[ping!]디지털포렌식-디지털 증거

About this offer

안녕하세요 Goldy입니다:) 이번 주차에는 디지털 증거의 수집 방식과 파일 시스템 구조를 학습했습니다. 1. 디스크 이미징 디스크 이미징은 저장매체 전체를 바이트 단위로 복제해 하나의 파일로 저장 하는 작업이다. 관련 용어를 정리하면 다음과 같다. 용어 의미 디스크 이미지 저장매체의 데이터를 바이트 단위로 복제한 파일 디스크 이미징 원본에서 디스크 이미지를 생성하는 과정 디스크 복제 원본과 동일한 데이터를 가진 복사본 매체를 만드는 것 복사 파일·폴더 단위로 데이터를 옮기는 것 핵심은 '복사'와 '이미징'의 차이다. 복사는 눈에 보이는 파일만 가져오지만, 이미징은 삭제된 흔적과 빈 공간까지 통째로 떠온다. 포렌식에서 원본을 직접 분석하지 않고 이미지 사본으로 분석하는 이유는 원본의 무결성을 지키기 위해서 다. 2. 메모리(RAM)와 메모리 덤프 메모리(RAM)는 CPU가 빠르게 연산하도록 데이터를 임시로 올려두는 공간 이다. 강의에서는 요리에 비유했는데, CPU는 재료를 써는 칼, 메모리는 재료를 올려두는 도마, 프로그램·데이터는 요리 재료에 해당한다. 도마 크기가 정해져 있어 모든 재료를 한 번에 못 올리듯, 메모리도 큰 프로그램을 한꺼번에 담을 수 없다. 여기서 프로그램과 프로세스를 구분해야 한다. 프로그램 : 하드디스크에 저장된 실행 코드 프로세스 : 실행 중인 프로그램 (실행 상태, 할당받은 자원 포함) 메모리에는 실행 중 열어본 파일이나 입력한 비밀번호가 남기도 해서 포렌식에서 가치가 높다. 이 메모리 데이터를 파일로 저장하는 것이 메모리 덤프 다. 단, 메모리는 실시간으로 변하므로 덤프를 수행한 시점의 데이터 만 결과로 남는다는 점이 중요하다. 이 덤프 파일을 분석하는 것이 메모리 포렌식이다. 3. 해시 함수 해시 함수는 임의 길이의 데이터를 고정된 길이의 값 으로 변환하는 함수이고, 그 결과가 해시값이다. 강의에서는 HashCalc라는 프로그램으로 직접 실습했다. 실습에서 확인한 핵심은, 같은 데이터는 입력 형태가 달라도 같은 해시값 이 나온다는 점이었다. HashCalc에서 Data Format을 File로 두고 파일을 넣었을 때와, Text로 두고 같은 내용의 텍스트를 넣었을 때 해시값이 동일하게 나오는 걸 확인했다. 반대로 데이터가 조금만 바뀌면 해시값이 완전히 달라지는데, 이를 눈사태 효과(Avalanche Effect) 라고 한다. 해시 함수의 종류 알고리즘 특징 MD5 출력 128비트(16바이트). 길이가 짧아 충돌 저항성이 낮음 SHA-1 MD5 이후 쓰였으나 취약점 발견으로 현재는 잘 안 씀 SHA-2 (224/256/384/512) 현재 가장 널리 사용. 숫자는 출력 길이를 의미 SHA는 1993년 미국 국가안보국(NSA)이 설계해 NIST 표준으로 지정됐다. 해시값 길이가 짧을수록 안전성(충돌 저항성)이 낮다는 점이 포인트다. 4. 데이터 표현 - 엔디언과 인코딩 리틀 엔디언 데이터를 메모리에 저장할 때 작은 바이트부터 저장 하는 방식이다. 헥스 에디터(HxD)로 값을 읽을 때 바이트 순서를 알아야 데이터를 제대로 해석할 수 있어서, 포렌식에서 기본적으로 알아야 하는 개념이다. 인코딩 데이터를 정해진 규칙에 따라 특정 형식으로 변환하는 것이다. (암호화와 달리 비밀 유지가 목적이 아니라 형식 변환이 목적이다.) ASCII 인코딩 : ASCII 테이블에 따라 값을 문자로 변환 Base64 인코딩 : 바이너리 데이터를 64개 문자로 표현 UTF-8 인코딩 : 가변 길이 방식. 현재 웹에서 가장 많이 사용 5. 파일 시그니처 파일 시그니처는 파일의 형식을 식별하는 데이터 다. 프로그램은 파일만 봐서는 형식을 알 수 없는데, 시그니처(Magic Bytes)를 확인하면 실제 형식을 구별할 수 있다. 파일 확장자는 이름에 붙는 표시일 뿐이라 쉽게 바꿀 수 있지만, 시그니처는 파일 내부에 있어 더 신뢰할 수 있다. 6. 저장장치와 인터페이스 디지털 포렌식에서는 대상 기기를 분해해 저장장치를 식별하고 데이터를 꺼내야 하므로, 각 장치의 특성을 알아야 한다. 저장장치 특징 HDD 플래터가 회전하고 헤드가 데이터를 읽는 방식 SSD 반도체로 데이터를 저장, HDD보다 빠름 USB 플래시 드라이브 USB 규격으로 데이터 저장 SD카드 USB보다 작고 가벼운 저장장치 저장장치를 분석 장비에 연결하는 방식이 인터페이스 다. 과거 HDD용 IDE에서 시작해, 더 빠르고 안정적인 SATA, 주변장치 연결용 PCI/PCIe, 범용 USB 등으로 발전했다. 디지털 포렌식 도구 증거 수집에는 전용 장비가 쓰인다. 디스크 이미지 장비, 쓰기 방지 장치 (원본 변조 방지), 패러데이 백 (외부 네트워크 신호 차단으로 원격 삭제 방지) 등이 대표적이다. 이번 주차의 핵심은 디지털 증거의 수집과 무결성 보존 이었습니다. 감사합니다!

Offer details

Provider

velog

Source

velog-rss

Score

54.38

Confidence

49%