기존 Forensicexpert 티스토리 에서 한국디지털포렌식센터 공식 티스토리 로 변경 되었습니다. 좋은 내용으로 찾아 뵙겠습니다. 많은 관심 부탁드립니다.

운영체제가 부팅을 하면 여러가지 단계를 거쳐 BIOS 상태로 들어오고 BIOS 상태를 거치고 나면 가장 먼저 접근하는 영역이 부팅용으로 사용하는 디스크 MBR 영역이다. MBR 영역에 접근해서 MBR 영역을 살펴보면 Boot Code 들이 저장되어 있고 파티션 테이블이 MBR 영역에 저장되어 있다. 이 영역을 분석해서 어떤 파티션이 분할되어 있느냐 라는 정보와 부팅용으로 사용한 정보를 찾을 수 있다. 만약 부팅용으로 사용된 정보를 찾았다면 해당 영역을 찾아가서 부팅과 관련된 코드를 읽어 들이고 부팅 작업을 진행한다. MBR 영역은 섹터 하나 512 Byte 를 꽉 채우는 크기를 가진다. 0 - 446 Byte 는 Boot Code 가 저장되어 있다. Byte 크기를 따로 외울 필요는 없다. 물론 Part..

파티션은 물리적인 하드디스크를 논리적으로 나누는 단위이다. 볼륨이란게 있는데 파티션이나 볼륨이란 걸로 나눈다. 파티션은 기본 디스크에서 사용하는 논리적인 단위이고, 볼륨은 동적디스크에서 사용하는 논리적인 단위이다. 파티션은 연속된 공간을 하나 이상의 연속되고 독립된 영역으로 나누어서 사용할 수 있도록 정의한 규약이다. 파티션을 나눈 이유는 물리적인 장치를 논리적으로 인식할 수 있도록 해주겠다 라는게 첫 번째 목적이다. 파티션을 만들지 않으면 운영체제가 해당 공간을 인식할 수 없다. 물리적인 공간을 직접 인식할 수 없기 때문에 파티션을 만든다. 하나의 공간으로 만들든 여러개의 공간으로 만들든 파티션을 만들게 되면 해당 공간에 운영체제를 사용할 수 있는 상태가 된다. 즉, 논리적인 공간으로 만들어 준다는 의..

물리적인 HARD DISK 장치다. 즉 도서관 건물에 해당되는 장치, 물리적인 HARD DISK 이다. 고장난 HARD DISK 를 분해하면 구조를 확인할 수 있다. 물리장치를 확인해보자. 액츄에이터 암 : 파일을 읽고 쓰는 위치를 잡아준다. 어디를 읽을 것이냐, 어디를 쓸 것이냐를 잡아준다. 헤드 : 끝에 달려 있는 침. 즉 플래터에 자기적인 전자 자기장을 이용해서 데이터를 읽고 쓰기 위해서 맨 끝에 위치한다. 스핀들러 : 스핀들 또는 스핀들러라고 부르며 가운데 있는 모터다. 열심히 돌아가면서 HARD DISK SPEC 에 해당하는 RPM 을 만들어 낸다. 플래터 : 데이터가 저장되는 판이며 플래터가 딱딱한 어느 정도의 두꼐를 가지는 판이기 때문에 HARD DISK 라는 명칭을 붙인다. 플래터를 확대해..

파일을 복구하기 위한 정보가 필요할 것이다. 그래서 File System 이 어떻게 적용이 되는지 파악하고 있으면 충분히 삭제된 데이터를 복구할 수 있다. 물론 삭제된 데이터라고 해서 전부다 복구가 가능한 것은 아니고 지워지지 얼마 안된 파일은 복구가 가능하다. 만약 지워진지 오래된 파일과 같은 경우 다른 데이터를 만들었을 때 덮어쓰기 됐을 확률이 높을 것인데 그런 상황이라면 복구가 거의 불가능하고, 그게 아니라면 (덮어씌어지지 않았다면) 충분히 복구가 가능한 그런 자료들이 많이 존재할 수 있다. 그래서 삭제되거나 손상된 그러한 파일들의 복구를 위해서 File System 과 관련된 정보가 필요하다. Windows 에서 가장 많이 사용되는 File System 은 NTFS File System 이다. 그..