가상머신 테스트 데이터 세트 구축

Digital Forensic Wikipedia
둘러보기로 가기 검색하러 가기


  • 운영체제 설치
  • Office 프로그램 설치 및 사용
  • 웹 브라우저 설치 및 사용, 아티팩트 기록
  • 외부 저장장치 사용
  • E-mail Client 설치 및 사용

가상머신을 구성하기 위한 소프트웨어로 VMware를 사용하였으며 VMware의 기본 설치방법으로 설치하였다. 가상머신을 구성한 시스템의 환경은 [표 1]과 같다.

[표 1] 가상머신 시스템 환경
시스템 환경
OS CPU RAM VMware 버전
Windows Server 2008 R2 Intel Xeon E5-2620
(2.00GHz)		 32 GB 9.0.0 build-812388


운영체제 설치[편집]

각 가상머신은 운영체제에서 권장하는 파일시스템을 기반으로 생성되었다. [표 2]는 구축한 가상머신에 대한 정보를 정리한 것이다. 가상머신의 크기와 파일시스템, 운영체제 버전 등을 확인할 수 있다.

[표 2] 테스트 데이터 세트 - 가상머신
OS Type OS Name ver File System Size
(GB)		 RAM
(GB)
Windows Windows XP Professional K SP3 NTFS 20 2
NTFS 20
Windows 7 Enterprise K 32-bit SP1 NTFS 30
NTFS 30
FAT32 5
Windows 7 Enterprise K 64-bit SP1 NTFS 20
NTFS 20
Linux Ubuntu 10.04 Desktop 32-bit 10.04.4 EXT4 20
Ubuntu 10.04 Desktop 64-bit 10.04.4 EXT4 20
MAC OS MAC OS X Mountain Lion 10.8.1 HFS+ 20


Office 프로그램 설치 및 사용[편집]

오피스 프로그램 환경을 구축하기 위해 MS Office 2007, MS Office 2013, 한글과 컴퓨터 2007, 한글과 컴퓨터 2010, Adobe Acrobat 9 Pro를 사용하였다. [표 3]는 가상머신에 설치한 오피스 프로그램의 정보를 정리해 놓은 표이다. 각 운영체제 별 오피스 프로그램의 설치시간을 확인할 수 있다.

[표 3] 오피스 프로그램의 설치 시간 - 가상머신
운영체제 - 프로그램 Win XP Win 7
32-bit		 Win 7
64-bit		 MAC OS
MS Office 2007 2014.10.01 09:07 2014.10.02 13:43 2014.10.01 18:35 -
MS Office 2013 설치불가 2014.10.02 13:58 2014.10.01 19:00
한글과 컴퓨터 2007 2014.10.01 11:23 2014.10.02 14:14 2014.10.01 19:16
한글과 컴퓨터 2010 2014.10.01 13:40 2014.10.02 14:32 2014.10.01 19:23
Adobe Acrobat 9 Pro 2014.10.01 17:15 2014.10.02 14:52 2014.10.01 19:27 2014.10.05 15:25
한글 뷰어 - 2014.10.0215:57


웹 브라우저 설치 및 사용, 아티팩트 기록[편집]

웹 브라우저 환경을 구축하기 위해 인터넷 익스플로러, 크롬, 파이어폭스, 오페라, 사파리를 사용하였다. [표 4]는 가상머신에 설치된 웹 브라우저 목록을 나타낸 표이다. 설치된 웹 브라우저 명과 버전을 확인할 수 있다.

[표 4] 설치된 웹 브라우저 목록 - 가상머신
OS Internet Explorer Chrome Firefox Opera Safari
Win XP Internet Explorer 8 Chrome 37.0 Firefox 32.0.3 Opera 24.0 Safari 5.1.7
Win 7 32-bit Internet Explorer 10 Chrome 37.0 Firefox 32.0.3 Opera 24.0 Safari 5.1.7
Win 7 64-bit Internet Explorer 11 Chrome 37.0 Firefox 32.0.3 Opera 24.0 Safari 5.1.7
Ubuntu 32-bit - Chrome 23.0 Firefox 32.0.3 Opera 12.16 -
Ubuntu 64-bit Chrome 23.0 Firefox 32.0.3 Opera 12.16
Mac OS Chrome 37.0 Firefox 32.0.3 Opera 24.0 Safari 6.0


웹 브라우저의 사용흔적을 남기기 위한 아티팩트로 히스토리, 캐쉬, 다운로드 목록, 로컬파일 열람목록, 쿠키 등이 존재한다. 웹 브라우저의 아티팩트를 생성하기 위해 설치된 웹 브라우저를 이용하여 [표 5]의 사용 흔적을 남겼다. 1번부터 4번까지의 항목은 Naver, Daum, Google에서 제공하는 포털사이트를 이용하여 아티팩트를 생성하였다.

[표 5] 웹 브라우저 아티팩트 생성
항목 사용흔적 목록
1 각 포털사이트의 실시간 검색어 순위를 이용하여 관련 기사와 블로그 열람
2 '오늘 날씨’의 키워드로 검색하여 날씨 정보와 관련 링크 열람
3 '맛집', '지역명'의 키워드로 검색하여 지도 열람
4 자동 로그인 기능을 사용하여 메일을 전송하고 로그아웃
5 pdf, doc, xls, ppt, hwp 파일을 다운로드 후 열람
6 G마켓, 옥션에서 의류를 검색하고 관심상품으로 추가
7 Yes24, 교보문고에서 책 검색 및 열람


웹 브라우저를 이용한 파일 다운로드는 50개 이상, 쿠키 생성은 10개 이상 생성하였다.


외부 저장장치 사용[편집]

외부 저장장치의 사용흔적을 남기기 위해 각 가상머신에 4개의 외부 저장장치(USB)를 연결하여 외부 저장장치 내에 있는 샘플 파일을 열람하였다. 총 8개의 샘플 파일을 사용하였으며 각 가상머신 별로 샘플 파일의 열람흔적을 정리하였다. 리눅스의 경우 외부 저장장치의 연결시각을 정리하였다. [표 6]는 Windows XP의 외부 저장장치 사용 흔적을 정리한 목록이다. USB 장치명, 열람한 샘플파일의 파일명, 열람시각을 알 수 있다.

[표 6] 외부 저장장치 사용 흔적 - Win XP
USB 이름 파일명 열람시각
TEST TEST_97-2003.doc 2014.10.24 16:19
TEST_97-2003.xls 2014.10.24 16:19
TEST_97-2003.pptx 2014.10.24 16:19
TEST.hwp 2014.10.24 16:21
01.Intro2SE(GIS).pdf 2014.10.24 16:35
Test.docx 2014.10.24 16:19
TEST.xlsx 2014.10.24 16:20
TEST.pptx 2014.10.24 16:20
T7 38 TEST_97-2003.doc 2014.10.24 16:22
TEST_97-2003.xls 2014.10.24 16:23
TEST_97-2003.pptx 2014.10.24 16:23
TEST.hwp 2014.10.24 16:24
01.Intro2SE(GIS).pdf 2014.10.24 16:37
Test.docx 2014.10.24 16:23
TEST.xlsx 2014.10.24 16:23
TEST.pptx 2014.10.24 16:24
Elemets 1042 TEST_97-2003.doc 2014.10.24 16:41
TEST_97-2003.xls 2014.10.24 16:42
TEST_97-2003.pptx 2014.10.24 16:42
TEST.hwp 2014.10.24 16:42
01.Intro2SE(GIS).pdf 2014.10.24 16:42
Test.docx 2014.10.24 16:42
TEST.xlsx 2014.10.24 16:42
TEST.pptx 2014.10.24 16:43
USB Flash Disk TEST_97-2003.doc 2014.10.24 16:43
TEST_97-2003.xls 2014.10.24 16:43
TEST_97-2003.pptx 2014.10.24 16:44
TEST.hwp 2014.10.24 16:44
01.Intro2SE(GIS).pdf 2014.10.24 16:44
Test.docx 2014.10.24 16:44
TEST.xlsx 2014.10.24 16:45
TEST.pptx 2014.10.24 16:45


[표 7]은 Windows 7 32-bit의 외부 저장장치 사용 흔적을 정리한 목록이다.

[표 7] 외부 저장장치 사용 흔적 - Win 7 (32-bit)
USB 이름 파일명 열람시각
TEST TEST_97-2003.doc 2014.10.24 17:05
TEST_97-2003.xls 2014.10.24 17:06
TEST_97-2003.pptx 2014.10.24 17:06
TEST.hwp 2014.10.24 17:07
01.Intro2SE(GIS).pdf 2014.10.24 17:07
Test.docx 2014.10.24 17:06
TEST.xlsx 2014.10.24 17:07
TEST.pptx 2014.10.24 17:07
T7 38 TEST_97-2003.doc 2014.10.24 17:09
TEST_97-2003.xls 2014.10.24 17:09
TEST_97-2003.pptx 2014.10.24 17:09
TEST.hwp 2014.10.24 17:11
01.Intro2SE(GIS).pdf 2014.10.24 17:11
Test.docx 2014.10.24 17:09
TEST.xlsx 2014.10.24 17:10
TEST.pptx 2014.10.24 17:11
Elemets 1042 TEST_97-2003.doc 2014.10.24 16:55
TEST_97-2003.xls 2014.10.24 16:55
TEST_97-2003.pptx 2014.10.24 16:56
TEST.hwp 2014.10.24 16:57
01.Intro2SE(GIS).pdf 2014.10.24 16:57
Test.docx 2014.10.24 16:56
TEST.xlsx 2014.10.24 16:56
TEST.pptx 2014.10.24 16:56
USB Flash Disk TEST_97-2003.doc 2014.10.24 16:53
TEST_97-2003.xls 2014.10.24 16:53
TEST_97-2003.pptx 2014.10.24 16:54
TEST.hwp 2014.10.24 16:54
01.Intro2SE(GIS).pdf 2014.10.24 17:01
Test.docx 2014.10.24 16:51
TEST.xlsx 2014.10.24 16:51
TEST.pptx 2014.10.24 16:52


[표 8]은 Windows 7 64-bit의 외부 저장장치 사용 흔적을 정리한 목록이다.

[표 8] 외부 저장장치 사용 흔적 - Win 7 (64-bit)
USB 이름 파일명 열람시각
TEST TEST_97-2003.doc 2014.10.24 17:16
TEST_97-2003.xls 2014.10.24 17:16
TEST_97-2003.pptx 2014.10.24 17:16
TEST.hwp 2014.10.24 17:18
01.Intro2SE(GIS).pdf 2014.10.24 17:18
Test.docx 2014.10.24 17:17
TEST.xlsx 2014.10.24 17:18
TEST.pptx 2014.10.24 17:18
T7 38 TEST_97-2003.doc 2014.10.24 17:09
TEST_97-2003.xls 2014.10.24 17:09
TEST_97-2003.pptx 2014.10.24 17:09
TEST.hwp 2014.10.24 17:11
01.Intro2SE(GIS).pdf 2014.10.24 17:11
Test.docx 2014.10.24 17:09
TEST.xlsx 2014.10.24 17:10
TEST.pptx 2014.10.24 17:11
Elemets 1042 TEST_97-2003.doc 2014.10.24 17:23
TEST_97-2003.xls 2014.10.24 17:23
TEST_97-2003.pptx 2014.10.24 17:24
TEST.hwp 2014.10.24 17:24
01.Intro2SE(GIS).pdf 2014.10.24 17:25
Test.docx 2014.10.24 17:24
TEST.xlsx 2014.10.24 17:24
TEST.pptx 2014.10.24 17:24
USB Flash Disk TEST_97-2003.doc 2014.10.24 17:38
TEST_97-2003.xls 2014.10.24 17:38
TEST_97-2003.pptx 2014.10.24 17:38
TEST.hwp 2014.10.24 17:40
01.Intro2SE(GIS).pdf 2014.10.24 17:39
Test.docx 2014.10.24 17:39
TEST.xlsx 2014.10.24 17:39
TEST.pptx 2014.10.24 17:39


[표 9]는 Mac OS의 외부 저장장치 사용 흔적을 정리한 목록이다.

[표 9] 외부 저장장치 사용 흔적 - Win 7 (64-bit)
USB 이름 파일명 열람시각
TEST TEST.hwp 2014.10.24 17:35
01.Intro2SE(GIS).pdf 2014.10.24 17:35
T7 38 TEST.hwp 2014.10.24 17:34
01.Intro2SE(GIS).pdf 2014.10.24 17:35
Elemets 1042 TEST.hwp 2014.10.24 17:31
01.Intro2SE(GIS).pdf 2014.10.24 17:31
USB Flash Disk TEST.hwp 2014.10.24 17:33
01.Intro2SE(GIS).pdf 2014.10.24 17:32


[표 10]은 Ubuntu 32-bit의 외부 저장장치 연결 시각을 정리한 목록이다.

[표 10] 외부 저장장치 사용 흔적 - Ubuntu (32-bit)
USB 이름 열결시각
TEST 2014.10.24 18:49
T7 38 2014.10.24 18:50
Elemets 1042 2014.10.24 18:52
USB Flash Disk 2014.10.24 18:51


[표 11]은 Ubuntu 64-bit의 외부 저장장치 연결 시각을 정리한 목록이다.

[표 11] 외부 저장장치 사용 흔적 - Ubuntu (64-bit)
USB 이름 열결시각
TEST 2014.10.24 18:49
T7 38 2014.10.24 18:50
Elemets 1042 2014.10.24 18:52
USB Flash Disk 2014.10.24 18:51


E-mail Client 설치 및 사용[편집]

가상머신에 E-mail 아티팩트를 생성하기 위한 E-mail 클라이언트로 Outlook Express, Windows Live Mail 2012, Microsoft Outlook, Eudora, Mozila Thunderbird, The Bat!을 이용하였다. [표 12]는 가상머신에 설치된 E-mail Client 목록이다. 각 운영체제 별 클라이언트의 설치여부와 클라이언트의 버전을 확인할 수 있다. Windows 7 (64-bit)의 경우 디스크 용량 문제로 Windows Live Mail 2012, Eudora, Mozila Thunderbird 클라이언트를 설치하지 않았다.

[표 12] 가상머신에 설치된 E-mail Client 목록
Client Win XP Win 7 32-bit Win 7 64-bit Ubuntu 32-bit Ubuntu 64-bit Mac OS
Outlook Express 6.00.2900.5512 -
Windows Live Mail 2012 - 16.4.3528.0331 - - - -
Microsoft Outlook 2007 KR 2013 KR 2013 KR - - 2011 EN
Eudora 1 1 - 1 1 1
Mozila Thunderbird 31.2.0 31.2.0 - 31.2.0 31.2.0 31.2.0
The Bat! 6.7.2 6.7.2 6.7.2 6.7.2 6.7.2 6.7.2


[표 13]은 E-mail Client의 설치시각을 나타낸 표이다. 각 운영체제 별 클라이언트의 설치여부와 클라이언트의 버전을 확인할 수 있다.

[표 13] E-mail Client의 설치시각
Client Win XP Win 7 32-bit Win 7 64-bit Ubuntu 32-bit Ubuntu 64-bit Mac OS
Outlook Express 14.09.30 13:17:58 .
Windows Live Mail 2012 - 14.10.28 15:18:57 - - - -
Microsoft Outlook 14.10.01 09:55:45 14.11.07 16:30:14 14.10.01 19:01:41 - - 14.10.29 09:41:41
Eudora 14.10.27 15:50:21 14.10.28 14:13:03 - Portable Portable Portable
Mozila Thunderbird 14.10.27 15:57:55 14.10.28 14:34:01 - Portable Portable Portable
The Bat! Portable Portable Portable Portable Portable Portable


Eudora, Mozila Thunderbird, The Bat! 클라이언트는 포터블 버전으로 사용하였으므로 설치시각을 표시하지 않았다. E-mail Client를 이용하여 생성된 아티팩트의 경로는 각 운영체제별로 정리하였다. [표 14]는 Windows XP의 E-mail Client 아티팩트 경로를 나타낸 표이다.

[표 14] E-mail Client의 아티팩트 경로 - Win XP
Client Artifact Path
Outlook Express C:\Documents and Settings\Administrator\Local Settings\Application Data\Identities\{BDA93388-2ED4-434A-BBB3-C02676E6F7E0}\Microsoft\Outlook Express
Windows Live Mail 2012 -
Microsoft Outlook C:\Documents and Settings\Administrator\Local Settings\Application Data\Microsoft\Outlook
Eudora C:\Documents and Settings\Administrator\Application Data\Thunderbird\Profiles\sbhahnox.default\Mail\pop.googlemail-1.com
Mozila Thunderbird C:\Documents and Settings\Administrator\Application Data\Thunderbird\Profiles\sbhahnox.default\Mail\pop.googlemail-1.com
The Bat! C:\Documents and Settings\Administrator\Local Settings\Application Data\The Bat!\Mail\tempforensic@gmail.com


[표 15]는 Windows 7 (32-bit)의 E-mail Client 아티팩트 경로를 나타낸 표이다.

[표 15] E-mail Client의 아티팩트 경로 - Win 7 (32-bit)
Client Artifact Path
Outlook Express -
Windows Live Mail 2012 C:\Users\DFRC\Documents\Outlook 파일
Microsoft Outlook C:\Users\DFRC\AppData\Local\Microsoft\Windows Live Mail\Gmail (temp 311
Eudora C:\Users\DFRC\AppData\Roaming\Thunderbird\Profiles\kqm704gv.default\Mail\pop.gmail.com
Mozila Thunderbird C:\Users\DFRC\AppData\Roaming\Thunderbird\Profiles\kqm704gv.default\Mail\pop.gmail.com
The Bat! C:\Users\DFRC\AppData\Roaming\The Bat!\Mail\tempforensic@gmail.com


[표 16]은 Windows 7 (64-bit)의 E-mail Client 아티팩트 경로를 나타낸 표이다. 디스크 용량 문제로 설치하지 못한 Windows Live Mail 2012, Eudora, Mozila Thunderbird 클라이언트는 해당경로에 아티팩트만 복사하였다.

[표 16] E-mail Client의 아티팩트 경로 - Win 7 (64-bit)
Client Artifact Path
Outlook Express -
Windows Live Mail 2012 C:\Users\DFRC\Documents\Outlook 파일
Microsoft Outlook C:\Users\DFRC\AppData\Local\Microsoft\Windows Live Mail\Gmail (temp 311
Eudora C:\Users\DFRC\AppData\Roaming\Thunderbird\Profiles\kqm704gv.default\Mail\pop.gmail.com
Mozila Thunderbird C:\Users\DFRC\AppData\Roaming\Thunderbird\Profiles\kqm704gv.default\Mail\pop.gmail.com
The Bat! C:\Users\DFRC\AppData\Roaming\The Bat!\Mail\tempforensic@gmail.com


Ubuntu (32-bit)와 Ubuntu (64-bit)의 E-mail Client 아티팩트 경로는 동일하였다. [표 17]은 Ubuntu (32-bit)와 Ubuntu (64-bit)의 E-mail Client 아티팩트 경로를 나타낸 표이다.

[표 17] E-mail Client의 아티팩트 경로 - Ubuntu 32-bit & 64-bit
Client Artifact Path
Eudora /home/dfrc/.thunderbird/p8wmbcm0.default/Mail/pop.googlemail.com
Mozila Thunderbird /home/dfrc/.thunderbird/p8wmbcm0.default/Mail/pop.googlemail.com
The Bat! /home/dfrc/.The Bat!/Mail/tempforensic@gmail.com


[표 18]은 Mac OS의 E-mail Client 아티팩트 경로를 나타낸 표이다.

[표 18] E-mail Client의 아티팩트 경로 - Mac OS
Client Artifact Path
Microsoft Outlook /Users/dfrc/Documents/Office 2011 Identities
Eudora /Users/dfrc/Library/Thunderbird/Profiles/93c5nfd0.default/Mail/pop.googlemail.com
Mozila Thunderbird /Users/dfrc/Library/Thunderbird/Profiles/93c5nfd0.default/Mail/pop.googlemail.com
The Bat! /Users/dfrc/Library/TheBat!/Mail/tempforensic@gmail.com



원본 주소 "http://forensic.korea.ac.kr/DFWIKI/index.php?title=가상머신_테스트_데이터_세트_구축&oldid=7631"