• Proceedings of the Korean Society of Computer Information Conference
• /
• 2021.07a
• /
• pp.221-222
• /
• 2021

본 논문에서는 HFS+ 파일시스템의 클러스터의 상태를 분석하여 디지털 포렌식에 활용하기 위한 기법을 제안한다. 이 방법은 파일시스템의 클러스터 안에 들어있는 정보를 텍스트 형식과 GUI 형식으로 표시하하여 포렌식을 수행하기 위한 정보를 제공하는 것을 목표로 개발한다. 이 기법에서 적용되는 파일시스템은 macOS에서 사용하는 HFS+ 파일시스템으로 파일/디렉토리에 대한 클러스터의 수, 클러스터의 연속정보, 클러스터에 연관된 파일/디렉토리의 고유정보와 시간정보를 표시한다. 이 기법을 위한 도구는 C/C++와 Python언어로 macOS 환경에서 동작하도록 개발된다. 일반적으로 Windows 환경에 비하여 macOS 환경에서 사용할 수 있는 포렌식 분석을 소프트웨어들이 상대적으로 많지 않아서 이 도구에서 제공하는 디스크 클러스터의 할당상태와 그것과 연관된 포렌식 정보를 얻는데 효과적으로 사용될 수 있는 점이 이 연구가 기여하는 바이다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2021.01a
• /
• pp.287-288
• /
• 2021

본 논문에서는 macOS의 파일시스템인 HFS+의 B-tree구조를 디지털 포렌식의 관점에서 분석할 수 있는 기능을 갖춘 도구의 구현에 대하여 다룬다. HFS+ 파일시스템의 파일과 디렉토리에 대한 메타정보를 카탈로그 B-tree에서 구하여 디지털 포렌식 정보로 활용한다. HFS+파일시스템 포렌식 분석도구는 C/C++언어로 구현된다. 텍스트 기반의 명령행 프로그램으로 구현되며 macOS/Windows에서 터미널/명령프롬프트에서 각각 실행될 수 있도록 제작된다. 타임스탬프/파일크기/위치 등의 메타데이터의 파싱기능, 리프노드에 저장된 데이터를 이용한 파일/디렉토리 트리 구조의 재구성, B-tree구조에 의한 키워드 탐색 기능, 인덱스 노드 없이 B-tree 리프노드의 구성에 의한 파일/디렉토리 파싱/검색 기능 등이 구현된다.

• International Journal of Internet, Broadcasting and Communication
• /
• v.13 no.3
• /
• pp.178-192
• /
• 2021

File system forensics typically focus on the contents or timestamps of a file, and it is common to work around file/directory centers. But to recover a deleted file on the disk or use a carving technique to find and connect partial missing content, the evidence must be analyzed using cluster-centered analysis. Forensics tools such as EnCase, TSK, and X-ways, provide a basic ability to get information about disk clusters, but these are not the core functions of the tools. Alternatively, Sysinternals' DiskView tool provides a more intuitive visualization function, which makes it easier to obtain information around disk clusters. In addition, most current tools are for Windows. There are very few forensic analysis tools for MacOS, and furthermore, cluster analysis tools are very rare. In this paper, we developed a tool named FACT (Forensic Analyzer based Cluster Information Tool) for analyzing the state of clusters in a HFS+ file system, for digital forensics. The FACT consists of three features, a Cluster based analysis, B-tree based analysis, and Directory based analysis. The Cluster based analysis is the main feature, and was basically developed for cluster analysis. The FACT tool's cluster visualization feature plays a central role. The FACT tool was programmed in two programming languages, C/C++ and Python. The core part for analyzing the HFS+ filesystem was programmed in C/C++ and the visualization part is implemented using the Python Tkinter library. The features in this study will evolve into key forensics tools for use in MacOS, and by providing additional GUI capabilities can be very important for cluster-centric forensics analysis.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.22 no.4
• /
• pp.827-839
• /
• 2012

A cell phone is very close to the user and therefore should be considered in digital forensic investigation. Recently, the proportion of smartphone owners is increasing dramatically. Unlike the feature phone, users can utilize various mobile application in smartphone because it has high-performance operating system (e.g., Android, iOS). As acquisition and analysis of user data in smartphone are more important in digital forensic purposes, smartphone forensics has been studied actively. There are two way to do smartphone forensics. The first way is to extract user's data using the backup and debugging function of smartphones. The second way is to get root permission, and acquire the image of flash memory. And then, it is possible to reconstruct the filesystem, such as YAFFS, EXT, RFS, HFS+ and analyze it. However, this methods are not suitable to recovery and analyze deleted data from smartphones. This paper introduces analysis techniques for fragmented flash memory pages in smartphones. Especially, this paper demonstrates analysis techniques on the image that reconstruction of filesystem is impossible because the spare area of flash memory pages does not exist and the pages in unallocated area of filesystem.

• Proceedings of the IEEK Conference
• /
• 2008.06a
• /
• pp.1161-1162
• /
• 2008

일반적으로 운영체제의 데이터 백업을 목적으로 널리 사용되고 있는 하드 디스크는 대역폭와 탐색시간이 매우 저조한 성능을 보이고 있어 저장 능력과 성능사이에 격차는 나날이 증가하고 있다는 단점이 있다. 반면에 플래시 메모리의 새로운 응용 분야로 주목을 받고 있는 SSD는 고정된 반도체에 자료를 저장하기 때문에 탐색 시간이 존재하지 않아 데이터에 접근하는 시간이 훨씬 빠르다는 이점을 가지고 있다. 하지만 하드 디스크에 비해 현저히 떨어지는 저장능력과 비경제적인 가격 등의 문제점으로 인해 하드 디스크를 완전히 대치하기에는 어려움이 있다. 본 논문에서 제안하는 HFS(Hybrid File System)는 HDD와 SSD를 제안한다. HFS는 하드 디스크의 큰 저장능력과 SSD의 빠른 데이터 접근 속력 등의 각 디스크의 장점을 최대한으로 이용하여 데이터를 빠르게 처리할 수 있도록 고안 되었다.