문서파일 내용 및 내부 구조 확인 유틸리티

Digital Forensic Wikipedia
DFRC (토론 | 기여)님의 2015년 1월 25일 (일) 17:26 판
(차이) ← 이전 판 | 최신판 (차이) | 다음 판 → (차이)
둘러보기로 가기 검색하러 가기

문서파일 내용 및 내부 구조 확인 유틸리티란 HWP, Microsoft Office, pdf 등의 문서 파일의 구조를 분석하고 정보를 제공하는 유틸리티를 말한다. 이 유틸리티를 통해 문서 파일의 숨겨진 데이터 탐색 및 분석과 문서 파일 생성날짜, 마지막 편집 날짜 확인을 할 수 있다. 또 문서 파일의 크기, 생성날짜, 수정날짜, 접근날짜, CRC32, MD5 정보를 알 수 있고, 문서 파일의 메타데이터 정보도 확인 할 수 있다. 본 절에서는 DocScrubber, Metadata Analyzer, Peepdf, OffVis, Structured Storage View (SSView)을 다룬다.


문서파일 내용 및 내부 구조 확인 유틸리티 기능 분석

문서파일 뷰어 기능들은 문서 내부 구조를 확인해주는 기능밖에 없다. 그래서 문서파일 뷰어의 성능을 비교 할 수 있는 종속변인이 없기 때문에 뷰어들이 제대로 잘 동작하는지 여부만 [표 1]와 같이 테스트 및 확인을 한다.

[표 1]문서 뷰어 유틸리티 테스트 데이터 세트 포함 기능
입력 파일 설명
doc 정상적으로 동작 여부
ppt
xls
docx
pptx
xlsx
pdf
hwp 2007
hwp 2014
스티커메모 파일 snt
점프리스트 파일
암호화된 doc 동작 여부
암호화된 ppt
암호화된 xls
암호화된 docx
암호화된 pptx
암호화된 xlsx
암호화된 pdf
암호화된 hwp 2007
암호화된 hwp 2014
손상된 doc
손상된 ppt
손상된 xls
손상된 docx
손상된 pptx
손상된 xlsx
손상된 pdf
손상된 hwp 2007
손상된 hwp 2014
손상된 점프리스트 파일


테스트 결과 Peepdf를 제외한 모든 뷰어들은 Windows XP, 7에서 정상 동작을 하였다. OffVis, SSView, CDFFA는 컴파운드 형식의 문서 파일의 경우 지원을 해준다. 이 3개의 뷰어는 모두 컴파운드 문서 파일에 대해서는 Windows XP, 7에서 테스트한 결과 정상적으로 동작하는 것을 확인하였다. 그런데 SSView는 스티커 메모 파일과 점프리스트 파일을 입력하면 Root Entry영역만 출력해준다. 반면, OffVis, CDFFA는 스티커 메모 파일과 점프리스트 파일을 입력 시 정상적으로 구조를 화면에 출력해주었다. 그러나 이 3개의 뷰어 중에서는 최신 버전의 문서인 docx, pptx, xlsx 파일에 대해서는 컴파운드 형식의 파일이 아니기 때문에 지원해주는 뷰어는 없었다.
암호화된 문서 파일에 대해서는 OffVis, SSView, CDFFA는 모두 정상적으로 출력해주었고, 데이터 영역이 암호화되어 있는 것을 확인 할 수 있었다. DocScrubber는 암호화된 doc파일에 대해서는 정상적인 동작을 하지 않았고, Metadata Analyzer는 암호화된 문서 파일을 입력시 암호를 입력해야 정상 동작을 하지만, 암호를 잘못입력하거나 입력하지 않은 경우에는 Scanning상태로 뷰어 동작이 멈추는 문제점이 있었다. 그리고 모든 뷰어들은 손상된 문서 파일 입력시 오류가 나타났으며, 정상적으로 동작하는 뷰어는 없었다. Peepdf는 Windows 8.1, Ubuntu에서 정상 동작 하는 것을 확인하였고, 암호화된 pdf파일과 손상된 pdf파일 입력시 정상적으로 동작하지 않았다.
위와 같은 테스트의 결과를 토대로 아래와 같은 종합적인 결론을 내릴 수 있다. doc파일에 대해서 빠른 메타데이터 분석을 원하는 상황에서는 DocScrubber를 이용하고, doc, xls, ppt, pdf에 대한 빠른 메타데이터 분석을 원하는 상황에서는 Metadata Analyzer를 이용하면 된다.
컴파운드 파일을 입력해서 분석해야하는 경우에는 OffVis, SSView, CDFFA를 이용하는 것이 좋다. 이 중 입력한 컴파운드 파일을 직접 편집해야할 경우에는 OffVis, SSView를 이용하는 것이 좋다. 그리고 OffVis, SSView, CDFFA는 pdf파일을 지원해주지 못하기 때문에 pdf파일 분석은 Peepdf로 하면 된다.