디지털포렌식자격증대비 운영체제의 내부 구조와 시스템 파일 메타데이터의 작동 원리 (FTK imager VS autopsy)

About this offer

기초강의가 끝나고 오늘부터 디스크포렌식2급실기공부를 하게되었다. 오늘 디지털 포렌식 강의에서 파티션이 정상적으로 열리지 않는 상황을 살펴봤다. 그 과정에서 FTK Imager에 [Recovered] Partition 이 표시되는 화면을 봤고, 강사님은 Autopsy나 EnCase로 확인해 보라는 취지로 설명하셨다. 그때 궁금해졌다. "같은 디스크 이미지인데, 다른 도구로 확인하면 무엇을 더 알 수 있을까?" 이 질문을 따라 AI와 대화하면서 MFT와 실제 파일 데이터, 그리고 파일 카빙이라는 개념을 공부했다. 처음에는 도구의 차이를 알고 싶었지만, 정작 가장 크게 배운 것은 파일을 관리하는 정보와 파일의 실제 내용은 서로 다르다는 사실이었다. Recovered Partition과 복구된 파일은 구분해야 한다 우선 강의 화면에 표시된 것은 개별 파일이 아니라 Recovered Partition이었다. 따라서 이 표시만 보고 "삭제된 파일을 복구했다"거나 "MFT가 덮어써져 카빙한 결과다"라고 판단해서는 안 된다. 이번에 공부한 MFT와 카빙의 원리도 해당 화면의 원인을 확정하는 설명이 아니라, 추가 분석이 왜 의미가 있는지 이해하는 배경 지식으로 정리했다. MFT는 파일의 주소록에 가깝다 NTFS의 $MFT는 파일과 폴더를 관리하는 핵심 구조다. MFT에는 파일 이름, 크기, 시간 정보, 속성, 데이터 위치를 찾는 데 필요한 정보 등이 기록된다. 이를 쉽게 비유하면 다음과 같다. MFT: 집의 이름과 위치가 적힌 주소록 실제 데이터 영역: 그 주소를 따라 찾아가는 집과 내부 내용물 예를 들어 용량이 큰 a.pptx 파일이라면, PPTX의 내용 전체가 MFT 레코드 하나에 들어가는 것은 아니다. 실제 내용은 별도의 클러스터에 저장되고, MFT에는 그 위치를 찾아갈 수 있는 정보가 들어간다. 정확히는 단순한 '섹터 번호 하나'보다는 파일 데이터가 저장된 클러스터 구간을 나타내는 정보로 이해하는 편이 좋다. 파일이 여러 곳에 나뉘어 저장될 수도 있기 때문이다. 다만 작은 파일은 내용 자체가 MFT 레코드 안에 저장되는 상주 데이터Resident Data 형태일 수 있다. 주소록과 내용물이 언제나 분리되어 있는 것은 아니다. MFT에 파일 내용 전체가 없어도 정상이다 처음에는 이런 의문이 들었다. "왜 MFT에는 디스크의 데이터가 전부 담겨 있지 않을까?" 하지만 이는 MFT의 역할을 잘못 이해한 질문이었다. MFT는 모든 파일 내용을 한곳에 모아 두는 보관함이 아니다. 파일을 관리하고, 필요한 데이터를 찾아갈 수 있게 해 주는 구조다. 일반적인 NTFS 구성에서 MFT 레코드 하나는 1KB지만, 실제 파일은 몇 MB 또는 몇 GB일 수 있다. 관리 기록의 크기와 파일 내용의 크기가 다른 것은 자연스러운 설계다. 비상주 데이터를 가진 파일에 접근할 때는 파일 시스템이 MFT의 위치 정보를 활용해 해당 데이터 클러스터를 찾는다. 다만 실제 읽기 과정에는 캐시 등도 관여하므로, 매번 반드시 디스크의 MFT부터 직접 읽는다고 이해할 필요는 없다. 주소록에서 사라졌다고 내용물까지 동시에 없어지는 것은 아니다 두 정보의 차이를 이해하는 데는 삭제된 파일의 예시가 도움이 됐다. 파일을 삭제하면 그 파일의 MFT 레코드와 사용하던 데이터 클러스터는 재사용 가능한 상태가 된다. 삭제 직후에도 기존 기록이나 내용이 남아 있을 수 있다. 이후 새 파일이 생성되면서 기존 MFT 레코드가 재사용되면, a.pptx를 찾아가던 정보가 사라질 수 있다. 그런데 실제 데이터가 있던 클러스터는 아직 재사용되지 않았을 수도 있다. 그렇다면 다음과 같은 상태가 가능하다. 주소록에서 기존 파일의 정보를 찾기 어려워졌지만, 실제 내용의 일부 또는 전부는 남아 있는 상태. 이는 파일 시스템이 잘못된 주소록을 계속 유지한다는 의미보다는, 현재의 유효한 파일 목록에는 없는 과거 데이터의 흔적이 남는 상황에 가깝다. 주소록을 이용한 분석과 내용을 직접 찾는 분석 이제 분석 방식의 차이도 이해할 수 있었다. 파일 시스템 정보를 이용하는 분석 MFT 등 파일 시스템 구조를 해석해 파일과 폴더를 찾는 방식이다. 필요한 정보가 남아 있다면 파일 이름, 경로, 크기, 데이터 위치 등을 연결해서 볼 수 있다. 삭제된 파일도 메타데이터가 남아 있다면 확인하거나 복구할 가능성이 있다. 하지만 해당 기록이 재사용되거나 심하게 손상됐다면, 그 기록만으로 원래 파일을 찾아가는 것은 어려워질 수 있다. 파일 카빙 파일 카빙은 파일 시스템 기록 대신 데이터 자체의 특징을 단서로 파일을 찾는 방식이다. 분석 대상 영역에서 파일의 시그니처나 내부 구조를 살펴보고, 파일로 추정되는 데이터를 추출한다. 주소록을 읽어 집을 찾아가는 대신, 현장을 직접 살펴보며 남아 있는 내용물을 찾는 것에 비유할 수 있다. 따라서 MFT에서 원래 파일 정보를 찾지 못하더라도, 실제 데이터가 남아 있다면 카빙으로 발견할 가능성이 있다. FTK Imager와 Autopsy의 차이도 이렇게 이해했다 처음에는 다음과 같이 단순하게 정리했다. "FTK Imager는 주소록만 보고, Autopsy는 디스크를 직접 훑는다." 하지만 이 표현은 정확하지 않다. FTK Imager는 이미징과 증거 미리보기 등에 사용하는 도구이며, 파일 목록 외에 원시 데이터나 비할당 영역도 확인할 수 있다. MFT만 보고 나머지 데이터를 무시하는 도구는 아니다. Autopsy 역시 파일 시스템 정보를 분석한다. 여기에 설정과 모듈에 따라 카빙 같은 추가 분석을 수행할 수 있다. 모든 경우에 자동으로 전체 영역을 카빙한다고 생각해서는 안 된다. 따라서 차이는 다음처럼 이해하는 것이 더 적절하다. 파일 시스템 기반 목록에서 확인되지 않는 데이터도, 별도로 카빙을 수행하면 발견될 수 있다. 같은 이미지라도 어떤 범위를 대상으로 어떤 분석 기능을 실행했는지에 따라 결과가 달라질 수 있다. 강의에서 다른 분석 도구로 확인하라는 설명을 들은 뒤, 나는 그 중요성을 조금 더 이해하게 됐다. 6 마무리 오늘의 출발점은 FTK Imager에 표시된 Recovered Partition과 강사님의 설명이었다. 그 화면만으로 정확한 원인을 확정할 수는 없지만, 궁금증을 따라가면서 중요한 구분을 배웠다. 1.파티션을 찾는 정보, 파일을 관리하는 정보, 실제 파일 내용은 같은 것이 아니다. 2.파일이 목록에 보이지 않는다고 해서 내용까지 반드시 사라진 것은 아니다. 3. 반대로 흔적을 발견했다고 해서 원본이 온전히 복구된 것도 아니다.