파일시스템분석1

• 파일시스템 분석 최근 삭제된 파일이나 사건이 일어난 시점에서 삭제된 파일은 우선 분석 대상이 된다.파일 시스템에 파일 삭제 시 실제 데이터 삭제 없이 메타정보만이 수정 가능 하다.즉, 삭제된 파일의 메타 정보 구조가 덮어써지지 않았다면 파일은 거의 완벽하게 복구된다는 말이다. 디스크 포맷정보 NTFS : 비연속적/연속적으로 할당된 파일 모두 완벽하게 복구가 가능하다.FAT : 비연속적으로 할당된 파일은 부분적인 복구만 가능하다. (FAT Table의 초기화로 연결정보가 사라진다.)삭제된 파일 탐색 FAT12/16/32 : 루트 디렉터리로 부터 탐색하면서 디렉터리 엔트리 첫 바이트가 0xe5인 엔트리 수집 수집 exFAT : 파일 디렉터리 엔트리 값이 0x05인 엔트리 수집NTFS : $MFT 의 $BITMAP 속성에서 .. For3nsic/Forensic 2015. 11. 2.