MAC time 실습

소개글

포렌식을 하다보면 중요한건 사건의 시간이 중요하다. 이번 자료는 파일복사/이동을 운영체제별과 GUI, DOS모드등 다양한 방법에서 비교, 파일시스템 별 이동시 변화 등 을 테스트하고 스샷으로 깔끔하게 정리하였다.

목차

1. MAC Time 실습을 위한 환경 만들기

2. 탐색기(GUI)를 이용한 파일 복사/이동 (windows xp)

3. CMD(DOS)를 이용한 파일 복사/이동 (windows xp)

4. 탐색기를 이용한 폴더 이동시 폴더가 비어있는 경우와 있는 경우 차이 (windows 7)

5. 폴더 내 파일을 추가, 수정, 삭제, 복사, 이동 했을 때 타임스탬프 변화 (windows 7)

본문내용

### 테스트 전.. ###
※ windows7 OS에선 몇분전... 식의 표현방법으로 MACTime
보기 힘들고 폴더속성은 생성 시간밖에 표현되지 않으므로
Attribute Changer 툴을 이용해 쉽게 살펴보았다.
※ 리눅스는 stat /경로명 명령어로 탐색가능


#### 탐색기(GUI)를 이용한 파일 복사/이동 (windows xp) 결과 도출 ####
> 탐색기(GUI)를 이용한 파일 복사는 위치에 상관없이 접근 시간이 모두 변경된다.
> 탐색기(GUI)를 이용한 파일 이동은 FAT32->FAT32/sub NTFS-> FAT32만 접근 시간이 변경된다.

<중략>

포렌식을 하기위해 파일시스템 마다 필수적인 파일과 폴더에 대한 타임스탬프를 조사하는 과제로 그 것을 가지고 해커가 언제 무슨 파일을 사용하고 어떻게 이동했는가?를 조사하기 위해 꼭 필요하다. 이 과제를 하면서 운영체제와 서비스팩 마다 타임스태프가 틀려서 과제를 하는데 많은 어려움이 있었다. 그리고 FAT32는 엑서스 시간을 지원해주지 않아 NTFS간의 복사, 이동을 제외한 모든 엑서스 시간을 확실하게 결론을 지을 수가 없어서 아쉬웠고

참고 자료

윈도우 포렌식 실전 가이드 (사이버 수사를 위한 최고의 실무 지침서)
고원봉 / 한빛미디어 2010.10.28