07 · CHAPTER 03 · FORENSICS & RESPONSE
디스크의 지도
MBR과 VBR
파티션 테이블과 부트 레코드를 읽고 손상된 볼륨의 구조를 이해합니다.
실습 범위 안내 이 장의 확인 과정은 본인이 소유하거나 명시적으로 허가받은 교육·실습 환경에서만 수행합니다. 운영 시스템과 제3자의 장비에는 적용하지 않습니다.
FORENSICS & RESPONSE STUDY NOTE디스크의 지도 MBR과 VBRDisk · MBR · VBR · Partition
01
책의 목차가 찢어졌다면
핵심 용어
Disk MBR VBR Partition
본문이 남아 있어도 어디에서 각 장이 시작하는지 모르면 내용을 찾기 어렵습니다.
MBR은 전통적인 디스크의 파티션 정보와 부트 코드를 담고 VBR은 각 볼륨의 파일 시스템 정보를 담습니다.
섹터 크기, 시작 LBA, 파티션 길이를 읽으면 파티션의 위치와 범위를 계산할 수 있습니다.
02
구조를 읽는 기준
핵심 개념
Sector LBA Partition Table Boot Signature Filesystem
도구 화면과 원시 바이트의 값을 함께 확인합니다.
Sector디스크의 기본 읽기 단위
LBA섹터 위치 번호
Partition Table시작 위치와 크기
Boot Signature구조 확인 표식
Filesystem파일 배치 규칙
03
실습 이미지 정보 확인
관련 명령어
file disk.img sha256sum disk.img fdisk -l disk.img mmls disk.img 원본을 마운트해 바꾸지 않고 도구로 파티션 구조를 조회합니다.
$ file disk.img
$ sha256sum disk.img
$ fdisk -l disk.img
$ mmls disk.img
04
수정 전 전체 이미지를 복제하기
보안 관점
위험 요소 확인 기준 대응 원칙
파티션 값 하나를 잘못 쓰면 남은 데이터까지 접근하기 어려워질 수 있습니다.
수동 복구는 계산 근거와 변경 전후 해시, 도구 결과를 기록하고 반드시 복제본에서 수행합니다.
파티션이 보이지 않는다고 데이터가 모두 사라진 것은 아니다. 구조와 내용은 따로 확인하자.
CHAPTER REVIEW
이번 장에서 기억할 한 문장
복구는 값을 바로 고치는 작업이 아니라 원본 구조를 계산하고 복제본에서 검증하는 과정이다.