컴퓨터 증거수집 및 분석에 관한 연구 : 하드디스크 분석을 중심으로

국문 초록 (Abstract)

컴퓨터에서 주로 자료가 저장되는 공간은 하드디스크다. 하드디스크에 담기는 정보는 컴퓨터가 생활속에 깊숙이 침투하면서 개인의 아주 비밀스런 부분까지로 확대되었으며, 컴퓨터끼리의 네트웍을 형성하면서 더욱 다양한 형태로 나타나고 있다.
하드디스크에 저장된 정보는 자료가 쉽게 변형이 가능하고, 또한 조작여부를 파악하기도 힘들다. 그래서 최소한의 조작과 정형화된 방식으로 증거를 수집하고 분석하는 “컴퓨터 포렌식”이 주목받고 있다.

하드디스크는 자료가 저장되어 활용되고 있는 공간(할당된 공간)과 그 이외의 공간 즉 할당되지 않은 공간으로 나눌 수 있다. 할당되지 않은 공간에는 이전에 저장되었던 수많은 자료가 저장되어 있으며, 용의자의 범죄를 입증할 많은 증거자료가 남아있다. 이 영역의 자료는 일반적인 방법으로는 보이지 않고 복구 절차를 통해 복원을 해야 분석을 할 수 있다. 복구율은 파일이나 폴더에 대한 이름, 크기, 시작위치 등의 속성정보가 유무에 따라 달라지며, 속성정보도 사라지면 자료의 구조를 분석해야 복원이 가능하다.

예전에는 소프트웨어 개발사마다 다양한 문서파일 구조가 있었으나, 최근에는 호환성을 위해 Compound File Format을 채택하여 사용하는 경우가 늘고 있다. 한글파일도 2002이후 버전에서 사용하고 있다. 본 논문에서는 여러 문서 중에서 한글파일에 저장된 미리보기 자료를 분석하여, 정보를 추출하는 프로그램을 구현하고 기존에는 하기 어려웠던 문서복구 및 증거수집 방안을 제시하였다.

이 방법을 사용하면 Compound File Format을 사용하는 엑셀, 파워포인트, 워드등의 문서도 내용을 복원 분석해서 용의자의 범죄를 입증할 자료로 사용할 수 있을 것으로 기대한다.

다국어 초록 (Multilingual Abstract)

The space where files are mainly saved is at a hard disk. Information saved at the hard disk has expanded to our daily life and individual privacy while computers are widely used and it has appeared in various forms through being connected with networks.

The information stored at a hard disk could be revised easily and difficult to detect its alternation. Therefore, computer forensics has drawn its attention because it is able to collect and analyze a criminal evidence in way of minimum operation and standard process.

Hard disk is divided by an allocated space where information is saved and the other space where is not allocated. At the space where is not allotted, an information saved in the past is stored and enough criminal evidence for suspects are remained. The information in this sector is not able to access without taking proper process to reconstruct it. The success rate of its reconstruction is dependent on the existence of property information such as name, size or starting location of files or folders. If property information has been vanished, reconstruction could be possible upon analyzing its structure of the file.

In the past, there have been various types of document file used for each software development companies. Nowadays, The use of the Common File Format has been increased for the propose of interchange. The Hangul file also began to use it since its 2002 version. In this thesis, through analyzing a preview document saved in the Hangul file and operating a program to extract information, the feasible method of reconstructing file and collecting evidence, that have been difficult in the past, is presented.

Taking this method, documents made by MS Excel, PowerPoint, and Word in using of the Compound File Format could be reconstructed for criminal evidence purpose.

목차 (Table of Contents)

• 목 차
• 제1장 서론
• 제1절 연구 목적
• 제2절 연구범위와 방법
• 제2장 컴퓨터 포렌식과 디지털 증거의 개요
• 제1절 컴퓨터 포렌식스
• 1. 컴퓨터 포렌식스의 개념
• 2. 컴퓨터 포렌식스의 적용단계
• 3. 컴퓨터 포렌식스의 유형
• 제2절 디지털 증거
• 1. 디지털 증거의 개념
• 2. 디지털 증거의 유형
• 3. 법적 증거로서 디지털 자료의 특징
• 제3장 하드디스크 비할당 영역의 증거수집
• 제1절 하드디스크 구조
• 1. 하드디스크 물리적 구조
• 2. 파일시스템과 논리적 구조
• 가. 용어설명
• 나. FAT12의 구조
• 다. FAT16의 구조
• 라. FAT32의 구조
• 마. NTFS의 구조
• 3. 파일과 폴더의 저장구조
• 가. 파일할당과 영역구분
• 나. FAT 영역에서 파일과 폴더 저장구조
• 다. NTFS 영역에서 파일과 폴더 저장구조
• 제2절 하드디스크 비할당 영역 복구방법
• 1. FAT에서 파일과 폴더 복구
• 2. NTFS에서 파일과 폴더 복구
• 제3절 하드디스크 비할당 영역 검색방법
• 1. 파일 시그너쳐 (Signature) 검색
• 2. 파일 Header와 Footer 이용 검색 방법
• 제4절 디지털 증거 복구 및 검색시 문제점
• 1. 손상된 파일 복구시 문제점
• 2. 공통 구조를 가지는 파일 복구시 문제점
• 제4장 증거수집 문제점 보완 방안
• 제1절 Compound File Format 개념과 구조
• 제2절 Compound Document File 분석
• 1. Compound Document File 구조 분석
• 가. Header 분석
• 나. Directory 분석
• 다. Short Allocation Table 분석
• 라. Directory 추가 영역 분석
• 2. Compound Document Data 복원
• 가. PrvText 복원
• 나. PrvImage 복원
• 다. Hwp Summary Information 복원
• 제5장 Compound Document File 증거수집 프로그램 구현
• 제1절 증거수집 프로그램 구현
• 1. Compound File 검색 및 복구 프로그램
• 2. 한글파일에서 미리보기 자료 추출 프로그램
• 제2절 성능 평가
• 참고문헌
• 부록
• 부록
• 표 목 차
• [표 3- 1] 디렉토리 엔트리 정보
• [표 3- 2] Foot를 가지는 파일의 예
• 그 림 목 차
• [그림 3- 1] 하드디스크 구성부품
• [그림 3- 2] 미디어의 물리적인 구조
• [그림 3- 3] 파일 할당과 영역구분
• [그림 3- 3] FAT영역 저장구조
• [그림 3- 4] 루트디렉토리 엔트리 구조
• [그림 3- 5] Pagefile.sys 파일 엔트리 내용
• [그림 3- 6] boot.ini MFT 레코드
• [그림 3- 7] ntdetect.com MFT 레코드
• [그림 3- 8] Ntdetect.com 파일의 클러스터 리스트와 자료 시작영역
• [그림 3- 9] 디렉토리 레코드에서 삭제된 파일 확인
• [그림 3-10] 편지함 레코드 정보
• [그림 3-11] Nero.txt 파일 삭제이전 레코드 구조
• [그림 3-12] Nero.txt파일 삭제 이후 레코드 구조
• [그림 3-13] 그림 파일 시그너쳐의 예
• [그림 3-14] 한글97 파일 시그너쳐 확인
• [그림 3-15] doc finder 스크립트
• [그림 3-16] Html Carver 스크립트
• [그림 3-17] 워드, 엑셀, 파워포인트 문서의 헤더비교
• [그림 4- 1] 한글2002 파일 분석
• [그림 4- 2] 디렉토리 영역분석
• [그림 4- 3] Sector Allocation Table 영역분석
• [그림 4- 4] Directory 분석
• [그림 4- 5] Short Allocation Table 영역분석
• [그림 4- 6] 원래 한글 문서 파일 내용
• [그림 4- 7] 저장자료
• [그림 4- 8] 유니코드 변환 결과
• [그림 4- 9] 이미지 미리보기 기능
• [그림 4-10] Prvimage 확인
• [그림 4-11] 원본(좌)과 복원한 이미지(우) 비교
• [그림 4-12] 문서 요약정보
• [그림 4-13] 문서의 통계정보
• [그림 4-14] 요약정보 Data 영역
• [그림 4-15] 작성일 시각 자료변환
• [그림 4-16] 마지막 작성일 시각 자료변환