• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2014년도 춘계학술대회
• /
• pp.355-357
• /
• 2014

임베디드 시스템에 많이 사용되는 리눅스 환경에는 Ext2, FAT, NTFS 등 다양한 파일 시스템이 사용된다. 임베디드 시스템에 탑재된 파일 시스템은 미니 하드 디스크 또는 플래시 메모리를 미디어로 채택하고 있다. 이러한 장치에 구현되는 파일 시스템의 종류는 응용 프로그램의 성능에 많은 영향을 미친다. 동일한 미디어에서 파일시스템의 성능 요인은 블록 할당과 블록 해제 오버헤드이다. 이 중에서 블록 해제 성능은 파일시스템에 따라 큰 차이를 보이지 않는다. 이 논문에서는 임베디드 시스템의 Ext2, FAT, 그리고 NTFS 파일 시스템에서 블록 할당 성능을 비교 분석한다. 그래서 어떤 경우에 어느 파일 시스템이 우수한지에 대하여 고찰한다.

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2018년도 제58차 하계학술대회논문집 26권2호
• /
• pp.478-479
• /
• 2018

본 논문에서는 NTFS 파일시스템에서 디렉토리 인덱스의 구조내에 데이터를 숨기기 방법을 적용하는데 있어서 필요한 요소들에 대한 설명과 그것의 필요성에 대하여 논하기로 한다. 기존에 발표된 이 방법은 NTFS의 디렉토리 인덱스를 유지하기 위하여 B-tree방식으로 인덱스에 대한 데이터 구조를 운영하고 있는 점을 이용하여 인덱스의 정보를 담고 있는 인덱스 레코드 안에 저장되는 파일명을 이용하여 데이터 감추기를 수행하는 방법이다. 이것을 하기 위하여 필요한 몇가지 요소가 있는데 그 중에서 파일시스템, 작업 디렉토리, 위장 파일, 숨기려는 데이터, 사용할 수 없는 문자들, 앵커파일, 분석도구 등에 대한 것들을 나열하고 해당하는 요소들이 필요성과 그에 대한 의미를 기술하고자 한다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2004년도 가을 학술발표논문집 Vol.31 No.2 (1)
• /
• pp.637-639
• /
• 2004

인터넷의 확산으로 인한 바이러스의 감염, 정전 등의 재해로 인해 파일 시스템이 손상될 수 있기 때문에 이를 복구하기 위한 기법들에 대한 다양한 연구가 이루어지고 있다. 그러나 기존 연구들은 파일 시스템이 정상적으로 동작하는 환경에서 수행 도중의 오류를 복구하기 위한 로그 기법들이 주로 사용되고 있다. 이러한 기법들은 파일 시스템의 기본구조가 손상될 경우 해당 디스크에 접근이 불가능하기 때문에 한계점이 존재한다 따라서 본 논문에서는 파일 시스템 기본 구조 복구 모델을 제안한다. 또한 실수로 파일을 완전히 삭제할 경우 운영체제가 제공하는 정상적인 방법으로는 삭제된 파일에 접근 할 수 없다. 따라서 완전히 삭제된 파일을 복구할 수 있는 방안을 제시하고 이를 구현하였다.

• 전자공학회논문지CI
• /
• 제49권4호
• /
• pp.1-8
• /
• 2012

이 연구는 NTFS 파일시스템에서 디스크의 에러를 복구를 위해 사용하는 저널링 파일($LogFile)에 기록되어 있는 로그 레코드들을 컴퓨터포렌식에 활용하는 방법에 관한 것이다. $LogFile에는 파일 연산의 과정을 그대로 담고 있어서 포렌식의 관점에서는 증거의 보고이다. 그러나 이 구조는 완전하게 공개되어 있지 않아서 구조를 정확히 알고 있지 않다는 어려움이 있다. 이 연구에서는 로그레코드들 기록된 주소 영역에 대해서 역공학적 방법으로 주소 데이터의 구조를 명확히 밝히고 로그레코드마다 그에 관련된 대상 파일이 어떤 것인지 분석하여 포렌식 대상 파일을 식별하고 포렌식 정보를 취득에 활용한다.

• 디지털산업정보학회논문지
• /
• 제6권2호
• /
• pp.107-118
• /
• 2010

This paper proposes a digital forensic method to a file creation transaction using a journal file($LogFile) on NTFS File System. The journal file contains lots of information which can help recovering the file system when system failure happens, so knowledge of the structure is very helpful for a forensic analysis. The structure of the journal file, however, is not officially opened. We find out the journal file structure with analyzing the structure of log records by using reverse engineering. We show the digital forensic procedure extracting information from the log records of a sample file created on a NTFS volume. The related log records are as follows: bitmap and segment allocation information of MFT entry, index entry allocation information, resident value update information($FILE_NAME, $STANDARD_INFORMATION, and INDEX_ALLOCATION attribute etc.).

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2020년도 제61차 동계학술대회논문집 28권1호
• /
• pp.65-66
• /
• 2020

이 논문에서는 NTFS 파일시스템에서 여러 개의 클러스터에 걸쳐서 슬랙 영역에 데이터 숨기기를 수행하는 데이터 숨기기 방법의 강인성을 조사하기 위하여 디스크 조각모음 실험을 수행할 때 필요한 방법을 제안한다. 디스크 조각모음의 실행으로 클러스터의 위치가 변동되기 위해서는 여러 클러스터에 걸친 디스크 조각의 단편화가 일어날 수 있도록 파일을 생성하고 삭제하는 작업을 수행한다. 그 후에 용량이 큰 파일을 복사하여 여러 클러스터에 걸친 단편화된 파일을 작위적으로 생성한다. 단편화된 파일만을 남기고 그 이외의 다른 파일들을 삭제한 후에 디스크조각 모음을 수행한다. 이 실험에 필요한 준비과정과 실험과정을 제안한다.

• 한국정보보호학회:학술대회논문집
• /
• 한국정보보호학회 2006년도 하계학술대회
• /
• pp.412-415
• /
• 2006

본 논문에서는 NTFS 파일시스템의 $LOGFILE을 활용하여 범인의 행동 흐름 파악 메커니즘을 제시한다. 기존에 Carrier, Brian에 의해 제시된 NTFS파일 시스템의 분석은 주로 할당되지 않은 $MFT의 분석을 통해서 이루어졌다.$^{[1]}$ 증거물을 포착하기 위해서 사용되었던 $MFT 분석 방식을 벗어나 $LOGFILE을 통해 범죄자의 파일에 대한 조작 행위의 순서를 파악한다.

• 한국정보전자통신기술학회논문지
• /
• 제8권4호
• /
• pp.327-337
• /
• 2015

이 논문에서는 윈도우즈 NTFS 파일시스템에서 디렉토리의 인덱스에 메시지를 숨기기 위한 새로운 안티 포렌식 방법을 제안한다. 인덱스 엔트리 관리를 위하여 채택하고 있는 B-tree 구조의 특징을 이용하여 인덱스 레코드의 슬랙 영역에 숨길 메시지를 저장한다. 안티포렌식을 위해 숨길 메시지가 노출되지 않게 하기 위해 서 위장 파일을 사용하여 삭제된 파일이름의 정보가 MFT 엔트리에 남지 않도록 한다. 이 기법의 핵심 아이디어 의 이해하기 위해서 B-tree방식의 인덱스 레코드의 운영방법을 소개하고 이 연구에서 제안된 알고리즘을 설명 한다. 제작된 소프트웨어를 사용한 메시지를 숨긴 사례를 들어서 이 방법이 실질적인 기법이라는 것을 보인다.

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2019년도 제60차 하계학술대회논문집 27권2호
• /
• pp.391-392
• /
• 2019

본 논문에서는 타임스탬프의 위변조를 위한 안티포렌식의 도구로 사용되는 타임스탬프 변경도구들에 기능에 대하여 디지털 포렌식 관점에서 분석을 수행한다. 타임스탬프 변경도구들로써 수행할 수 있는 타임스탬프 변경작업의 범위와 특징을 찾아본다. NTFS파일시스템에서 사용하는 타임스탬프 변경도구들의 기능상의 분류는 그것들이 변경할 수 있는 타임스탬프 종류와 정밀도를 기준으로 정하고 그 도구들을 사용한 후에 기록된 타임스탬프의 특징들을 디지털 포렌식 관점에서 분석을 수행하기로 한다. 이 연구에서의 분류 형태 중 타입 I은 FileTouch.exe, SKTimeStamp, BulkFileChanger류의 도구들과 타입 II는 timestomp, 타입 III은 SetMACE로 분류하고 각 도구들을 사용한 후에 변경된 타임스탬프들의 특징을 살펴보기로 한다.

• 융합보안논문지
• /
• 제15권7호
• /
• pp.75-84
• /
• 2015

윈도우즈 NTFS 파일시스템에서 인덱스 레코드에 데이터를 숨기기 위한 기법은 파일명을 이용하여 메시지를 숨기는 방법이다. 윈도우즈 NTFS의 파일명 규칙에서 일부 ASCII 문자는 파일명으로 사용할 수 없는 문제가 있다. 영문과 함께 한글, 기호 문자가 함께 입력이 될 때와 바이너리 형태의 데이터들이 입력될 때 인덱스 레코드에 데이터 숨기기 방법 수행 시에 파일생성 에러 문제가 발생하는 것을 해결하기 위한 방법으로 유니코드의 특정 영역으로 변환하는 방법을 제안한다. 에러가 발생하는 문자들을 한글과 영문 영역이 아닌 유니코드로 변환하고. 바이너리 형태의 데이터인 경우는 확장 유니코드 영역과 아스키 코드의 영역이 아닌 유니코드의 영역으로 256개의 코드 전체를 변환하는 방식을 적용한다. 영문과 함께 한글이 사용된 경우에 제안한 방식이 적용된 사례의 결과를 보이고. 바이너리의 경우는 PNG이미지 파일의 바이너리 코드를 유니코드로 변환한 사례를 통해서 제안한 방법이 타당함을 보인다.