아메바시큐리티

파티션과 볼륨 파티션 : 물리적으로 연속된 섹터의 집합 볼륨 : 논리적으로 연속된 섹터의 집합 볼륨의 개념이 파티션의 개념보다 더 크다. 파티션이면 볼륨이지만, 볼륨이 파티션이 아닐 수 있다. 파티션 사용의 이점 1) 시스템 파티션과 구분하여 데이터 저장이나 백업용으로 사용할 수 있다. 2) 하나의 시스템에 다양한 운영체제를 설치할 수 있다. 3) NTFS의 경우 MFT 크기 감소로 성능이 향상된다 4) 파일 탐색 시, 헤드 움직임 감소로 성능이 향상된다. * 예전에는 이와 같은 파티션을 많이 사용했으나, 현재는 파티션 대신 하나의 디스크를 더 사서 사용하는 방식을 사용한다. 디스크 한 개에는 하나의 헤드가 있기 때문에 파티션을 이용하여 하나의 헤드로 여러 파티션을 읽는 것은 성능이 아무래도 낮을 수 밖..

클러스터와 블록 Sector 단위로 데이터를 처리하게 될 경우, 처리해야하는 일이 너무 많고 데이터의 단편화가 발생하게 된다. 이를 여러개로 묶어서 관리하면 단편화를 최소화 할 수 있는 이때 Sector의를 묶은 것을 Cluster라고 한다. 4MB의 데이터를 작성하는데 Sector 단위로 처리하게될 경우 8192번을 해야 한다. 클러스터 단위로하면 1024번이다. 이와같이 클러스터나 블록 단위로 사용하게 되면 단펴화를 최소화할 수 있고 효율적인 것을 알 수 있다.

Slack 공간 물리적 구조와 논리적 구조의 차이로 발생하는 낭비되는 공간을 Slack 이라고 한다. Slack이 생성되는 것을 예시로 들어보면 아래와 같다. 먼저 클러스터 크기를 2048Byte, 섹터의 크기를 512Byte라고 가정하자. 700byte의 크기를 디스크에 쓰게 될경우, 디스크 컨트롤러에 존재하는 sector buffer가 512Byte 크기의 buffer를 0x00으로 초기화 하고, 쓰려고 했던 700Byte 중에서 512 Byte에 해당하는 크기를 sector1에 기록한다. 이후 다음 sector2 역시 0x00으로 초기화한 후, 남은 188 Byte를 쓴다. 그러면 sector2에는 188 Byte는 데이터로 쓰여지고, 남은 324Byte는 0으로 채워지게 되는데 이 영역을 RAM ..

섹터 주소 지정 방식이란? OS는 Cluster 단위로 데이터를 쓰고 지우고 할당하지만, Disk는 Sector단위로 저장장치에 접근해서 데이터를 읽거나 쓰는 구조이다. 이러한 Sector에 접근하기 위해서 Sector에 대한 전체 순서, 주소 위치 등을 알아야 하는데 이 때 사용하는 방식이 섹터 주소 지정 방식이다. 예전에는 CHS 방식을 많이 사용하였지만, 요즘에는 LBA방식을 많이 사용한다. CHS ( Cylinder Head Sector) 방식 실린더, 헤드, 섹터의 물리적은 구조를 기반으로 주소를 지정하는 방식이다. 예시) CHS(21, 3, 20) => 3번째 헤드를 21번째 실린더의 20번째 섹터로 이동한 후 정해진 크기 만큼 읽는 것 초창기에는 이러한 CHS 방식을 많이 사용하였지만, DI..

파일 시스템을 사용하는 이유 데이터는 파일의 형태로 저장장치에 저장되게 된다. 과학 기술이 발달하면서 저장장치의 공간이 커지게 되었고, 이에 따라 저장되는 파일의 수가 증가하게 되었다. 많은 양의 의 파일을 저장하기 위한 저장장치의 공간을 관리할 체계가 필요하게 되었고, 빠른 탐색 속도를 추구하게 되면서 파일 시스템이 필요해 졌다. 운영체제에 따른 파일 시스템 파일 시스템의 경우 전체적인 시스템이 비슷하기 때문에, 하나의 시스템을 잘 이해한다면 다른 파일 시스템을 이해하는 것이 어렵지 않다. 파일 시스템의 추상적 구조 대부분의 파일 시스템은 구역으로 나누어지지 않지만, 추사적으로 표현하면 위의 그림과 같다. META Area : 파일의 메타 정보(수정한 날짜, 크기, 유형,.. ) 등을 저장하고 있는 영..

저장장치의 물리적 구조 실제 디스크는 여러개의 플래터로 구성되어 있다. 이러한 플래터는 양면을 모두 사용하는데, 4개의 플래터가 있으면 8개의 면에 데이터를 기록할 수 있는 구조이다. 이를 기록할 때, 자기장의 N극과 S극을 이용하여 기록한다. N극에서 S극으로 바뀌는 경우 1, S극에서 N극으로 바뀌는 경우 0 으로 기록하며 이와 같이 극이 바뀌는 것을 자화반전 이라고 한다. * 이때, S인 경우 1 N인 경우 0 과 같이 사용하지 않는 이유는 자기장이 생성되어 간섭이 발생할 수 있기 때문이다. 파워 서플라이를 통해 메인보드에 전력이 공급되면, CPU 근처에 존재한는 클럭 발생기가 특정 시간을 기준으로 Volt를 보내고 이를 동기화해서 명령어를 하나씩 처리하게 된다. 이런 시스템은 디지털 체계에서만 동..

저장 장치의 추상적 구조 MBR (Maser Boot Record) - 모든 저장장치의 가장 처음에 존재하는 512 Byte 크기의 구조 - 디스크의 볼륨 정보, 볼륨 OS 정보, 볼륨 시작 위치 정보 등을 기록하고 있다. - MBR은 한번 생성되면 초기화 되지 않는다. MBR Slack - 저장장치의 시작인 MBR과 볼륨의 시작인 VBR 사이에 존재하는 낭비되는 공간. 초기에는 디스크를 track 단위로 포맷을 진행했는데, MBR이 존재하는 첫번째 track은 포맷되지 않는다. MBR은 1sector만을 차지 하기 때문에, 한 track에서 MBR을 제외한 공간들이 비어있다. 이 공간이 MBR Slack이다. - 악성코드 악용으로 사용될 수 있으며, 보안 솔루션이 이용하기도 하는 공간이다. - Wind..

디지털 포렌식이란? 디지털 포렌식 학회인 DFRWS에서는 디지털 포렌식을 아래와 같이 규명하고 있다. 범죄 재현이나 파괴적이고 비 인가된 행동들에 대한 예측을 손쉽게 하기 위해 디지털 증거물에 대한 보존, 수집, 확인, 식별, 분석, 해석, 기록, 현출을 과학적인 원리에 의해 도출되고 검증된 방법을 사용하여 수행하는 것 디지털 포렌식에 대한 정의는 각 기관이나 학회마다 조금씩 다르기 때문에, 명확한 정의는 없다. 필자는 "디지털 기기로부터 사건에 해당하는 데이터를 적법한 절차에 맞춰 조사 및 분석하고, 법정에서 사건의 사실을 규명하기까지의 절차" 라고 생각한다. 포렌식과 디지털 포렌식 비교 - Forensic Science : 범죄 사실을 규명하기 위해 각종 증거를 과학적으로 분석하는 분야 - Digit..