[국내논문]하드디스크의 물리적 섹터 접근 방법을 이용한 MFT기반 증거 파일 탐색 기법 MFT-based Forensic Evidence File Search Method Using Direct Access to Physical Sector of Hard Disk Drive원문보기
대용량 하드디스크의 등장으로 많은 자료를 컴퓨터의 하드디스크에 저장할 수 있게 되었다. 하드디스크의 용량이 커지면서 저장되어 있는 파일 및 디렉토리가 증가하여 디지털 포렌식 분야에서도 탐색해야 하는 정보가 증가하게 되었다. 대용량 하드디스크에서 증거로 활용될 수 있는 파일 정보를 탐색하기 위해서는 윈도우 시스템에서 제공해주는 파일관리 함수군을 주로 이용한다. 하지만, 이 방법은 파일과 디렉토리의 수가 많을 경우 처리속도가 느리며, 파일 정보를 읽을 경우 파일의 접근시간이 변경된다. 또한, 운영체제 또는 응용 프로그램에 의해 이미 사용중인 파일의 경우 접근이 불가능하다는 단점이 있다. 본 논문에서는 대용량 하드디스크에 저장되어 있는 파일 및 디렉토리를 빠르게 탐색하기 위한 방법으로 하드디스크의 물리적 섹터에 접근하여 NTFS의 MFT 정보를 획득하고, 획득된 MFT 정보를 기반으로 증거파일을 탐색하는 방법을 제시하고 구현하였다.
대용량 하드디스크의 등장으로 많은 자료를 컴퓨터의 하드디스크에 저장할 수 있게 되었다. 하드디스크의 용량이 커지면서 저장되어 있는 파일 및 디렉토리가 증가하여 디지털 포렌식 분야에서도 탐색해야 하는 정보가 증가하게 되었다. 대용량 하드디스크에서 증거로 활용될 수 있는 파일 정보를 탐색하기 위해서는 윈도우 시스템에서 제공해주는 파일관리 함수군을 주로 이용한다. 하지만, 이 방법은 파일과 디렉토리의 수가 많을 경우 처리속도가 느리며, 파일 정보를 읽을 경우 파일의 접근시간이 변경된다. 또한, 운영체제 또는 응용 프로그램에 의해 이미 사용중인 파일의 경우 접근이 불가능하다는 단점이 있다. 본 논문에서는 대용량 하드디스크에 저장되어 있는 파일 및 디렉토리를 빠르게 탐색하기 위한 방법으로 하드디스크의 물리적 섹터에 접근하여 NTFS의 MFT 정보를 획득하고, 획득된 MFT 정보를 기반으로 증거파일을 탐색하는 방법을 제시하고 구현하였다.
According to the capacity of hard disk drive is increasing day by day, the amount of data that forensic investigators should analyze is also increasing. This trend need tremendous time and effort in determining which files are important as evidence on computers. Using the file system APIs provided b...
According to the capacity of hard disk drive is increasing day by day, the amount of data that forensic investigators should analyze is also increasing. This trend need tremendous time and effort in determining which files are important as evidence on computers. Using the file system APIs provided by Windows system is the easy way to identify those files. This method, however, requires a large amount of time as the number of files increase and changes the access time of files. Moreover, some files cannot be accessed due to the use of operating system. To resolve these problems, forensic analysis should be conducted by using the Master File Table (MFT). In this paper, We implement the file access program which interprets the MFT information in NTFS file system. We also extensibly compare the program with the previous method. Experimental results show that the presented program reduces the file access time then others. As a result, The file access method using MFT information is forensically sound and also alleviates the investigation time.
According to the capacity of hard disk drive is increasing day by day, the amount of data that forensic investigators should analyze is also increasing. This trend need tremendous time and effort in determining which files are important as evidence on computers. Using the file system APIs provided by Windows system is the easy way to identify those files. This method, however, requires a large amount of time as the number of files increase and changes the access time of files. Moreover, some files cannot be accessed due to the use of operating system. To resolve these problems, forensic analysis should be conducted by using the Master File Table (MFT). In this paper, We implement the file access program which interprets the MFT information in NTFS file system. We also extensibly compare the program with the previous method. Experimental results show that the presented program reduces the file access time then others. As a result, The file access method using MFT information is forensically sound and also alleviates the investigation time.
* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.
문제 정의
마이크로소프트사가 2006년 6월 윈도우 98 운영체제의 기술지원 서비스를 중단함으로써[1] 윈도우 2000 이후 버전의 운영체제가 주로 사용되고 있으며, 더불어 NTFS가 주요 파일시스템으로 자리잡게 되었다[2-4]. 본 논문에서는 물리적 섹터 접근 방식 을 이용하여 NTFS의 MFT(Master File Table)정보를 물리적으로 획득하여 대용량의 하드디스크에 저장되어 있는 정보를 탐색하기 위한 효율적인 방법을 제안하고 구현하여 실험한다.
본 논문에서 제시하는 물리적 MFT 정보 획득이라함은 MFT가 저장되어 있는 하드디스크의 섹터에 직접 접근하여 MFT 파일 정보를 획득하는 방법을 말한다. NTFS를 사용하는 윈도우 운영체제가 볼륨을 인식할때는 가장 먼저 부트 레코드(Boot Record)[7]에 접근하는데, 이는 MFT가 어느 섹터에 위치하는지를 알아내기 위함이 주목적이라 할수 있다.
본 논문에서는 디지털 포렌식에 필요한 증거 탐색의 효용성 확인 위해 하드디스크의 물리적 섹터 접근 기법을 이용하여 MFT를 획득하고, 이를 기반으로 한 증거 파일을 수집하는 방법을 제안하고 시험하였다. 시험 결과 MFT 기반의 증거 탐색 및 수집 방법이 파일관리 함수군을 사용하는 방법보다 탐색속도와 파일 처리 건수에서 월등히 우수함을 알 수 있었고, 운영체제가 사용중인 파일의 경우도 검사 대상에 포함시킬 수 있으므로 효과적 방법임을 확인하였다.
제안 방법
본 논문에서는 파일관리 함수를 사용하여 파일 정보를 추출하는 대신, 하드디스크에 존재하는 MFT 정보를 물리적 섹터 단위로 접근하여 획득하고, 파싱하여 증거 파일을 탐색하고 파일 내용을 추출하도록 하였다.
\\PHYSICALDRIVE를 사용하여 물리적 드라이브에 접근하여 섹터 정보를 읽을 수 있도록 지원하고 있다. 물리적 드라이브에 접근하여 시스템에 설치된 물리 드라이브의 개수를 판단 한 후, 각 물리 드라이브에 생성된 논리 드라이브를 식별하고, 식별된 논리 드라이브에서 MFT 정보를 획득한다.
5) 42바이트의 MFT 엔트리 헤더정보를 추출하고 남은 공간에서 파일이나 디렉토리의 속성정보를 추출하여 분석한다.
윈도우 운영체제의 경우에도 부트 섹터 48～55번째에 저장되어 있는 MFT 테이블의 시작 클러스터 주소를 이용하여 볼륨을 분석한다. 또한, 윈도우 운영체제 내부적으로는 메타 데이터 파일인$MFT를 일반 파일과 동일하게 관리하고 있다.
본 논문에서는 물리적 섹터 접근 방식을 이용하여 NTFS의 MFT 정보 획득 기능, MFT 엔트리 분석 기능, MFT 엔트리 정보 파싱기능, 파일 내용 정보 추출 기능을 구현하였으며, 성능 비교 실험을 위해 파일관리 함수군을 이용하여 볼륨내의 디렉토리 및 파일을 탐색하는 모듈도 구현하였다.
구현된 결과물에 대한 시험은 Intel Core2 Duo 2.4GHz의 프로세서와 4GB 메모리가 장착되어 있고 Windows XP Professional 운영체제 서비스팩 3이 설치된 시스템 환경에서 수행하였다. 시험에 사용된 디스크는 <표 2>와 같이 용량, 남은 사용공간, 사용기간이 서로 다른 총 6개 디스크를 이용하였다.
가장 많은 시간이 소요될 것으로 예상되는 부분인 파일의 내용을 읽는 부분은 제외하였으며 파일에 대한 Open, Close 행위만을 수행하였다. 시험 결과 파일관리 함수군 기반의 분석 모듈은 디렉토리 수와 파일 수에 비례하여 처리 속도가 급격하게 늦어지는 현상을 확인하였으며, 파일을 처리하는데 걸리는 시간은 파일 한 개당 0.
파일관리 함수군을 기반으로 한 분석 모듈에 사용된 함수는 FindFirstFile, FindNextFile, FindClose, CreateFile, CloseHandle이며, MFT 기반 모듈의 경우 획득된 $MFT 정보를 1024바이트씩 읽고 엔트리 헤더를 참조하여 $STANDARD_INFORMATION, $FILE_NAME, $DATA속성 정보를 추출하도록 하였다. 파일관리 함수군 기반 모듈은 볼륨에 존재하는 전체 파일수를 기반으로 파일 처리 소요시간을 계산하였으며, MFT 기반 모듈은 MFT 엔트리 수를 기반으로 계산하였다.
파일관리 함수군을 기반으로 한 분석 모듈에 사용된 함수는 FindFirstFile, FindNextFile, FindClose, CreateFile, CloseHandle이며, MFT 기반 모듈의 경우 획득된 $MFT 정보를 1024바이트씩 읽고 엔트리 헤더를 참조하여 $STANDARD_INFORMATION, $FILE_NAME, $DATA속성 정보를 추출하도록 하였다. 파일관리 함수군 기반 모듈은 볼륨에 존재하는 전체 파일수를 기반으로 파일 처리 소요시간을 계산하였으며, MFT 기반 모듈은 MFT 엔트리 수를 기반으로 계산하였다.
대상 데이터
시험에 사용된 디스크는 와 같이 용량, 남은 사용공간, 사용기간이 서로 다른 총 6개 디스크를 이용하였다.
성능/효과
가장 많은 시간이 소요될 것으로 예상되는 부분인 파일의 내용을 읽는 부분은 제외하였으며 파일에 대한 Open, Close 행위만을 수행하였다. 시험 결과 파일관리 함수군 기반의 분석 모듈은 디렉토리 수와 파일 수에 비례하여 처리 속도가 급격하게 늦어지는 현상을 확인하였으며, 파일을 처리하는데 걸리는 시간은 파일 한 개당 0.000001042초～0.000008383초 가량 소요되었다. 반면 MFT를 기반으로 동작하는 모듈은 $MFT 파일의 크기에 따라 초반에 MFT 전체 정보를 메모리에 적재하기 위해 필요한 시간이 지연되었으며 파일을 처리하는데 걸리는 시간은 파일 한 개당 0.
하드디스크를 포맷하지 않고 오랜 시간동안 사용하여 파일의 복사, 삭제, 이동이 많을 경우 $MFT 파일의 크기가 더 커지므로, MFT 기반 모듈의 경우 $MFT 파일 정보를 메모리에 적재하는데 걸리는 초기지연시간이 최대 10초 가량 소요되었다. 그리고, MFT 기반 모듈을 이용하여 탐색한 MFT 엔트리수가 파일관리 함수군 기반 모듈을 이용하여 탐색한 파일수 보다 많았음에도 불구하고, MFT 기반 모듈이 파일관리함수군 기반 모듈보다 파일에 대한 Open, Close를 수행한 전체 파일 처리 시간이 98% 이상 단축되어 (그림 4)와 같이 높은 효율을 보임을 확인하였다.
본 논문에서는 디지털 포렌식에 필요한 증거 탐색의 효용성 확인 위해 하드디스크의 물리적 섹터 접근 기법을 이용하여 MFT를 획득하고, 이를 기반으로 한 증거 파일을 수집하는 방법을 제안하고 시험하였다. 시험 결과 MFT 기반의 증거 탐색 및 수집 방법이 파일관리 함수군을 사용하는 방법보다 탐색속도와 파일 처리 건수에서 월등히 우수함을 알 수 있었고, 운영체제가 사용중인 파일의 경우도 검사 대상에 포함시킬 수 있으므로 효과적 방법임을 확인하였다.
후속연구
향후 연구에서는 연구 결과물을 기반으로 하여 컴퓨터 포렌식 분야에서 필요한 검색엔진과 접목 시켜 인덱스 생성, 키워드 검색의 성능을 개선하는 연구를 수행할 것이다.
질의응답
핵심어
질문
논문에서 추출한 답변
디지털 포렌식 분야에서 탐색해야 하는 정보가 증가하게 된 이유는?
대용량 하드디스크의 등장으로 많은 자료를 컴퓨터의 하드디스크에 저장할 수 있게 되었다. 하드디스크의 용량이 커지면서 저장되어 있는 파일 및 디렉토리가 증가하여 디지털 포렌식 분야에서도 탐색해야 하는 정보가 증가하게 되었다. 대용량 하드디스크에서 증거로 활용될 수 있는 파일 정보를 탐색하기 위해서는 윈도우 시스템에서 제공해주는 파일관리 함수군을 주로 이용한다.
파일 정보를 탐색하기 위해 파일관리 함수군을 이용하는 방법의 단점은 무엇인가?
대용량 하드디스크에서 증거로 활용될 수 있는 파일 정보를 탐색하기 위해서는 윈도우 시스템에서 제공해주는 파일관리 함수군을 주로 이용한다. 하지만, 이 방법은 파일과 디렉토리의 수가 많을 경우 처리속도가 느리며, 파일 정보를 읽을 경우 파일의 접근시간이 변경된다. 또한, 운영체제 또는 응용 프로그램에 의해 이미 사용중인 파일의 경우 접근이 불가능하다는 단점이 있다. 본 논문에서는 대용량 하드디스크에 저장되어 있는 파일 및 디렉토리를 빠르게 탐색하기 위한 방법으로 하드디스크의 물리적 섹터에 접근하여 NTFS의 MFT 정보를 획득하고, 획득된 MFT 정보를 기반으로 증거파일을 탐색하는 방법을 제시하고 구현하였다.
본 논문에서 대용량 하드디스크에 저장되어 있는 파일 정보를 빠르게 탐색하기 위해 어떤 방법을 제시했는가?
또한, 운영체제 또는 응용 프로그램에 의해 이미 사용중인 파일의 경우 접근이 불가능하다는 단점이 있다. 본 논문에서는 대용량 하드디스크에 저장되어 있는 파일 및 디렉토리를 빠르게 탐색하기 위한 방법으로 하드디스크의 물리적 섹터에 접근하여 NTFS의 MFT 정보를 획득하고, 획득된 MFT 정보를 기반으로 증거파일을 탐색하는 방법을 제시하고 구현하였다.
이 논문을 인용한 문헌
저자의 다른 논문 :
활용도 분석정보
상세보기
다운로드
내보내기
활용도 Top5 논문
해당 논문의 주제분야에서 활용도가 높은 상위 5개 콘텐츠를 보여줍니다. 더보기 버튼을 클릭하시면 더 많은 관련자료를 살펴볼 수 있습니다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.