Digital Forensics

시간 역전 현상

geunyeong 2022. 2. 2. 22:41

Table of Contents

    Abstract

    시간 역전 현상이란 파일의 생성 시간이 수정 시간보다 더 나중인 현상을 말한다. 본 글에서는 복사와 옮기기 기능에서 생성 시간의 변화를 관찰함으로써 시간 역전 현상이 발생하는 조건을 실험으로 알아보고자 한다. 파일을 복사하는 경우엔 생성 시간이 변화했지만 옮기기의 경우에는 다른 디스크로 옮긴다고 하더라도 생성 시간이 유지되는 모습을 볼 수 있었다.

    Time Reversal Phenomenon

    Overview & Motivation

    시간 역전 현상이란 파일의 생성 시간이 수정 시간보다 더 나중인 현상을 말한다. 이는 주로 파일을 복사할 때 발생하는데, 현상 자체가 단순하다 보니 글이 많지가 않다. 시간 역전 현상이 발생하는 조건을 확실하게 알아보기 위해 본 테스트를 진행하게 됐다.

    Test Cases & Environment

    시간 역전 현상을 테스트 할 케이스는 총 3가지다. (1) 하나의 디스크 내에서 동일한 볼륨으로 복사할 때, (2) 하나의 디스크 내에서 서로 다른 볼륨으로 복사할 때, (3) 서로 다른 디스크에 존재하는 다른 볼륨으로 복사할 때다.

    테스트는 Windows 11에서 진행되었으며, 디스크로는 내장 스토리지인 SSD와 외장 스토리지인 외장 HDD를 사용했다. 내장 스토리지는 각각 약 500 GB로 파티셔닝된 NTFS 볼륨이 존재하며 C:, D: 드라이브 레터와 매핑된다. 외장 스토리지는 2 TB 크기의 NTFS 단일 볼륨을 가지며 E: 드라이브 레터에 매핑된다.

    Test Cases 개요도

    복사할 테스트 파일은 PNG 포맷의 145,959 바이트 크기 이미지 파일이다. 각 볼륨마다 루트 디렉토리 밑에 test 디렉토리를 생성하고, 각 test 디렉토리로 복사하며 테스트를 진행한다. 생성 시간과 수정 시간은 2022년 2월 2일 22시 11분이다.

    테스트 파일

    Copy & Paste

    Same Volume, Same Disk

    C:\test 폴더에 저장된 image.png를 동일한 폴더로 복사했다. 복사된 파일인 "image - 복사본.png"의 수정 시간은 변하지 않았지만 생성 시간은 5분 뒤인 16분으로 변했다.

    동일한 볼륨으로 복사한 경우

    Different Volume, Same Disk

    다음은 디스크 장치는 동일하나 다른 볼륨으로 복사한 경우다. 이 경우도 마찬가지로 수정 시간은 변하지 않았지만 생성 시간은 8분 뒤인 19분으로 변했다.

    다른 볼륨으로 복사한 경우

    Different Volume, Different Disk

    물리적으로 다른 디스크에 복사할 때도 생성 시간만 변하고 수정 시간은 변하지 않았다. 생성 시간은 12분 뒤인 23분으로 변했다.

    다른 디스크의 다른 볼륨으로 복사한 경우

    Cut & Paste

    복사의 경우에는 모든 케이스에서 생성 시간이 변했다. 여기서 '잘라내기' 기능을 통해 옮긴다면(즉 아에 다른 폴더로 옮긴다면) 어떤 결과가 나타날지 궁금해졌다. 테스트 케이스는 복사와 마찬가지로 동일 볼륨, 동일 디스크-다른 볼륨, 다른 디스크-다른 볼륨이다.

    Same Volume, Same Disk

    test2 폴더를 만들어 test2 폴더로 옮겼다. 예상한 대로 생성 시간과 수정 시간 모두 달라지지 않았다.

    동일 볼륨내에서 다른 폴더로 옮기기

    Different Volume, Same Disk

    다른 볼륨으로 옮긴 경우에도 생성 시간의 변화는 없었다.

    다른 볼륨으로 옮기기

    Different Volume, Different Disk

    물리적으로 다른 디스크의 다른 볼륨으로 옮긴 경우에도 생성 시간은 변하지 않았다.

    다른 디스크-다른 볼륨으로 옮기기

    Close

    반전은 없었다. 파일을 복사하는 경우엔 세가지 케이스 모두 생성시간이 변하는 걸 볼 수 있었다. 하지만 복사가 아닌 옮기기의 경우에는 볼륨이 달라도, 디스크가 달라도 생성 시간이 유지되는 걸 볼 수 있었다.