 업데이트된 Excire 패키지가 필요합니다.

• SR-2: v21.0 이상에서 생성된 사건에서 단일 파일인 증거 객체를 v20.9 이하에서 어느 시점에 열고 저장한 경우, v21.0 이상에서 가끔씩 열리지 않는 문제를 수정했습니다.

• SR-2: 파일 아카이브인 증거 객체는 해당 옵션의 문구에서 암시하는 것처럼 디렉터리가 아닌 최상위 파일로 증거 파일 컨테이너에 선택적으로 표현되었으며, 다른 옵션(일부 타사 도구와의 호환성 향상을 위해 파일의 자식 객체를 피하는 것)에 따라 잠재적인 결과적 오류가 발생할 수 있었습니다. 이 문제는 수정되었습니다.

• SR-2: Unix/Linux 파일 시스템에서 생성된 파일의 암호화 테스트 결과가 양성으로 나왔지만, 증거 파일 컨테이너에 포함되지 않는 문제가 수정되었습니다.

• SR-2: 증거 파일 컨테이너에서 추출된 이메일 메시지에 '복구/복사' 명령을 적용했을 때 첨부 파일을 .eml 파일에 다시 삽입할 수 없었던 문제가 수정되었습니다.

• SR-2: 동시 검색을 위해 잘못된 정규 표현식을 구문 분석하려고 할 때 특정 상황에서 발생할 수 있는 갑작스러운 프로그램 종료를 방지했습니다.

• SR-3: v21.2에서 그림 콘텐츠 분석의 불완전한 결과가 발생할 수 있는 문제를 수정했습니다.

• SR-3: v21.1 이상에서 인덱싱 시 "이미 완료" 확인란의 선택을 해제하면 볼륨 스냅샷이 손상될 수 있었습니다. 이 문제는 해결되었습니다.

• SR-4: 그림 내용 분석의 별도 RVS 단계에 대한 기본 진행률 표시기입니다.

• SR-4: 사진 콘텐츠 분석 중 치명적이지 않은 PNG 사진 로딩 오류와 관련된 불필요한 메시지 출력을 방지했습니다.

• SR-4: v21.2에서 대용량 데이터 세트를 포함하는 Excire.exe를 실행할 때 발생할 수 있는 오류가 수정되었습니다.

• SR-5: v21.2에서 저장 장치에서 직접 작동하는 여러 스레드가 제대로 동기화되지 않는 문제가 수정되었습니다.

• SR-5: v21.2에서 새로 추가된 분할된 증거 객체 내에서 디스크 모드에서 파일을 수동으로 조각할 경우 사건 데이터 트리가 손실되는 문제가 수정되었습니다.

• SR-5: X-Tension API: XT_PREPARE_TARGETFILESWITHUNKNOWNDATA라는 새 플래그를 이제 XT_Prepare에서 반환할 수 있으므로 메타데이터만 알려진 파일에 대해서도 XT_ProcessItem 및/또는 XT_ProcessItem이 호출됩니다.

• SR-5: X-Tension API: XWF_GetVSProp()을 이제 XWF_VSPROP_SET_HASCHANGED(30)로 호출할 수 있습니다. 이 옵션은 볼륨 스냅샷에 변경 사항이 포함되어 있음을 표시하여 늦어도 데이터 창이 닫힐 때 저장됩니다. 예를 들어 볼륨 스냅샷 세분화 외부에서 볼륨 스냅샷을 변경하는 경우 이 기능이 필요할 수 있습니다.

• SR-6: 충돌 안전 디코딩 옵션이 비활성화된 경우 일부 대용량 PDF 문서를 로드하고 볼 때 발생할 수 있는 불완전한 텍스트 디코딩 문제를 수정했습니다.

• SR-6: 읽기 전용 모드로 특별히 열린 증거 개체에서 더 이상 레이블을 설정하거나 제거할 수 없습니다.

• SR-7: v21.2에서 전체 파일 이름만 대상으로 하는 경우 유형 필터가 작동하지 않던 문제가 수정되었습니다.

• SR-7: 특정 Cellebrite iOS 기기 추출 아카이브를 증거 객체로 사건에 추가했을 때의 내용으로 인식합니다.

• SR-8: 어떤 이유로 클립보드에 대한 쓰기 권한이 실패하면 X-Ways Forensics는 이제 출력 창에 복사할 텍스트를 출력합니다. 아마도 이 창에서 복사할 수 있을 것입니다.

• SR-8: Ctrl+Del은 이제 감지된 사진 콘텐츠를 나타내는 레이블을 선택한 파일에서 선택적으로 제거합니다. 이는 이 작업이 볼륨 스냅샷 세분화를 재설정한다는 개념에 부합하며, 원하는 경우 사진 콘텐츠 분석에서 작업을 다시 수행할 수 있도록 합니다.

• SR-8: "클래식 아카이브 폭탄?"에 대한 오탐지 수가 감소했습니다.

• SR-9: "클래식 아카이브 폭탄?"에 대한 거짓 양성 탐지율이 더욱 낮아졌습니다.

• SR-9: MP4 파일의 파일 크기 감지 알고리즘 ~27이 이제 Xtra 원자가 있는 경우에도 올바르게 작동합니다.

• SR-9: TSV로 목록을 내보낼 때 경로의 줄 바꿈 문자를 바꿉니다.

• SR-9: X-Tension API: XWF_GetFileCount()를 nDirID 매개변수로 -1을 지정하여 호출하면 최신 결과가 보장됩니다.