파티션구별

Question

Ftk이미저에서 볼때 지피티 파티시스템에서 시스템에서 생성한파티션인지 사용자 생성파티션인지 ㅠ구별을 어떻게 하나요 유효한증거들이 있는 파티션을 구별하는 방법이 있을까요

nstyxn · Answer

안녕하세요 bug5003 님! 질문주신내용이 처음에는 정말 헷갈리고 개념 잡기가 어려운 부분입니다. 그런데 문제는 그에 대해서 한마디로 깔끔하게 명확한 기준을 드리기도 어려운게 사실입니다. 물론 확인을 위한 여러 체크포인트가 있지만 지금 그 내용을 말씀드리면 오히려 더 어려워지시기때문에 이 부분에 대해서는 일부러 말씀을 드리지 않겠습니다! 가장 확실한 방법은 여러번 보고 경험하는게 가장 빠르다는 원론적인 답변을 드릴수밖에 없을것 같습니다. 말도 안되는 소리같지만 정말 여러번 보고 경험을하다보면... 대충 보입니다 ; 너무 무책임한 답변인 것 같긴하지만 사실이 그렇습니다. 다만GPT 파티션의 경우 '일반적'으로 사용자가 실제 데이터 저장을 위해 사용하는 (윈도우즈 설치, 개인 데이터 저장 등)파티션외에 윈도우즈 설치시 자동으로 생성되는 파티션이 몇개 있습니다. 1) EFI System Partition(ESP) 2) Microsoft Reserved Partition(MSR) 보통 이정도인데, 이러한 이름을 가지고 있는 파티션들은 사용자의 데이터가 저장되지 않는 공간이므로 이런 파티션은 신경을 안쓰셔도 무방합니다. 다만 무조건 무시해도 된다는것은 아닙니다. 어디까지나 우리 시험의 경우로 한정해서 봐야하고, 범죄자가 파티션을 은닉하기 위해서 사용자 데이터 저장용 파티션의 이름을 위의 파티션들과 비슷하게 해서 눈속임을 하려고 하는 경우가 있을수가 있으니까요. 이런 눈속임도 시험에서는 절대 나오지 않는다라고 단정지을수는 없지만, 그래도 2급시험에서 이렇게까지 하지 않을거라고 우선은 가정하는 부분인점만 꼭 기억을 해주세요. 우선 지금은 공부를 막 시작한 초보의 입장에서 모든것을 다 하나하나 완벽하게 하기보다는 말씀드린것처럼 넘어갈수 있는것들은 우선은 넘어가고 나중에 조금 실력이 늘었을때 그때 자세히 보시는것을 추천드립니다! 위에 말씀드린 2개의 파티션(용량도 작은 편입니다)은 GPT 파티션에서 윈도우즈 설치시 자동생성되는 파티션이라 생각하시고 우선은 제외해주세요~ 보통 사용자 저장 파티션의 이름은 Basic Data Partition 이거나 사용자가 임의로 변경한, 시나리오나 사용자의 이름과 관련이 있거나, 일반적으로 사용하는 파티션명으로 변경해놓았을 가능성이 높습니다 (예: HGD(홍길동 이니셜), Data(데이터 파티션), Backup, Document, Project 등)

communityai8509 · Answer

안녕하세요, 인프런 AI 인턴입니다. bug5003님, GPT 파티션에서 시스템 파티션과 사용자 데이터 파티션을 구분할 때는 파티션의 GUID·볼륨명·파일시스템·저장된 폴더 구조·용량 을 함께 확인해야 합니다. EFI System Partition(ESP) : FAT32이며 보통 EFI\Microsoft\Boot 등의 부팅 파일이 있습니다. Microsoft Reserved Partition(MSR) : 파일시스템이 없고 용량이 작은 예약 영역입니다. Recovery Partition : 복구 관련 파일이 있으며, 비교적 작은 용량으로 구성되는 경우가 많습니다. Windows 시스템 파티션 : NTFS이며 Windows , Program Files , Users 폴더가 존재합니다. 사용자 생성 데이터 파티션 : NTFS 또는 exFAT인 경우가 많고, 문서·사진·동영상 등 사용자 파일이 저장됩니다. 다만 파티션의 용도는 이름이나 용량만으로 단정하기 어렵습니다. FTK Imager에서 파티션 정보를 확인한 뒤, 해당 파티션의 시작 섹터와 파일시스템을 확인하고 내부 폴더 및 파일을 함께 분석해야 유효한 증거가 있는 파티션인지 판단할 수 있습니다. GPT의 파티션 구조와 각 영역의 역할은 아래 기존 답변에서 자세히 설명하고 있습니다. GPT 파티션 복구와 관련하여 질문이 있습니다. 또한 FTK Imager가 파티션을 Recovered 로 표시하는 경우처럼, 파티션 테이블이나 GPT 정보가 손상되어 자동으로 복구된 것일 수도 있으므로 표시 상태만으로 정상 파티션인지 판단하지 않는 것이 좋습니다. 실습 시나리오 3번관련 저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다. 현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏 추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.