포렌식을 더깊게...

포렌식 분석의 목적 

- 진실을 찾고 그것을 통해 사건의 진실을 재현하는 것

이미지 다루기 - ImDisk -> NTFS 볼륨 이미지 마운팅

파일 시스템 다루기 - Ext2Fsd

Mac OS - HFS Explorer -> 일부 CD/DVD와 DMG 컨테이너 포함 HFS와 HFS+ 파일 시스템을 읽을 수 있는 프로그램이다.

디스크와 파일 시스템 분석

포렌식 분석은 매체에 있는 파일을 다루는 것이다. 

식별은 볼륨에서 어느 활성 파일과 삭제된 파일을 수집할 수 있는지 결정하는 것이고, 추출은 관련 파일의 데이터와 파일의 메타데이터를 수집하는 것이며, 분석은 우리가 알고 있는 정보를 데이터 셋에 적용하고 궁극적으로는 의미 있는 결과를 도출하는 과정이다.  

파일 시스템 추상화 모델 

- 디스크 : 물리적 저장장치로 간주 되며 SCSI, SATA 하드 드라이브 또는 디지털 카메라의 메모리 카드 등이 이에 속한다.

- 볼륨 : 하나 또는 그 이상의 디스크의 일부분 또는 전부를 사용하여 만들어 진다. 단일 디스크는 여러 개의 볼륨을 가질 수 있으며 볼륨은 환경설정에 따라 여러 디스크에 걸쳐 있을 수 있다.

가끔 파티션가 볼륨이 혼동 될수 있지만 파티션은 단일한 물리 디스크로 제한하고 볼륨은 하나 또는 그 이상의 파티션의 모음으로 정의하여 이 둘을 구분 하고 있다.

- 파일 시스템 : 볼륨 위에서 만들어지며 파일과 파일의 메타데이터에 대한 레이아웃을 기술한다. 파일 시스템 레이어에 있는 아이템에는 파일 시스템 운영에 잇어 독립적이고 특별하게 사용되는 메타데이터도 포함된다. 

- 데이터 유닛 : 특정 파일 시스템에서 사용 가능한 데이터 스토리지의 최소 독립 유닛이다.

- 메타데이터 : 데이터에 대한 데이터라고 불린다. 데이터 유닛 레이어는 파일 시스템에서 실제 데이터를 가지고 있으며 메타데이터 레이어는 데이터 유닛에 관한 데이터를 가지고 있다.

- 파일 네임 : 레이어는 사람이 작업하는 곳이다.

이 추상화 모델은 유닉스류 파일 시스템의 설계를 기반으로 만들어졌기 때문에 일부 단계는 다른 플랫폼의 파일 시스템 설계와 직접적으로 대응하지 않는다.

슬루스 킷

파일 시스템 아티팩트 분석을 위해 슬루스 킷을 사용 한다. 

파일 시스템 레이어를 가리키는 일반적인 접두사

mm- : 볼륨에서 동작하는 도구

fs- : 파일 시스템 구조에서 동작하는 도구

blk- : 데이터 유닛 레이어에서 동작하는 도구

i- : 메타데이터 레이어에서 동작하는 도구

f- : 파일 네임 레이어에서 동작하는 도구

파일 시스템 모델과 직접 맵핑 되지 않는 레이어에는 두가지가 있다.

j- : 파일 시스템 저널을 대상으로 동작하는 도구

img- : 이미지 파일을 대상으로 동작하는 도구

슬루스 킷 도구에서 있는 기본적인 접미사는 그 도구의 기능을 예측 할 수 있게 해준다.

-stat : 쿼리된 아이템에 대한 일반적인 정보를 출력해준다.

-ls : 유닉스류 시스템의 ls 명령처럼 쿼리된 레이어의 컨텐츠를 목록화 해준다.

-cat : 유닉스류 시스템의 cat 명령처럼 쿼리된 레리어의 컨텐츠를 추출/덤프해준다.

볼륨 레이어 도구 

mmstat 명령은 타깃 이미지 파일 또는 디스크에서 사용 중인 볼륨 시스템의 종류를 보여준다.

mmls 명령은 이미지 파일 또는 디스크에 있는 매체 관리 구조를 파싱해서 보여준다.

mmcat는 특정된 볼륨의 컨텐츠를 표준출력으로 출력해준다.

파일 시스템 레이어 도구

fsstat 명령은 파일 시스템 정보를 보여준다.

데이터 유닛 레이어 도구

blkstat 명령은 특정 데이터 유닛에 대한 정보를 보여준다.

blkls 명령은 데이터 유닛의 상세 정보를 보여주고 파일 시스템에 있는 모든 미 할당 영역을 추출할 때도 있다.

blkcat 명령은 지정된 데이터 유닛의 컨텐츠를 표준 출력으로 출력 해준다.

blkcalc 명령은 blkls 명령으로 추출한 미 할당 영역을 서로 연결할 때 사용한다.

메타데이터 레이어 도구

isstat 명령은 특정 메타데이터 구조에 관한 정보를 보여준다.

ils 명령은 메타데이터 구조를 목록화해주는 동시에 임베디드 시간, 오너십 정보 그리고 다른 관련 정보를 파싱하여 보여준다.

icat 명령은 메타데이터 주소가 가리키는 데이터 유닛의 컨텐츠를 보여준다.

ifind 명령은 지정된 파일 이름이 참조하는 메타데이터 구조 또는 지정된 데이터 유닛 주소가 참조하는 메타데이터 구조를 찾아준다.

파일 네임 레이어 도구

fls 명령은 할당되어 있거나 이미 삭제된 파일의 이름을 나열해준다.

-d : 삭제된 엔트리만 출력

-l : 긴 버전으로 출력

-m : dir/의 출력결과를 mactime 입력 포맷으로 보여준다.

-p : 파일의 전체 경로를 출력한다.

-r : 디렉터리 엔트리를 재귀적으로 탐색한다.

-u : 복구한 엔트리만 출력

-z : 오리지널 머신의 타임 존

-s 초 : 오리지널 머신의 시간 오차

ffind 명령은 지정된 메타데이터 번호가 참조하는 파일 이름을 찾아준다.

기타 도구

mactime 명령은 ils나 fls로 만든 bodyfile을 기반으로 타임라인을 만드는 명령이다 

sigfind 명령은 소스 파일에서 특정 바이너리 값이 있는 오프셋을 찾을 때 사용한다.

hfind 명령은 텍스트 파일을 grepping하는 것보다 훨씬 빠른 방법으로 해시 데이터베이스에 쿼리를 할 때 사용한다.

sorter 명령은 파일 컨텐츠 분석을 통해 확인된 파일 타입을 기반으로 파일을 정렬하고 추출해준다.

srch_strings 명령은 단순히 GNU binutils 패키지가 없는 경우에도 그 전부를 설치 하지 않고도 문자열을 추출해준다.

이미지 파일 도구

img_stat 명령은 해시 정보와 이미지에 있는 다른 케이스 관련 메타데이터를 포함한 이미지 포맷 정보를 표시해준다. 또한 표준출력으로 이미지 파일의 컨텐츠를 출력해준다.

저널 도구

파일 시스템이 저널링을 지원한다. 저널링파일 시스템은 무엇을 변경하기 전에 그것을 저널에 기록하고 그 이후에 변경을 실행한다.

jls 명령은 파일 시스템 저널에 있는 아이템을 나열해주고, jcat 명령은 요구 받은 저널 블록의 컨텐츠를 표준출력으로 출력해준다.