2학기 4주차 과제-디지털 증거

Об этом предложении

디스크 이미징 디지털 저장매체(Hard Disk, HDD, SSD 등)의 복제본, 디스크 이미지를 생성하는 과정 디지털 저장매체에 저장돼 있는 디지털 데이터를 바이트 단위로 복제해서 하나의 파일로 저장 하나의 파일의 형태로 존재(원본과 정확히 동일한 데이터를 하나의 컴퓨터 파일로 바뀐 것) FTK Imager 실습 Physical Drive : 물리적인 드라이브(=디스크)를 프로그램에 추가 Logical Drive : 논리적인 드라이브(=드라이브)를 프로그램에 추가 Image File : 디스크 이미지 파일을 프로그램에 추가 Contents of a Folder : 특정 폴더의 파일들을 프로그램에 추기 디스크와 드라이브 디스크는 물리적인 형태를 지님. SSD, 하드디스크. 드라이브는 논리적으로 구분되는 저장공간. C드라이브, D드라이브. 하나의 디스크가 여러개의 드라이브를 가지기도 함 디스크 이미지 파일 확장자 Raw(dd) : 어떠한 압축도 없이 원본 그대로 저장하는 파일확장자 E01 : 많이 사용되는 디스크 이미지 파일 확장자. 원본 데이터를 압축하여 저장하기 때문에 파일 크기가 작아지고, CRC나 MD5 필드를 통해 파일 변조 검증할 수 있다는 장점 SMART, AFF : 잘 사용되지 않거나, 특수한 경우에만 이용 디스크 이미징과 디스크 복제, 복사의 차이 디스크 복제는 원본 저장매체에 동일한 디지털 데이터를 가지는 복사본 저장매체를 만듦 원본 저장매체에서 디지털 데이터를 읽어와 별개의 저장매체에 쓰기를 수행하는 것으로 이루어짐 디스크 이미징을 수행하면 디스크 이미지 파일이 생선되는 반면, 디스크 복제는 복사본 저장매체가 생성 복사는 파일이나 폴더 단위의 디지털 데이터를 별개의 저장매체에 복사 디스크 이미징과 디스크 복제가 저장매체 단위로 디지털 데이터를 옮기는 방법이라면, 복사는 저장매체 중에서 일부의 데이터만 옮김 선별압수 원칙을 엄격하게 적용하면서 압수수색 현장에선 복사를 통해 디지털 증거를 수집하는 경우 많음 디스크 이미지 마운트 디스크 이미지 파일을 컴퓨터가 인식하도록 등록하는 것 메모리(RAM) 메모리는 CPU가 빠르게 연산할 수 있도록 데이터를 전달하기 위해 데이터를 임시적으로 보관하는 장소 프로그램과 프로세스가 호출하거나 처리하는 데이터들이 저장 프로세스가 실행 중 열어본 파일이나 프로세스에 사용자가 입력한 비밀번호 등이 발견되기도 함 프로그램 : 하드디스크에 저장돼 있는 실행코드 프로세스 : 실행 중인 프로그램. 프로그램과 현재 실행 상태, 할당 받은 자원 등을 포함하는 개념 메모리 덤프 메모리에 저장된 휘발성 데이터를 비휘발성 데이터로 저장한 데이터 메모리 덤프를 수행한 시각에 저장돼 있는 데이터만 메모리 덤프의 결과가 됨 메모리 포렌식에 사용됨 해시함수 임의의 길이의 데이터를 고정된 길이의 데이터로 매핑하는 함수 아무리 크거나 작은 데이터를 입력해도 고정된 길이의 데이터로 값 나옴 해시함수 데이터 변조 실험 파일의 작은 데이터를 하나 추가했음에도, 해시값 전체가 바뀌는 걸 확인할 수 있음. 이를 눈사태 효과(Avalanche Effect) : 입력 값에 주어진 작은 변화가 출력 값에서는 큰 차이를 만들어냄 해시함수는 데이터가 조금이라도 변해도 해시값이 완전히 변함. 따라서 법정에서 증거 활용할 때 해시값 계산해서 그 값이 동일한지 확인하는 방식으로 무결성 확인 해시함수 종류 MD5 간단하고 많이 사용됨. 실제 해시값 계산해보면 타 해시함수에 비해 가장 짧은 값 나옴 즉, 해시함수에서 결과값의 길이가 짧다는 건 안전성이 떨어지고, 충돌저항성이 낮다고 표현 가능 출력값은 128비트(16바이트) 디지털 포렌식 보고서 작성할 때, 권장하지 않음. SHA 현재 가장 많이 사용되고 있는 해시함수(현재 가장 만힝 사용되는 건 SHA-2) 출력 길이에 따라 SHA-224, SHA-256, SHA-384, SHA-512 등으로 나뉨 SHA256 같은 경우는 출력값이 256비트(32바이트) SHA256, SHA512가 가장 많이 사용됨 디지털 데이터 리틀 엔디언 작은 바이트부터 메모리에 저장하는 방식 Windows 운영체제는 대부분 Intel 기반의 CPU아키텍쳐로 구성돼 있고, 대부분 리틀 엔디언 방식을 따름 파일 시스템이나 파일 구조를 분석할 때 리틀 엔디언 표현 방식으로 값을 읽는 경우가 많음 인코딩 데이터를 정해진 규칙에 따라 특정한 형식으로 변환 누구나 규칙에 따라 디코딩하여 해석할 수 있음(암호화는 다르다는 뜻) 데이터를 전달하는 것을 목적으로 함 ASCII인코딩, Base64인코딩, UTF-8인코딩의 종류가 있음 ASCII인코딩 아스키 테이블에 따라 값을 문자로 변환 줄바꿈 | 0xA, 0xD | Windows: 0xD 0xA, Linux/MacOS: 0xA 숫자* | 0x30~0x39 | 순서대로 0부터 9까지 영어 대문자* | 0x41~0x5A | 순서대로 A부터 Z까지 영어 소문자* | 0x61~0x7A | 대문자와 소문자는 각각 0x20 차이 Base64인코딩 바이너리 데이터를 미리 지정된 64개의 문자를 이용해 표현하는 인코딩 패딩으로 사용되는 = 문자를 제외하고 64개의 문자만 이용 적용된 데이터는 원본에 비해 길이가 약간 증가됨 UTF-8인코딩 가변길이 (입력값이 존재하는 범위에 따라 인코딩 결과를 표시하는 바이트 수가 달라지는 방식. 데이터를 몇 바이트 단위로 끊어 해석해야할지 알려주는 지시자를 데이터에 포함) 인코딩 방식 인터넷 사이트 및 프로그램에서 가장 많이 사용되는 방식 주로 유니코드에 사용 파일 시그니처 파일 콘텐츠를 식별하기 위해 사용되는 데이터 헤더 시그니처, 푸터 시그니처 파일의 형식 구별하는 데에 사용(파일 이름 뒤에 붙는 확장자는 얼마든지 변경 가능한 영역이라서 컴퓨터는 시그니처를 이용해 파일 해석) 파일 확장자 파일의 이름에서 파일의 종류와 역할 표시 디지털 장치 메모리(RAM) 휘발성 메모리 저장 CPU에서 접근 속도가 빠르기 때문에 주기억장치라고 부르기도 함 컴퓨터 인쇄회로기판(PCB) 중 RAM 슬롯에 장착됨 RAM에 저장되는 데이터는 컴퓨터가 켜져 있는 상태에서 획득하는 것이 일반적 하드디스크 비휘발성 데이터 저장 데이터가 기록되어 있는 플래터가 계속 회전하고, 바늘 모양의 헤드가 플래터로부터 데이터를 읽어오는 방식 SSD 반도체를 사용해 데이터를 저장하는 장치 하드디스크에 비해 높은 속도, 안정성 USB 플래시 드라이브 USB 표준 규격을 이용해 데이터를 저장하는 장치 휴대성 좋음. 컴퓨터 간 파일 이동/보관 용도로 자주 사용(이로 인한 유출 사고, 악성코드 감염 많음) SDCard 디지털 카메라, 내비게이션, 블랙박스 등에서 사용 SD, miniSD, microSD 저장장치 인터페이스 IDE/ATA 과거 하드디스크 연결을 위해 제작됨 SATA 직렬 전송 방식. 기존 IDE방식보다 더 빠른 속도, 높은 안정성 데스크톱에서 많이 이용 PCI/PCIe 컴퓨터 메인 보드에 주변 장치를 장착하기 위한 버스/인터페이스 주로 그래픽 카드나 SSD 연결에 이용 M.2 소형 커넥터 규격. SATA의 크기 때문에 SATA 대신 소형 디바이스에 적용 여러 형태가 있고, 형태에 따라 데이터 전송 방식이 달라짐