소프트웨어 컴퓨터 사용흔적을 알수없을까요?

커널 후킹 드라이버 개발 능력이 있다면, 드라이버를 직접 짜서 모니터링을 하는게 가장 좋은 방법일것 같군요.

유닉스 계열이라면 history 명령어로 사용자들이 어떤 명령어들을 쳤는지도 알 수 있고 또 로그파일들 같은것들도 잘 살펴보면 어느 정도 짐작은 가능하죠.

이미 일어난 복사 작업에 대해 기록을 구하고자 하신다면 없을겁니다.

Process Monitor 같은 툴을 사용해서 필터 잘 구성해서 사용한다면 어느정도 가능할지도....

SSD 면 더더욱 파악불가

SSD는 전자신호 왔다 갔다 하기 때문에

ㅡ,.ㅡ;;; 종료하거나 다시 시작하면 기존에 남아있는 운영체제나 설치된 거 포터블 기타몇가지 빼고는

죄다 증발... 복구 거의 불가

HDD 라면 가능하지만 ㅡ,.ㅡ;; 일반인은 불가능

procmon과 같은곳에서 만든 diskmon이라는게 있긴한데...

특정 폴더나 파일 감시는 안되더군요.

저도 같은 이슈로 인해 많이 찾아봤는데, 정말 직접 만들기전에는 어떻게 답이 안나오겠더군요. ㅡㅡ;;

아, diskmon이 아니라 filemon을 봤어야하는데 착각했네요.

그래도 제대로 필터링하기 어려운건 마찬가지입니다만, 한번 써보긴 해보세요.

배포된 소스프로그램도 있으니 같이 올려드립니다.

사용법은 아래 주소에 있습니다.

https://cafe327.daum.net/_c21_/bbs_search_read?grpid=IY3v&fldid=Jib&contentval=0000Pzzzzzzzzzzzzzzzzzzzzzzzzz&nenc=&fenc=&q=acd%BB%E7%BF%EB%B9%FD&nil_profile=cafetop&nil_menu=sch_updw

그리고 '빨간약'이라는 것도 있던데, 이건 저도 받아만 두고 안써봐서 모르겠네요.

아래는 해당 프로그램 사이트입니다.

제품소개

https://truecut.co.kr/contents/product/pro2.html?sm=1_2

다운로드

https://truecut.co.kr/common/board/listbody.html?a_gb=board&a_cd=4&a_item=0&po_no=126

개인무료라고는 하네요.

아차, 사무실에서 쓰신다고 했으니 무료가 아닐지도...

그럼 역시 filemon으로 가셔야될듯요.

radmin (no tray icon) 같은 원격 연결 프로그램이나

자동 화면 캡쳐 유틸리티 설치해 놓고

그분 오셔서 ??? 작업 할 때마다

무슨 작업 하는지 확인해 보시길 ...

못건드리게 DOS 암호 걸어놓으세요. 

많은 의견들은 있어도 실제로는 XP상에서는 모릅니다. 안해본 거 아닙니다. 

로그온타임에  모니터링용으로 작성한 커널 후킹 드라이버를 로드시켜서 ,  File 엑세스와 관련된 모든 Native API를 검사하게끔 하면,

어떤 작업을 했는지 모니터링이 가능할거같네요.

다들 감사합니다 ㅠㅠ