Windows forensic/Forensic Basics
NTFS의 개념과 VBR, MFT
hanbunny
2025. 2. 6. 14:33
NTFS
NTFS(New Technology File System)는 FAT를 대체하기 위해 나온 파일 시스템이다.
윈도우 NT이후 부터 사용됐음.
FAT보다 용량, 보안 부분에서 우수하지만 NT 계열에서만 사용이 가능해 FAT보다는 호환성이 떨어진다.
NTFS 기반 부팅 과정
- POST → 하드웨어 초기화.
- MBR → 디스크와 부트로더 위치 결정.
- VBR → 부팅 프로세스의 상세 정보 확인.
- Ntldr.dll(XP)/Bootmgr(Vista,7) → CPU보호모드로 전환, 파일 시스템 로드, 부팅 옵션 설정.
- NTFS.sys → NTFS 파일 시스템 드라이버 로드.
- Ntoskrnl.exe → 장치 드라이버 초기화 및 시스템 준비.
- 운영 체제 실행 → 커널모드에서 사용자 모드로 전환 후 애플리케이션 실행.
NTFS 구조
모든 데이터는 파일 형태로 관리(관리 데이터, 디렉터리 등)
VBR은 고정된 위치한다.
MFT는 일반적으로 VBR 이후에 존재하지만 데이터 영역 어느 곳에 와도 무관하다.
그림과 같이 VBR의 0번 섹터가 부트 섹터이고 그외 나머지 섹터는 NTLDR위치 및 추가적인 부트 코드 정보이다.
VBR이 뭔데
Volume boot Record의 약자로 NTFS구조에서 가장 앞부분에 존재한다.
그림과 같이 VBR의 0번 섹터가 부트 섹터이고 그외 나머지 섹터는 NTLDR위치 및 추가적인 부트 코드 정보이다.
VBR의 크기는 클러스터의 크기와 동일하다.
즉, 클러스터의 크기가 커질수록 VBR이 차지하는 섹터의 수도 증가하게 된다.
| Cluster Size | VBR Size(Sector) |
| 512 bytes | 1 |
| 1 KB | 2 |
| 2 KB | 4 |
| 4 KB | 8 |
MFT
Master File Table의 약자로 NTFS 상에 존재하는 모든 파일의 MFT Entry의 모음이다.
NTFS는 파일, 디렉터리, 메타정보를 모두 파일 형태로 관리하는데, 각 파일의 위치, 속성, 시간정보, 이름 , 크기 등의 메타정보는 MFT Entry라는 특별한 구조로 저장한다.
MFT 영역은 파일시스템 상의 팡일 수에 따라 동적으로 할당한다.