파일시스템 분석

최근 삭제된 파일이나 사건이 일어난 시점에서 삭제된 파일은 우선 분석 대상이 된다.

파일 시스템에 파일 삭제 시 실제 데이터 삭제 없이 메타정보만이 수정 가능 하다.

즉, 삭제된 파일의 메타 정보 구조가 덮어써지지 않았다면 파일은 거의 완벽하게 복구된다는 말이다. 

디스크 포맷정보 

NTFS : 비연속적/연속적으로 할당된 파일 모두 완벽하게 복구가 가능하다.

FAT : 비연속적으로 할당된 파일은 부분적인 복구만 가능하다. (FAT Table의 초기화로 연결정보가 사라진다.)

삭제된 파일 탐색 

FAT12/16/32 : 루트 디렉터리로 부터 탐색하면서 디렉터리 엔트리 첫 바이트가 0xe5인 엔트리 수집 

수집 exFAT : 파일 디렉터리 엔트리 값이 0x05인 엔트리 수집

NTFS : $MFT 의 $BITMAP 속성에서 0x00 값을 가지는 MFT 엔트리 조사 / MFT 엔트리 헤더 플레그 값이 0x00인 MFT 엔트리 수집 

대용량 저장매체의 일반적인 사용으로 많은 공간이 비할당 영역일 가능성이 크다.

비할당 클러스터에는 이전 데이터가 남아 있을 가능성이 크다.

포맷하기 이전 데이터
삭제된 이후 메타정보가 삭제된 파일

비할당 영역이 판별될 경우 해당 영역을 대상으로 문자열 추출 및 데이터 카빙 수행

비할당 클러스터 영역 수집
FAT12/16/32 : FAT 영역에서 0x00 값을 가지는 클러스터를 순차적으로 연결
exFAT : 할당 비트맵 테이블(Allocation Bitmap Table)에서 0x00 값을 가지는 클러스터를 순차적으로 연결 NTFS : $Bitmap 메타데이터 파일에서 0x00 값을 가지는 클러스터를 순차적으로 연결