2학기 4주차 과제-파일 시스템

Об этом предложении

파일시스템 컴퓨터에서 파일을 쉽게 발견하고 접근할 수 있게 보관/조직하는 체제 파티션, 볼륨 파티션 저장장치 내의 공간을 분리해 독립적인 공간을 만든 것 볼륨 하나의 저장공간을 의미 파일시스템을 갖춘 저장 공간 일반적으로 하나의 볼륨은 파티션 내에 생성됨 볼륨은 드라이브라고 부름 . C, D드라이브가 볼륨을 지칭하는 것 파일시스템 디지털 데이터를 효과적으로 관리하기 위해 파일을 체계적으로 기록하는 방식 파일시스템 주요 기능 저장장치 내 빈 공간 파악, 적절한 공간에 파일 저장 사용자가 파일 생성/수정/삭제하게 함 파일 생성 시각, 수정 시각, 변경 시각 등 관리 파일 생성/수정/삭제에 대한 로그 기록. 백업, 복구 지원 사용자에 따라 접근 권한 부여 파일시스템 종류 Windows NTFS : Windows NT 3.1 이후부터 현재까지 사용하고 있는 파일시스템.(파일 및 폴더 암호화, 저널링, 손상된 파일 복구 기능 등 지원) ReFS : NTFS를 대체하기 위한 파일시스템(파일 무결성 검사, 데이터 복구 기능 제공. NTFS보다 높은 성능) Linux* EXT4 : Linux에서 2006년부터 사용하는 파일시스템 Unix* UFS : Unix 계열 OS에서 사용하는 파일시스템 macOS* HFS+ : Apple구형 파일시스템 APFS : Apple신형 파일시스템(HFS+의 데이터 체크섬, 나노초 타임스탬프, 스냅샷 등 한계 극복, 암호화/데이터 무결성 등 제공) 공통* FAT/FAT32 : 초기 Windows에 사용됐으나 현재는 USB에 주로 사용 exFAT : FAT32의 크기 단점을 개선 : 파일시스템을 알아야 디스크 이미지 분석 가능 → 파일시스템 정보 없아는 데이터 저장 위치 알아내기 어려움(파일 카빙 기법을 통해 일부 데이터 위치 알아낼 수 있지만 정확도 떨어짐) → 메타데이터를 알아내기 위해서 파일시스템 이해 필요 → 파일시스템을 이해하면 파일 변경 이력 가져오거나 삭제된 파일 복구 가능 MBR, VBR 부팅 과정에서 사용되는 데이터 컴퓨터 메인보드의 BIOS가 POST과정과 기본적인 하드웨어 점검을 마치고 나면, MBR 내에 있는 부트 코드를 호출 MBR 디스크의 가장 첫 섹터에 저장되는 데이터 디스크 가장 처음 512바이트 영역에 저장되는 데이터 저장장치의 파티션 정보, 각 파티션에 설치된 볼륨의 정보를 가지고 있음. 이 정보를 바탕으로 볼륨 식별 후 해당 볼륨으로 부트코드 실행 흐름 넘기는 역할 VBR 볼륨의 가장 첫 섹터에 저장되는 데이터 하나 이상의 섹터로 구성됨. 그 크기는 파일시스템과 클러스터 크기에 따라 달라질 수 있음 VBR 부트코드는 MBR에서 실행 흐름을 이어받아 해당 볼륨에서 컴퓨터가 부팅할 수 있도록 하는 역할을 함 MBR슬랙 MBR 이후 다음 자료구조가 오기 전까지의 빈 공간 FAT32 FAT은 파일이 저장되는 위치를 기록한 테이블(파일이 어느 오프셋에 저장됐는지 기록) FAT32 구조 Reserved Area : VBR을 포함, 볼륨 전체의 설정 값들을 저장 FAT Area : 2개의 FAT 테이블이 저장되는 영역 Data Area : 실제 파일이나 폴더가 위치하는 영역 Reserved Area 총 32개의 섹터 구성 Boot Sector, FSINFO, Boot Strap 구성 요소 가짐 Boot Sector: 0번 섹터(원본), 6번 섹터(백업) FSINFO: 1번 섹터(원본), 7번 섹터(백업) Boot Strap: 2번 섹터(원본), 8번 섹터(백업) Reserved Sector: 나머지 섹터들에 해당하며 일반적으로 비어있음 → 포렌식에서 주요한 데이터들은 Boot Strap에 위치 FAT Area FAT Table 2개가 연속으로 존재(2개인 이유는 1개는 손상 대비한 백업 역할) FAT 파일시스템에 존재하는 파일 및 폴더에 대한 메타데이터를 저장하는 공간 Reserved Sector 값을 해석하면 FAT Area의 시작 주소 찾을 수 있음 Data Area FAT Area 주소에서 FAT 크기 2개를 더한 값 NTFS NTFS 구조 MFT를 두어 MFT에 모든 파일의 메타데이터 저장 VBR은 볼륨 맨 끝에 Backup VBR 별도로 두어 복구 가능하게 함 MFT MFT영역은 0x200 크기의 MFT 엔트리가 계속해서 반복되는 구조 Data Area 파일 데이터가 700Byte보다 큰 경우는 MFT가 아닌 Data Area에 파일 데이터가 저장

Детали предложения

Провайдер

velog

Источник

velog-rss

Балл

54.38

Уверенность

49%