[논문]HFS+ 저널 파일 파싱 알고리즘을 이용한 삭제된 파일 복구 기법 향상 방안

방승규; 전상준; 김도현; 이상진

doi:10.3745/ktccs.2016.5.12.463

HFS+ 저널 파일 파싱 알고리즘을 이용한 삭제된 파일 복구 기법 향상 방안
A Study to Improve Recovery Ratio of Deleted File Using the Parsing Algorithm of the HFS + Journal File 원문보기

정보처리학회논문지. KIPS transactions on computer and communication systems 컴퓨터 및 통신 시스템, v.5 no.12, 2016년, pp.463 - 470

방승규 (고려대학교 정보보호대학원 정보보호학과) , 전상준 (고려대학교 정보보호대학원 정보보호학과) , 김도현 (고려대학교 정보보호대학원 정보보호학과) , 이상진 (고려대학교 정보보호대학원)

초록
AI-Helper

최근 MAC 시스템의 점유율 증가로 MAC 기반 디지털 포렌식 기술의 필요성이 증대되고 있다. 디지털 포렌식 분석 과정에서 시스템 사용자가 의도적으로 증거를 삭제한 경우, 시스템에서 삭제된 파일을 복구하여 혐의를 입증하기도 한다. 이를 위해 파일시스템으로부터 삭제된 파일을 복구하기 위한 연구가 꾸준히 이루어져 왔으며, MAC 기반 파일시스템인 HFS+ 또한 이에 대한 연구가 수행되어왔다. HFS+의 운영 및 구조적 특성상 파일이 삭제되면 해당 파일의 메타데이터가 다른 파일 또는 폴더의 메타데이터에 의해 삭제되기 때문에 주로 시그니처를 활용한 카빙 기법이 사용되어왔다. 하지만 File Content가 파일시스템 상에 분할되어 저장되는 경우, 카빙 기법 또한 파일의 일부분만을 복구하거나 파일 전체를 복구할 수 없었다. 본 논문에서는 HFS+ 저널을 이용한 삭제된 파일의 복구 기법에 대해 소개한다. 이는 기존 연구를 통해 제안된 기법으로 HFS+ 저널에 남아있는 메타데이터를 이용하여 삭제된 파일을 복구하는 기법이다. 하지만 해당 기법은 특정 파일이 복구 대상에서 배제되기 때문에 이에 대한 개선의 여지가 남아있다. 본 연구에서는 HFS+ 저널을 상세히 분석할 수 있는 알고리즘을 제시한다. 또한 해당 알고리즘을 기반으로 추출한 메타데이터를 통해 복구 대상에서 배제되는 파일 없이 삭제된 파일을 복구할 수 있음을 실험을 통해 입증한다.

Abstract ▼ AI-Helper

With the growing demand for MAC-based system, the need for digital forensic techniques of these system has been increasing. In the digital forensic analysis process, sometimes analysts have recovered the deleted files when they prove the allegations if system user try to remove the evidence deliberately. Research and analysis that recover the deleted files from a file system constantly been made and HFS+ that is a file system of MAC-based system also has been researched. Carving techniques primarily has been used to recover the deleted file from HFS+ a file system because metadata of folder or file overwrite metadata of a deleted file when file is deleted from a file system on HFS+ characteristic. But if the file content is saved by separated state in a file system, Carving techniques also can't recover the whole or a part of the deleted file. In this paper we describe technique the deleted file recovery technique using HFS+ file system a journal. This technique that is suggested by existing research and analysis result is the technique that recover the deleted file by metadata that is maintained in a journal on HFS+ file system. but this technique excludes specific files and this problem needs to be reformed. In this paper we suggest algorithm that analysis a journal of HFS+ file system in detail. And we demonstrate that the deleted file cat be recovered from the extracted metadata by this algorithm without the excluded file.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 HFS+ 저널을 이용하여 배제되는 파일 없이 삭제된 파일을 복구하는 알고리즘을 제시하며, 해당 알고리즘을 통해 실제 MAC 시스템 상에서 두 유형의 파일 모두 복구할 수 있음을 실험을 통해 입증한다.
본 논문은 HFS+ 파일시스템으로부터 HFS+가 정의하는 두유형의 파일을 모두 복구할 수 있는 기법으로써 HFS+ 저널 파일을 상세히 파싱할 수 있는 알고리즘을 제시하였다. 해당 알고리즘은 HFS+ 저널을 상세히 분석하여 저널의 저장된 데이터를 스페셜 파일별로 분류시킨다.
이런 이유로 현재까지 카빙 방식을 이용한 삭제된 파일의 복구 기법이 주로 사용되어왔지만, 이 또한 결과적으로 Catalog File 레코드만을 추출하기 때문에 Overflow 파일은 복구대상에서 배제된다. 본 논문은 저널의 구조와 운영상 특징을 이용한 알고리즘을 제시하며, 이를 통해 기존에 저널로부터 추출할 수 없었던 Extent Overflow File 레코드를 추출하여 Non-Overflow 파일 뿐만 아니라 Overflow 파일 또한 복구할 수 있는 방안을 제시한다.
본 논문의 목적은 기존 기법에서 배제된 Overflow 파일 또한 복구 대상으로 포함시키는 것이다. 이러한 관점에서봤을 때 Overflow 파일의 비율보다 해당 파일의 레코드 또한 저널에 저장될 수 있다는 점에 주목해야 한다.
기존 HFS+ 저널을 이용한 삭제된 파일 복구 기법은 2008년에 소개되었다[5]. 해당 논문은 HFS+ 저널 내에서 Catalog File 레코드를 추출할 수 있는 절차와 스코어링 리스트(복구 가능성을 수치화할 수 있는 체크리스트)를 제시하였다. 또한 절차 및 리스트를 바탕으로 수행한 실험 결과를 제시하여 저널을 이용한 파일 복구가 가능하다는 사실을 입증하였다.

가설 설정

이는 고정된 크기를 갖는 block_list header의 특징을 활용한 것이다. 이동된 위치를 old_block_list의 시작 위치로 가정하고 두 가지 검증작업을 수행한다.
이러한 이유에 의해 검증 과정은 반드시 거쳐야 하며, 두 단계의 검증 과정이 필요하다. 첫째로 가정된 old_block_list offset이 0보다 같거나 커야 한다. 만약 offset이 0보다 작다면, 가정된 old_block_list는 손상된 block_list로 판단할 수 있다.

제안 방법

HFS+ 저널부터 추출한 Extent Overflow File의 노드(leaf node)와 Catalog File의 노드(leaf node)를 이용하여 삭제된 파일의 복구를 수행한다. 먼저 각 노드로부터 파일 레코드를 추출하여 파일의 삭제 여부를 판단한다.
논문이 발표된 후 Kzamiya가 2013년 7월 해당 논문을 바탕으로 HFS+ 기반 파일 복구 스크립트인 EnPack을 개발하여 공개했다[6]. 공개된 EnPack은 기존 논문에서 제시한 기법과 마찬가지로 저널로부터 Catalog File 레코드만을 추출하여 파일을 복구하였다. 또한 Kzamiya는 자신이 개발한 EnPack이 저널에 저장된 가장 최근 트랜잭션 정보만을 추출할 수 있다고 명시하였다.
검증 방식은 Equation (1)과 같다. 먼저 journal header의 blhdr_size 값과 block_list에 저장된 모든 data 크기(block_ info의 Bsize 속성)를 합하여 block_list의 크기를 계산한다. 이후 block_list의 byte_used 속성과 앞서 계산한 값을 비교 하여 두 값이 동일하다면 가정된 old_block_list를 실제 old_block_list로 판단한다.
7과 같이 header 영역에 기록된 0x5A 패딩 값을 시그니처(16Byte 크기의 0x5A 이하 시그니처)로 활용한다. 먼저 선형 저널 버퍼(Fig. 6)의 시작으로부터 16 Bytes씩 추출하여 시그니처와 비교한다. 시그니처와 동일한 값이 추출됐을 때 block_list header의 패딩 영역이라 판단하고, 이후 더 이상 시그니처가 나오지 않을 때까지 검색을 진행한다.
메타데이터만을 이용해선 저널에 저장된 모든 block_list 들을 추출할 수 없으며, 결과적으로 추출된 block_list들의 수가 적을수록 삭제된 파일의 복구율은 낮아지기 때문에 모든 block_list들을 추출할 수 있는 알고리즘이 요구된다. 본 논문에서 제안하는 알고리즘은 저널의 메타데이터와 운영상의 특징을 이용하며, 해당 알고리즘을 통해 저널에 저장된 모든 block_list들을 추출할 수 있다.
본 논문에서 제안하는 알고리즘의 핵심은 저널 상에 저장된 block_list들 중 가장 오래된 block_list(이하 old_block _list)를 찾는 것이다. old_block_list를 저널로부터 추출하기 위해 고안한 알고리즘은 Fig.
Feldman이 아이폰에 적용되는 Data Protection을 분석하여 기기 내에 암호화된 파일들을 복호화하는 오픈소스를 공개하였다[9]. 이 오픈소스는 저널로부터 삭제된 파일의 레코드를 추출하여 파일을 복구하는 기능도 제공하였지만 해당 기능은 저널을 카빙하여 Catalog File 레코드만을 추출하는 방식을 사용하였으며, 기존 연구와 동일하게 Extent Overflow File 레코드는 배제되어 결과적으로 삭제된 Overflow 파일을 복구할 수 없었다.
이후 삭제 파일의 레코드가 가리키는 extent 영역의 할당/미 할당 여부를 확인하여 복구 가능성을 확인한다. 만약 레코드가 가리키는 영역이 현재 사용 중이라면 삭제된 파일의 데이터 일부가 덮어써졌기 때문에 파일의 완전한 복구는 불가능하며, 모든 extent 영역이 미사용 중이라면 삭제된 파일의 복구는 가능 하다.
본 논문은 HFS+ 파일시스템으로부터 HFS+가 정의하는 두유형의 파일을 모두 복구할 수 있는 기법으로써 HFS+ 저널 파일을 상세히 파싱할 수 있는 알고리즘을 제시하였다. 해당 알고리즘은 HFS+ 저널을 상세히 분석하여 저널의 저장된 데이터를 스페셜 파일별로 분류시킨다. 이를 통해 Catalog File 레코드 및 Extent Overflow File 레코드를 각각 수집하고, 해당 레코드들을 이용하여 Non-Overflow 파일과 Overflow 파일 모두 복구할 수 있다.

데이터처리

단계에서 Table 7에 명시한 4개의 파일을 순차적으로 삭제하였다. 이후 아래 단계를 거쳐 추출한 이미지 파일을 대상으로 기존 연구의 결과물들과 본 논문에서 제시한 알고리즘을 적용하여 삭제된 Overflow 파일의 복구결과를 비교분석하였다.

이론/모형

두 번째 복구실험으로 동일한 이미지에 대해서 Kzamiya 가 개발한 Enpack인 HFS+ Journal Parser(Enpack ver. 1.0, Encase v7.11.01 사용)[6]를 적용하였으며, 복구 결과는 Table 9와 같다. 삭제된 4개의 Overflow 파일 중 2개 파일에 대한 레코드만 추출하였으며, 이때 Extent Overflow File 레코드를 제외한 Catalog File 레코드만을 복구하여 삭제된 파일의 완전한 복구가 불가능하였다.
마지막으로 동일한 이미지에 대해 Data Protection에 포함된 Journal Carving[9] 도구를 적용하였으며 실행 결과는 Table 10과 같다. 해당 도구는 3개 파일에 대한 레코드를 복구하였지만, 이 또한 Catalog File 레코드만을 추출하여 Enpack과 동일한 결과를 보였다.

성능/효과

Table 5에 명시한 MAC 시스템의 Extent 분할 비율을 확인하였으며, 실험 결과는 Table 6과 같다. 4KB 이상 파일중 단일 블록 파일(하나의 Extent 영역에 File Content 저장)은 전체 341,507개의 파일 중 337,169개로 가장 큰 비율을 차지하였으며, 두 개 블록으로 분할된 파일은 2,221개가 존재하였다. 또한 Overflow 파일은 663개로 앞서 언급한 두개 파일 다음으로 높은 비율을 차지하였다.
Overflow 파일의 경우 Catalog File 레코드에 할당받은 영역에 대한 정보를 모두 포함시킬 수 없기 때문에 8개 영역에 대한 정보는 Catalog File 레코드에 저장하고, 나머지 영역의 정보는 Extent Overflow File 레코드에 저장한다. 결과적으로 NonOverflow 파일이 생성되면 Catalog File 레코드만 생성되지만, Overflow 파일이 생성되면 Catalog File 레코드 1개와 1개 이상의 Extent Overflow File 레코드가 생성된다. 또한 Extent Overflow File 또한 B+Tree를 이용하여 데이터를 관리한다.
결과적으로 본 논문은 HFS+ 저널을 이용한 복구 기법의 새로운 기준을 제시하며, 이는 기존 기법에서 배제하던 파일까지 모두 포함시킨다. 현재까지 HFS+의 삭제 파일을 복구 하는 도구 중 Overflow 파일을 포함하여 복구시키는 도구는 없다.
해당 논문은 HFS+ 저널 내에서 Catalog File 레코드를 추출할 수 있는 절차와 스코어링 리스트(복구 가능성을 수치화할 수 있는 체크리스트)를 제시하였다. 또한 절차 및 리스트를 바탕으로 수행한 실험 결과를 제시하여 저널을 이용한 파일 복구가 가능하다는 사실을 입증하였다. 하지만 해당 논문은 Catalog File 레코드를 이용한 복구에 집중하였고, 결과적으로 Overflow 파일의 복구는 배제되었다.
실험을 통해 각 카테고리의 평균 크기를 확인한 결과 Overflow 파일이 가장 큰 크기 값을 가지고 있었다. 또한각 Overflow 파일을 확인해봤을 때 비교적 크기가 큰 압축 파일, 문서 파일, 동영상 파일 등에서 Extent Overflow가 발생했음을 확인할 수 있었다. 반면에 시스템 상에 가장 많이 존재하는 단일 블록 파일의 경우 대부분 시스템 파일이 포함되었음을 확인할 수 있었다.
01 사용)[6]를 적용하였으며, 복구 결과는 Table 9와 같다. 삭제된 4개의 Overflow 파일 중 2개 파일에 대한 레코드만 추출하였으며, 이때 Extent Overflow File 레코드를 제외한 Catalog File 레코드만을 복구하여 삭제된 파일의 완전한 복구가 불가능하였다. 특히 PDF 파일의 경우 파일의 끝에 내부 메타데이터의 위치를 저장하는 XRef 구조체가 존재[11]하기 때문에 Enpack을 통해 복구된 파일의 경우 파일의 열람조차 불가능하였다.
본 논문에서 제안한 알고리즘을 적용한 결과는 Table 8과 같다. 삭제된 4개의 Overflow 파일 중 3개의 파일을 복구하였으며, 이때 Overflow 파일의 Catalog File 레코드뿐만 아니라 Extent Overflow File의 레코드 또한 저널로부터 추출하여 파일의 완전한 복구가 가능하였다. 추출된 레코드를 이용해 파일을 재조합하는 과정은 단순히 Catalog File 레코드가 가리키는 영역 뒤에 Extent Overflow 레코드가 가리키는 영역들을 순서에 맞춰 병합하면 되며, 이때 Extent Overflow 레코드들 간의 순서는 Start Block 속성에 의해 결정된다.
실험을 통해 각 카테고리의 평균 크기를 확인한 결과 Overflow 파일이 가장 큰 크기 값을 가지고 있었다. 또한각 Overflow 파일을 확인해봤을 때 비교적 크기가 큰 압축 파일, 문서 파일, 동영상 파일 등에서 Extent Overflow가 발생했음을 확인할 수 있었다.
이러한 관점에서봤을 때 Overflow 파일의 비율보다 해당 파일의 레코드 또한 저널에 저장될 수 있다는 점에 주목해야 한다. 즉, 본 논문에서 제안한 알고리즘을 이용하여 Overflow 파일 또한 복구될 수 있는 가능성이 존재한다. 다음 항목에서 실제 시스템 상에서 저널을 통해 Overflow 파일을 복구한 실험 결과에 대해 설명한다.
특정 OS의 점유율 증가는 이후 해당 OS 기반 시스템이 디지털 포렌식 분석 대상으로 수집되는 상황 또한 증가될 수 있음을 의미한다. 현재 OS 시장 점유율 1위인 Windows는 최근까지도 해당 OS 기반 디지털 포렌식 기술이 연구되고 있으며, Windows 기반 파일시스템인 NTFS에 대한 삭제된 파일의 복구 기술 또한 활발히 연구되어 왔다[1, 2].
기존에 연구된 기법의 경우 HFS+ 저널을 카빙하여 Catalog File 레코드만을 추출하거나 추출과정에서 Extent Overflow File 레코드 자체를 배제시키기 때문에 삭제된 Overflow 파일의 완전한 복구는 불가능하였다. 하지만 본 논문에서 제안한 알고리즘의 경우 카빙 방식이 아닌 저널의 상세한 파싱을 통해 데이터를 분류하기 때문에 Catalog File 레코드뿐만 아니라 Extent Overflow File 레코드 또한 모두 추출하였으며, 이를 통해 Non-Overflow 파일에 더불어 Overflow 파일 또한 저널로부터 복구될 수 있음을 실험을 통해 입증하였다.
또한 절차 및 리스트를 바탕으로 수행한 실험 결과를 제시하여 저널을 이용한 파일 복구가 가능하다는 사실을 입증하였다. 하지만 해당 논문은 Catalog File 레코드를 이용한 복구에 집중하였고, 결과적으로 Overflow 파일의 복구는 배제되었다.

후속연구

현재까지 HFS+의 삭제 파일을 복구 하는 도구 중 Overflow 파일을 포함하여 복구시키는 도구는 없다. 본 논문에서 제시한 알고리즘 및 복구 기법을 이용한복구 도구를 개발하였으며, 이는 포렌식 분석 과정에서 삭제된 파일을 복구하는데 도움이 될 것으로 예상된다.

질의응답

핵심어	질문	논문에서 추출한 답변
	MAC OS X는 어떤 파일시스템을 사용하는가?	MAC OS X는 HFS+ 파일시스템을 사용한다. 해당 파일 시스템은 계층형 구조로 데이터를 관리하며, 1998년에 도입 되어 현재까지 Apple의 Macbook, iPhone, iMac 등에 사용 되고 있다.
	HFS+가 파일의 복구를 위해 시그니처 기반 카빙 기법을 사용하는 이유는 무엇인가?	해당 파일 시스템은 계층형 구조로 데이터를 관리하며, 1998년에 도입 되어 현재까지 Apple의 Macbook, iPhone, iMac 등에 사용 되고 있다. HFS+는 파일이 삭제되면 파일의 메타데이터가 파일시스템 상에서 삭제(다른 파일 및 폴더의 메타데이터로 덮어써짐)되기 때문에 삭제된 파일의 복구를 위해 시그니처 기반 카빙 기법이 사용되어왔다. 하지만 파일이 단편화되어 저장된 경우엔 카빙 기법을 이용하더라도 완전한 복구가 불 가능하며, 만약 파일이 압축되거나 암호화된 경우엔 파일 전체를 복구할 수 없다.
	HFS+의 파일시스템 전체 영역은 어떻게 구성되는가?	1과 같다. 파일시스템 전체 영역은 Reserved, Volume Header 및 5개 Special File (Allocation, Extents Overflow, Catalog, Attribute, Startup) 들로 구성되며, 각 구성요소를 제외한 나머지 영역에 파일 데이터들이 저장된다. 각 구성요소들은 운영체제 및 파일시스템을 운영하기 위해 필요한 정보들을 저장한다.

참고문헌 (11)

Z. Kai, C. En, and G. Qinquan, "Analysis and implementation of NTFS file system based on computer forensics," Education Technology and Computer Science (ETCS), Vol.1, pp.325-328, 2010.
Byeongyeong Yoo, et al, "A Study on a Carving Method for Deleted NTFS Compressed Files," Human-Centric Computing (HumanCom), 2010 3rd International Conference on. IEEE, pp.1-6, 2010.
R. A. Joyce, J. Powers, and F. Adelstein, "MEGA: A tool for Mac OS X operating system and application forensics," Digital Investigation, Vol.5, pp.S83-S90, 2008.

상세보기
A. Case and G. G. Richard, "Advancing Mac OS X rootkit detection," Digital Investigation, Vol.14, pp.S25-S33, 2015.

상세보기
A. Burghardt and A. J. Feldman, "Using the HFS+ journal for deleted file recovery," Digital Investigation, Vol.5, pp.S76-S82, 2008.

상세보기
HFS+ Deleted File Recovery EnScript [Internet], https://www.kazamiya.net/en/HFSJournalParser.
Apple [Internet], https://developer.apple.com/legacy/library/technotes/tn/tn1150.html.
Apple [Internet], hfs_format.h, http://opensource.apple.com//source/xnu/xnu-1456.1.26/bsd/hfs/hfs_format.h.
iOS forensic tools [Internet], https://code.google.com/p/iphone-dataprotection/wiki/HFSJournalCarving.
D. Comer, "Ubiquitous B-tree," ACM Computing Surveys (CSUR), Vol.11, No.2, pp.121-137, 1979.

상세보기
Adobe Systems Incorporated, Document management - Portable document format - Part 1: PDF 1.7, Adobe Systems Incorporated, 2008.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증