07 · CHAPTER 04 · FORENSICS & RESPONSE
이름을 잃은
파일 찾기
파일 시그니처와 카빙을 이용해 파일 시스템 정보가 손상된 자료를 복구합니다.
실습 범위 안내 이 장의 확인 과정은 본인이 소유하거나 명시적으로 허가받은 교육·실습 환경에서만 수행합니다. 운영 시스템과 제3자의 장비에는 적용하지 않습니다.
FORENSICS & RESPONSE STUDY NOTE이름을 잃은 파일 찾기Signature · Carving · Metadata · Recovery
01
표지가 사라진 책장을 뒤진다면
핵심 용어
Signature Carving Metadata Recovery
내용의 시작과 끝 특징을 보고 책을 찾을 수 있지만 원래 어느 칸에 있었는지는 알기 어렵습니다.
파일 형식은 시작 부분의 헤더와 끝 표식, 내부 구조에 특징이 있습니다.
카빙 도구는 디스크의 연속 데이터를 찾아 파일을 복원하지만 단편화된 파일은 불완전할 수 있습니다.
02
복구 결과를 판단하는 기준
핵심 개념
Header Footer Structure Metadata Fragmentation
확장자만 붙었다고 정상 파일이라고 단정하지 않습니다.
Header파일 시작 시그니처
Footer파일 종료 표식
Structure형식 내부 규칙
Metadata이름·경로·시간 정보
Fragmentation데이터가 나뉘어 저장된 상태
03
복제 이미지에서 확인
관련 명령어
file recovered.bin xxd -l 32 recovered.bin exiftool recovered.bin sha256sum recovered.bin 파일 형식과 메타데이터를 읽고 복구본의 해시를 기록합니다.
$ file recovered.bin
$ xxd -l 32 recovered.bin
$ exiftool recovered.bin
$ sha256sum recovered.bin
04
복구 파일도 신뢰하지 않기
보안 관점
위험 요소 확인 기준 대응 원칙
악성 문서와 실행 파일이 함께 복구될 수 있으므로 격리된 분석 환경에서 다룹니다.
자동 실행과 미리보기를 끄고 원본·복구본·분석 결과의 경로를 분리합니다.
복구 성공은 파일이 열리는 것뿐 아니라 어떤 근거로 그 파일이라고 판단했는지 설명하는 것이다.
CHAPTER REVIEW
이번 장에서 기억할 한 문장
파일 카빙은 시그니처로 내용을 찾지만 원래 이름과 경로, 시간 같은 문맥은 잃을 수 있다.