디지털 포렌식 기초: 파일시스템과 해쉬값

디지털 포렌식의 기초

모든 접촉은 흔적을 남긴다. -Dr. Edmond Locard

 사이버 수사

- 사이버 범죄의 범위

• 정보통신망 침해형 범죄 - 해킹, 악성코드 유포, 랜섬웨어 등을 이용한 직접 공격
• 정보통신망 이용범죄 - 인터넷 사기, 게임 아이템 사기 등과 같은 전통적 범죄의 정보통신망 이용
• 불법 컨텐츠 범죄 - 인터넷도박, 음란사이트 등 불법 서비스 제공

 

 디지털 포렌식의 절차

'적법한 절차'에 따른 압수 + 분석

  1단계 -  사전준비 (도구 테스트, 저장매체, 준비)

  2단계 - 증거수집

  3단계 -  보관 및 이송

  4단계 - 조사 분석

  5단계 - 정밀 검토

  6단계 - 보고서 작성

 

 

 파일 시스템

- NTFS(Nano Techonology File System)

 : 윈도우NT 운영체계가 파일을 저장하고 검색하는 규칙, 파일 시스템(File System)을 일컫는다.

 

- MFT(Master File Table)

 : 볼륨에 존재하는 모든 파일에 대한 정보를 가진 테이블, 파일을 삭제해도 삭제한 '기록' 남아있어 디지털 포렌식 과정에서 매우 중요하다.

 

- 디지털 파일 정보 확보

  : 압수대상 정보는 저장매체의 원본으로부터 '복제' 또는 '이미징' 작업을 통해 확보한다

 

- 복제 VS 이미징

 : 복제 = 필요한 대상 파일만 복제함  // 이미징 = Unllocated 공간까지 bit to bit 모두 복제

대상 파일의 삭제 및 수정 기록은 모두 MFT Record 에 기록 되며, 삭제 후에도 원본 자료는 비할당영역에 존재한다.

 

 

 슬랙(Slack)

: 슬랙은 디스크의 클러스터에서 논리적인 크기와 물리적인 크기 차이로 인해 활용되지 못하는 공간을 말한다. 

 

장 버저장의 기본단위

• 하드디스크 => 섹터(Sector) 512Byte
• OS => 클러스터(Cluster) 8 sector(4KB)

 

ex) 파일 하나가 5KB일 때

 

ex2) 파일 시스템에서 확인되는 Slack

종종 시스템의 중요한 정보로 할당되기 때문에 디지털 포렌식에서 간과할 수 없는 저장공간이다.

 

 디지털 증거능력의 인정조건

• 내용의 동일성 <= Hash값이 동일하다.
• 절차의 무결성 <= 현장에서 재판까지 동일하다.
• 도구의 신뢰성 <= 공인된 툴로 작업이 이루어졌다.
• 취급자의 전문성 <= 전문인력에 의해 행해졌다.

참고) 만든 날짜 수정한 날짜에 의해 가변적인 메타데이터(생성 증거)는 원본가 불일치가 용인된다.

 

 해쉬(Hash)

- Hash값이란?

: 단방향 암호화 기법으로 동일한 해쉬 함수를 통해 나온 결과도 동일하다면 두 입력값은 같다. 파일 비교에 자주 사용되는 해쉬 함수로 md5(), SHA1() 등이 있다.

 

- 해쉬값 (Hash): 해쉬 함수로 만들어진 1개의 값

- 해쉬 셋 (Hashset): 문제가 되는 해쉬값들의 묶음 ex) 아동 성착취 물 판별을 위한 Hashset

- 해쉬 라이브러리 (Hash Library): Hash set들의 묶음

   ex) 아동성착취물 hash set + 인터넷 도박 hash set => 범죄 Library

   ex) 윈도우 시스템, MS office, 포토샵 => 정상파일 Library

 

[정상파일 Library 참조] https://www.nist.gov/itl/ssd/software-quality-group/national-software-reference-library-nsrl

National Software Reference Library (NSRL)

 

---

 Hashing 실습

해쉬값을 비교하는 툴을 사용해 파일들의 일치 여부를 판별할 수 있다.

 

도구: HashMyFiles.exe

 

프로그램 실행 > 예시 파일 10개 분석 > 같은 Hash값의 파일 확인

입력된 10개 파일의 해쉬값 중 세쌍의 동일한 결과

 

해쉬값이 동일한 2번, 7번 파일에 대한 파싱

(좌) 7번은 파싱에 성공, 파일 시그니처가 PK러 확인됨 (우) 파싱실패 => 2번은 변조 된 파일임

---

 

참고자료

https://securitymax.tistory.com/77

NTFS의 MFT(Master File Table)란?

해쉬값-https://ru-magazine.tistory.com/47

해시(hash)란?

참고) Cellebrite Premium : 아이폰의 비밀번호를 뚫은 포렌식 도구

 

슬랙 - https://present4n6.tistory.com/17

슬랙 공간(Slack Space)