[논문]포렌식 관점의 파티션 복구 기법에 관한 연구

남궁재웅; 홍일영; 박정흠; 이상진

doi:10.13089/jkiisc.2013.23.4.655

초록
AI-Helper

저장장치의 용량이 점차 대형화됨에 따라 대부분의 사용자들은 데이터의 저장 및 관리의 편의를 위하여 저장장치를 논리적으로 여러 개의 파티션으로 나누어 사용한다. 따라서 인위적인 파티션 은닉이나 파티션 손상 등으로부터 안정적으로 파티션을 복구해내는 것은 디지털 포렌식 관점에서 매우 중요한 문제이다. 본 논문은 파티션이 은닉되어 있거나 파티션 영역의 손상으로 인하여 파티션이 구분되지 않는 경우, 각 파일 시스템의 특징을 이용하여 안정적이고 효율적인 분석이 가능한 파티션 복구 알고리즘에 대해 제시한다.

Abstract ▼ AI-Helper

As the capacity of storage devices becomes larger, most users divide them into several logical partitions for convenience of storing and controlling data. Therefore, recovering partitions stably which are artificially hidden or damaged is the most important issue in the perspective of digital forens...

As the capacity of storage devices becomes larger, most users divide them into several logical partitions for convenience of storing and controlling data. Therefore, recovering partitions stably which are artificially hidden or damaged is the most important issue in the perspective of digital forensic. This research suggests partition recovery algorithm that makes stable and effective analysis using characteristics of each file system. This algorithm is available when partition is not distinguishable due to concealment of partition or damage in partition area.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

따라서 NTFS를 사용하는 시스템은 VBR의 정상 여부를 판단하기 위하여 Start of MFT 항목을 MFT로 이동한 후, Signature 항목과 Allocated Size of MFT Entry 항목에 올바른 값이 있는지 여부를 확인함으로써 가능하다. 그리고 MFTMirr 영역은 MFT의 내용과 같은 내용이 복사되어 있기 때문에 두 영역이 일치하는지 여부를 파악함으로써 VBR의 정상 여부를 검증할 수 있다.
Root Directory는 생성된 하위 Directory 및 파일의 개수만큼 32바이트의 구조체가 연속적으로 저장된다. 따라서 각 노드의 Attribute 영역에 정상적인 값이 존재하는지 여부도 확인하여 정상 VBR 여부를 판단할 수 있다.
본 논문에서는 MBR 영역의 손상으로 인한 파티션 손상이나 이전 시스템의 파티션 복구 및 현 시스템의 파일 내부에 존재하는 파티션(VM, 백업 이미지 등) 을 복구하여 포렌식 관점에서 의미 있는 분석을 하기 위한 방안을 제시한다.
본 논문은 VBR과 Super Block, 그리고 각 파일 시스템들의 특징을 분석하여 복구 대상 파티션의 중복을 줄여 분석의 번거로움을 줄이고 파일 시스템의 검증을 통하여 손상된 파티션을 복구하기 위한 수고도 덜면서 할당 및 비 할당 영역 내에 존재하는 복구 가능한 모든 파티션을 복구하여 복구된 파티션 상에 존재하는 파일들로 하여금 의미 있는 분석이 가능하도록 하는 알고리즘을 제안하였다.
본 절에서는 기존의 파티션 복구 도구의 한계점을 극복하기 위하여 저장장치 내에 다수의 파티션이 생성되는 이유에 대하여 상세히 알아보고 포렌식 관점에서 의미 있는 분석을 하기 위하여 각 파티션을 어떻게 효과적으로 복구 및 검증할 것인지에 대해서 제안한다.

제안 방법

EnCase는 VM 파티션의 대한 VBR은 검색하였으나 각 파티션들의 사본 VBR에 대한 중복을 체크하지 않으며 VM 파티션에 포함된 Pagefile.sys 파일 내부에 존재하는 불필요한 VBR도 검색하였다. 또한 손상된 파티션도 모두 포함함으로 인하여 EnCase가 검색한 15개의 VBR 중에서 실제로 복구가 가능한 파티션은 3개에 불과하다는 것을 알 수 있다.
본 논문의 파티션 복구 알고리즘은 앞서 제안한 각 파일 시스템에 대한 파티션의 검색 및 검증 기법을 포함함으로써 복구 대상 파티션 검색의 미탐 및 오탐을 줄일 수 있도록 하였다. 또한 기존의 파티션 복구 도구에는 없는 중복되는 파티션을 검사할 수 있도록 하여 효과적인 파티션의 복구 및 분석이 가능하도록 하였으며 VM 및 백업 이미지에 대한 파티션 검색 및 복구도 가능할 수 있도록 하였다.
본 논문에서는 [표 5]와 같이 구성된 테스트 이미지를 활용하여 제안한 알고리즘을 통해 만든 복구 도구와 각 파티션 복구 도구를 테스트하여 얻은 결과를 비교 분석하였다.
[그림 7]은 본 논문에서 제안하는 파티션 복구에 대한 알고리즘을 도식화한 것이다. 본 논문의 파티션 복구 알고리즘은 앞서 제안한 각 파일 시스템에 대한 파티션의 검색 및 검증 기법을 포함함으로써 복구 대상 파티션 검색의 미탐 및 오탐을 줄일 수 있도록 하였다. 또한 기존의 파티션 복구 도구에는 없는 중복되는 파티션을 검사할 수 있도록 하여 효과적인 파티션의 복구 및 분석이 가능하도록 하였으며 VM 및 백업 이미지에 대한 파티션 검색 및 복구도 가능할 수 있도록 하였다.

대상 데이터

[표 5]는 본 논문에서 제안한 알고리즘과 각 파티션 복구 도구의 성능을 비교하기 위하여 구성한 테스트 이미지에 대한 정보다. 테스트 이미지는 총 8개의 파티션을 포함하고 있으며, 1번 파티션을 제외한 나머지 파티션은 모두 삭제되었다. 일반적인 파일 시스템과 같이 각 파티션은 백업 VBR을 포함하고 있기 때문에 파티션을 위해 존재하는 실제적인 VBR은 총 16개이다.

성능/효과

디지털 포렌식 분석가는 제안된 알고리즘을 통해 삭제된 파티션의 검색 및 복구, 분석을 효과적으로 수행할 수 있으며 파티션 복구 후 남아 있는 비할당 영역에 대해서는 파일 카빙을 수행 할 수 있다.
하지만, 각 파티션들의 VBR 백업에 대한 중복 처리와 파티션 검증 등의 절차가 포함되지 않고 단순히 이미지에 존재하는 모든 VBR을 검색한 것이다. 따라서 정상적인 파티션 검사를 위해 검색된 모든 파티션을 분석가가 직접 복구를 수행하여 확인해야 된다는 불편함이 있으며, 본 논문에서 제안한 도구와는 달리 각 파티션들의 생성 시간 정보도 확인할 수 없다.
실제로 [표 6]의 실험 결과는 VBR의 중복 확인과 파일 시스템 검증, VM 파티션 검색 등을 통하여 테스트 이미지 내에 존재하는 8개 파티션에 대한 16개의 VBR을 모두 검색하였으며 그 중, VBR 사본에 대한 중복 확인과 정상 파티션 검증 등을 통하여 복구 가능한 불필요한 복구를 진행하지 않기 위한 결과를 보여 주고 있다. 반면 Partition Recovery와 TestDisk는 유효한 파티션을 검증해주지 않기 때문에 불필요한 복구를 진행해야 VM 파티션의 경우는 검색을 제공하지 않기 때문에 검색 목록에 포함되지 못하였다.
위 그림과 같이 본 논문을 통하여 제안한 알고리즘은 기존의 파티션 복구 도구가 지원하지 않는 무결성 보장과 검색 결과의 중복 체크 및 파일 시스템 검증, VM 내에 존재하는 파티션의 검색, 시간 정보 제공 등 디지털 포렌식 분석에서 효과적으로 활용 될 수 있는 기능들을 포함하기 때문에 단순히 복구만을 위한 기존의 도구들과는 많은 차이가 있다.
또한 NTFS의 경우에는 $MFT의 생성시간을 통하여 실제 파일 시스템의 생성시점을 추가적으로 파악할 수 있다. 제안한 알고리즘은 기존의 TestDisk와 Partition Recovery 도구와는 달리 실제로 마운트된 파티션뿐만 아니라, 파티션 이미지 파일에서도 동작할 수 있도록 하였기 때문에 디지털 포렌식의 증거 무결성 관점에서 더욱 의미가 있다.

후속연구

또한, 파일 시스템의 메타 정보에 해당하는 영역이 모두 손상 및 손실 되었을 경우에도 MFT 엔트리 등의 정보를 통해서 파티션을 복구 하는 등의 추가적인 연구를 진행할 계획이다. 디지털 포렌식 분야에서 복구는 사용자가 삭제한 데이터를 복구, 분석한다는 관점에서 필수적이지만 파일 카빙 기법을 사용한 복구는 매우 많은 시간이 걸리며 파일이 조각난 경우에는 복구율이 떨어지는 등의 많은 한계점이 존재하였다.
또한 파일 시스템의 특징에 의해 존재하는 중복된 VBR 및 Super Block에 대하여 중복제거를 해주지 않는다. 마지막으로, EnCase는 사용자가 생성한 VM이미지나 백업 파일 안에 존재하는 VBR 및 Super Block을 정확하게 탐지하지 못하는 한계를 지니고 있다. 따라서 무결성을 보장하면서 분석의 편의와 다양한 기능을 제공할 수 있는 연구가 필요하다.
[표 6]은 본 논문에서 제안한 알고리즘으로 개발한 도구와 기존의 도구들의 실험 결과를 표를 통해 정리한 것이다. 하나의 디스크 내부에는 많은 수의 VBR 이 존재하기 때문에 효과적인 복구 및 분석을 위해서는 단순히 존재하는 모든 VBR의 검색을 통한 파티션 복구가 아닌 디지털 포렌식 관점에서 본 논문에서 제안한 VBR 사본의 중복 확인, 파일 시스템 검증, VM 파티션 검색 등의 기능들이 필요하다.
디지털 포렌식 분야에서 복구는 사용자가 삭제한 데이터를 복구, 분석한다는 관점에서 필수적이지만 파일 카빙 기법을 사용한 복구는 매우 많은 시간이 걸리며 파일이 조각난 경우에는 복구율이 떨어지는 등의 많은 한계점이 존재하였다. 하지만 본 논문에서 제안한 파티션 단위의 복구를 수행 하면 해당 파티션 내부에 존재하는 모든 파일들을 정상적으로 한 번에 복구할 수 있기 때문에 디지털 포렌식 관점에서 많은 도움을 줄 수 있을 것이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	파티션 복구 도구는 어떻게 분류할 수 있는가?	파티션 복구 도구는 시스템 상의 실제 손상된 파티션을 복구하기 위한 용도로 사용되는 복구 도구와 복구 대상의 이미지로부터 가상으로 파티션을 복구하여 분석을 하기 위한 용도의 도구로 분류할 수 있다.
	파티션 복구 도구 중 시스템 상의 실제 손상된 파티션을 복구하기 위한 용도의 도구로는 어떤 것들이 있는가?	실제 손상된 파티션을 복구하기 위한 용도의 도구로는 EaseUS의 Partition Recovery와 오픈소스로 제공되고 있는 TestDisk가 있으며, 이미지로부터 가상으로 파티션을 복구하여 파일 시스템을 분석하기 위한 용도의 포렌식용 도구로는 Guidance 사의 EnCase가 있다[4][5][6].
	EXT 파일 시스템은 파티션의 시작을 무엇으로 하는가?	각각의 파티션은 사용자가 어떠한 파일 시스템으로 포맷했는지에 따라 해당 파티션의 시작위치에 VBR(Volume Boot Record) 이 생성되기도 하고 Super Block이 생성되기도 한다. 일반적으로 FAT 파일 시스템과 NTFS는 파티션의 시작을 VBR로 시작하며 EXT 파일 시스템은 파티션의 시작을 Super Block으로 시작한다. 이와 같이 MBR과 VBR, Super Block 등은 파티션과 구조적으로 밀접한 관련을 가지고 있으며 포렌식 분석을 위하여 은닉 또는 삭제된 파티션을 복구해야 하는 경우에 중요한 단서로써 활용될 수 있다.

참고문헌 (7)

Master boot record, http://en.wikipedia.org/wiki/Master_boot_record.
Volume boot record, http://en.wikipedia.org/wiki/Volume_Boot_Record.
Kevin D. Fairbanks, "An analysis of EXT4 for digital forensics," Digital Investigation, vol. 9, pp. 118-130, Aug. 2012.

상세보기
EaseUS, http://www.easeus.com/partition-recovery.
TestDisk, http://www.cgsecurity.org/wiki/TestDisk.
Guidance Software homepage, http://www.guidancesoftware.com.
Brian Carrier, "File System Forensic Analysis," Addison-Wesley Professional, 22 March 2005.

이 논문을 인용한 문헌

저자의 다른 논문 :

LOADING...

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

포렌식 관점의 파티션 복구 기법에 관한 연구
A research for partition recovery method in a forensic perspective 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (7)

이 논문을 인용한 문헌

저자의 다른 논문 :

연구과제 타임라인

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

포렌식 관점의 파티션 복구 기법에 관한 연구 A research for partition recovery method in a forensic perspective 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (7)

이 논문을 인용한 문헌

저자의 다른 논문 :

남궁재웅 (1) 홍일영 (1) 박정흠 (16) 이상진 (212)

연구과제 타임라인

전체(0) 논문(0) 특허(0) 보고서(0)

전체(0) 논문(0) 특허(0) 보고서(0)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

포렌식 관점의 파티션 복구 기법에 관한 연구
A research for partition recovery method in a forensic perspective 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper