0Pricing
Cyber Security Academy · 강의

디스크 이미징과 파일 시스템 분석

저장 장치에서 아티팩트를 복구합니다.

디스크 이미징과 파일 시스템 분석은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 2번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

비트 단위 이미징

포렌식 이미지는 저장 장치의 비트 단위 복사본으로, 슬랙 공간, 할당되지 않은 영역, 삭제된 파일의 잔여 데이터까지 포함합니다. 단순히 파일을 복사하면 이 모든 정보가 누락됩니다.

일반적인 형식은 두 가지입니다.

  • Raw (dd / .img): 동일한 바이트를 저장하며 메타데이터가 없고 크기가 큼
  • 전문가 증언 형식(E01): 압축되어 있으며 해시와 사건 메타데이터가 포함됨

dd 및 dcfldd를 사용한 증거 수집

고전적인 원시 데이터 수집에는 dd를 사용하지만, dcfldd나 dc3dd 같은 포렌식용 변형 도구는 인라인 해시 계산과 진행률 표시 기능을 추가합니다.

항상 쓰기 차단 장치를 거쳐 이미지를 생성하고, 생성 전후에 해시를 계산하십시오.

# Forensic raw image with inline hashing and verification
dcfldd if=/dev/sdb of=evidence.dd \
  hash=sha256 hashlog=evidence.hashlog \
  bs=4M conv=sync,noerror

# Verify the image matches the source
sha256sum /dev/sdb evidence.dd

E01 형식

EnCase E01 이미지는 자체 설명 정보를 포함합니다. ewfacquire 같은 도구는 사건 데이터를 삽입하고 기본 무결성 검증 기능을 포함한 이미지를 생성합니다.

E01은 자체 해시를 저장하므로 ewfverify를 사용하면 외부 기록 없이도 이미지가 손상되지 않았는지 확인할 수 있습니다.

# Acquire to E01 with libewf
ewfacquire /dev/sdb \
  -t /cases/0042/evidence \
  -d sha256 -c best

# Verify integrity later
ewfverify /cases/0042/evidence.E01

파일 시스템 구조

아티팩트를 찾으려면 파일 시스템을 이해해야 합니다. 각 파일 시스템은 파일을 서로 다르게 추적합니다.

  • NTFS: 마스터 파일 테이블(MFT), $LogFile, 대체 데이터 스트림
  • ext4: 아이노드, 저널, 슈퍼블록
  • APFS: 스냅샷, 기록 중 복사
  • FAT/exFAT: 디렉터리 항목, FAT 연결

메타데이터 구조에는 삭제된 지 한참 후에도 삭제된 파일에 대한 참조가 남아 있는 경우가 많습니다.

슬랙 공간과 할당되지 않은 공간

아티팩트가 풍부한 두 가지 원천은 다음과 같습니다.

  • 슬랙 공간: 파일의 끝과 할당된 클러스터의 끝 사이에 있는 간격으로, 이전 데이터의 조각이 남아 있을 수 있음
  • 할당되지 않은 공간: 사용 가능한 것으로 표시되었지만 아직 덮어쓰이지 않은 클러스터로, 삭제된 파일의 내용이 남아 있음

파일을 삭제하면 대개 디렉터리 포인터만 제거됩니다. 데이터는 덮어써질 때까지 남아 있으므로 복구가 가능합니다.

Sleuth Kit

Sleuth Kit(TSK)는 이미지에서 파일 시스템을 구문 분석하는 명령줄 포렌식 도구 모음입니다.

  • mmls: 파티션 구조
  • fls: 삭제된 파일을 포함한 파일 목록
  • icat: 아이노드로 파일 추출
  • istat: 아이노드 메타데이터
# Show partition table
mmls evidence.dd

# List files (deleted entries marked with *) in a partition at offset 2048
fls -r -o 2048 evidence.dd

# Recover a deleted file by inode number
icat -o 2048 evidence.dd 14593 > recovered.docx

파일 카빙

파일 시스템 메타데이터가 사라지면 카빙은 원시 바이트에서 헤더와 푸터(매직 바이트)를 직접 인식하여 파일을 복구합니다.

예를 들어 JPEG는 FF D8 FF로 시작하고 FF D9로 끝납니다. scalpel, foremost, photorec 같은 도구는 할당되지 않은 공간에서 이러한 시그니처를 검색합니다.

# Carve files from unallocated space by signature
foremost -t jpg,pdf,doc -i evidence.dd -o carved/

# photorec for broad recovery
photorec evidence.dd

타임스탬프: MACB

파일 타임스탬프는 핵심 아티팩트입니다. NTFS와 많은 시스템은 MACB를 추적합니다.

  • Modified: 내용이 마지막으로 변경된 시각
  • Accessed: 마지막으로 읽은 시각
  • Changed: MFT 또는 메타데이터가 변경된 시각
  • Born: 생성 시각

예를 들어 파일이 수정된 후 생성된 것으로 나타나는 불일치는 안티 포렌식 기법인 타임스탬프 조작을 드러낼 수 있습니다.

레지스트리 및 시스템 아티팩트

Windows에서 레지스트리는 포렌식 정보의 보고입니다. 이미지에서 추출한 오프라인 하이브를 분석하면 사용자 활동을 확인할 수 있습니다.

  • SYSTEM: 서비스, USB 장치, 시간대
  • NTUSER.DAT: 최근 파일, 실행한 명령, 입력한 경로
  • SAM: 로컬 계정 데이터
  • Shimcache / Amcache: 프로그램 실행 증거
# Parse an offline registry hive with RegRipper
rip.pl -r SYSTEM -f system > system_report.txt

# Pull USB device history
rip.pl -r SYSTEM -p usbstor

분류를 위한 Autopsy

Autopsy는 TSK의 GUI 프런트 엔드로, 키워드 검색, 해시 집합 대조, 웹 기록, 삭제된 파일 복구, 전체 이미지에 대한 타임라인 생성을 비롯한 작업 흐름의 많은 부분을 자동화합니다.

분류 작업과 감사 가능하고 반복 가능한 사건 구조가 필요한 분석가에게 적합하며, 원시 TSK는 특수한 경우에 더 세밀한 제어를 제공합니다.

해시 집합과 알려진 파일

수백만 개의 파일을 효율적으로 살펴보기 위해 조사관은 해시 집합을 사용합니다. NIST NSRL에는 정상으로 알려진 소프트웨어의 해시가 정리되어 있으므로 이를 제외하고 알려지지 않았거나 의심스러운 파일에 집중할 수 있습니다.

반대로 위협 인텔리전스 해시 집합은 악성으로 알려진 파일을 즉시 표시합니다. 카빙으로 복구한 바이너리를 악성 코드 해시 집합과 대조하면 침해 사실을 즉시 확인할 수 있습니다.

# Build a hash list of all files and compare against a known-bad set
md5deep -r /mnt/evidence > all_hashes.txt
grep -F -f known_bad_md5.txt all_hashes.txt

빠른 확인

복구 기법을 얼마나 이해했는지 확인해 보십시오.

복습

저장 장치를 이미징하고 분석하는 방법을 배웠습니다.

  • 비트 단위 이미지(raw / E01)는 슬랙 공간과 할당되지 않은 공간을 포함한 모든 내용을 담습니다
  • Sleuth Kit는 파일 시스템을 구문 분석하고 아이노드로 삭제된 파일을 복구합니다
  • 카빙은 메타데이터가 파괴된 경우에도 데이터를 복구합니다
  • MACB 타임스탬프와 레지스트리 하이브는 사용자 활동을 재구성합니다
  • Autopsy는 분류 작업을 자동화합니다

다음 단계에서는 네트워크 트래픽에서 공격을 재구성합니다.

자주 묻는 질문

“디스크 이미징과 파일 시스템 분석” 강의는 무료인가요?

네 — “디스크 이미징과 파일 시스템 분석” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“디스크 이미징과 파일 시스템 분석”에서 뭘 배우나요?

저장 장치에서 아티팩트를 복구합니다. 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 2번째 강의입니다.

“디스크 이미징과 파일 시스템 분석” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

  1. 포렌식 기초와 증거 보관 연속성
  2. 디스크 이미징과 파일 시스템 분석
  3. PCAP을 활용한 네트워크 포렌식
  4. 타임라인 분석 및 보고
← Cyber Security Academy(으)로 돌아가기