제안 방법

• 생성시간, 수정시간, 접근시간 등의 3가지 타임스탬프만 수정이 가능한 경우(타입 I), “년-월-일 시:분:초”까지 수정이 가능한 경우(타입 II), “년-월-일 시:분:초.0000000” 100나노초까지 수정가능한 경우(타입 III)로 분류하였다.
• 0000000” 100나노초까지 수정가능한 경우(타입 III)로 분류하였다. 안티포렌식 수행을 위하여 각 타입의 툴들이 사용되고 난 후에 나타나는 타임스탬프 변경의 특징들에 대하여 살펴보았다.
• 이 논문에서는 NTFS의 $SI속성과 $FN속성의 생성시간, 수정시간, MFT엔트리 수정시간, 접근시간 등의 전체 8개의 타임스탬프 중에서 변경가능한 타임스탬프의 종류와 정밀도를 기준으로 툴들을 분류하였다. 생성시간, 수정시간, 접근시간 등의 3가지 타임스탬프만 수정이 가능한 경우(타입 I), “년-월-일 시:분:초”까지 수정이 가능한 경우(타입 II), “년-월-일 시:분:초.
• 이 논문에서는 타임스탬프 변경툴들이 수행할 수 있는 기능을 중심으로 NTFS 파일시스템의 타임스탬프 정보인 $STANDARAD_INFORMATION($SI)속성과 $FILE_ NAME($FN)속성에 각각 4개씩 들어 있는 생성시간, 수정시간, MFT 엔트리 수정시간, 접근시간 등의 전체 8개의 타임스탬프 중에서 변경가능한 타임스탬프의 범위와 시간의 정밀도를 기준으로 분류하기로 한다. 타임스탬프 변경툴은 타임스탬프를 임의로 변경할 수 있지만 툴의 기능들이 제한적으로 제공되고 있기 때문에 그에 맞게 기능을 이용해야 한다.