디지털 증거의 계층화 연구 paragraph_id 14561

‘물리계층’의 정보 보존을 위해서 정보저장매체를 전통적인 물리 형태의 증거로 보고 이에 준하여 보관하는 방법과 물리매체에 저장된 비트스트림(Bit Stream)을 사본 파일로 작성하여 보관하는 방법 두 가지가 있다. ‘상자계층’ 단위의 정보 보존은 ‘물리계층’에서 사본을 생성하는 방법과 유사하지만, 정보저장매체에 물리적으로 접근하여 사본을 작성하는 ‘물리계층’ 보존방식과 다르게 ‘상자계층’을 연결한 운영체제를 통하여 매체에 저장된 정보를 읽는 방식을 사용하여 비트스트림(Bit Stream)단위로 사본 파일로 작성한다. 이때 ‘상자’의 사용 용도와 저장 정보를 기준으로 관련 ‘상자’만 선별하는 것이 필요하다. ‘명칭계층’ 단위로 보존이 필요한 경우 수정이 금지된 형태의 가상 저장소에 담아 보존해야 한다. 이러한 저장소 중에 가장 널리 알려진 것은 EnCase에서 사용하는 Expert Witness File(EWF) 형식의 파일이다. 포렌식 전문 파일형식인 EWF 형태로 보존이 어려울 경우 가공하지 않은 RAW 형식의 임의 파일시스템을 생성하고 그 안에 정보를 담거나, 압축파일 형태로 정보를 묶는 방법도 고려할 수 있다. 그러나 압축파일 형태로 정보를 묶는 방법은 파일의 메타정보가 손실되기 때문에 권장하는 방법은 아니다.