aburgh/disk-arbitrator법의학 절차 지원을 위해 파일 시스템 마운트를 관리하는 Mac OS X 포렌식 유틸리티입니다.
Disk Arbitrator는 Mac OS X 포렌식 유틸리티로, 디스크 장치를 이미징하는 동안 올바른 포렌식 절차를 따르도록 사용자를 돕기 위해 설계되었습니다. Disk Arbitrator는 기본적으로 Disk Arbitration 프레임워크용 사용자 인터페이스로, 프로그램이 파일 시스템의 자동 마운트를 포함한 블록 저장 장치 관리에 참여할 수 있게 해줍니다. 활성화되면 Disk Arbitrator는 파일 시스템 마운트를 차단하여 읽기-쓰기로 마운트되어 증거 무결성을 침해하는 일을 방지합니다.
중요한 점은 Disk Arbitrator가 소프트웨어 쓰기 차단기가 아니라는 것입니다.---현재 연결된 장치의 상태를 변경하지 않으며, 새로 연결된 장치에 읽기 전용을 강제하지도 않습니다. 사용자는 여전히 "dd"와 같은 명령으로 디스크에 실수로 쓰지 않도록 주의해야 합니다. 이러한 이유로 가장 확실한 절차를 위해서는 하드웨어 또는 소프트웨어 쓰기 차단기가 여전히 바람직할 수 있습니다. Disk Arbitrator는 쓰기 차단기에 유용한 추가 기능을 더해 주며, 일반적인 포렌식 권장 사항인 "디스크 중재(disk arbitration) 비활성화"를 없앱니다.
컴파일된 실행 파일 링크는 releases 페이지에서 찾을 수 있습니다.
설치하려면 Disk Arbitrator 애플리케이션을 원하는 위치(예: /Applications)로 끌어다 놓으십시오.
선택적으로 로그인할 때마다 Disk Arbitrator가 자동으로 실행되도록 할 수 있습니다. 두 가지 방법이 있습니다:
시스템 환경설정의 사용자 및 그룹(또는 이전 OS X 버전의 계정) 환경설정 패널에 있는 로그인 항목에 Disk Arbitrator를 추가합니다.
포함된 "Install User Launch Agent" 기능(메뉴에서 접근 가능)을 사용합니다. 설치하면 시스템의 launchd가 로그인 시 로그인 항목과 마찬가지로 Disk Arbitrator를 자동으로 실행합니다. 또한 plist에는 launchd가 애플리케이션을 모니터링하고 충돌 또는 다른 이유로 종료될 경우 자동으로 다시 실행하도록 지시하는 설정이 포함되어 있습니다. 이는 로그인 중일 때 Disk Arbitrator가 항상 실행되고 있다는 가장 확실한 보장을 제공합니다.
실행하면 메뉴 막대 오른쪽의 상태 막대에 아이콘이 추가됩니다. 상태 막대 아이콘은 다음 세 가지 상태 중 하나를 나타냅니다:
녹색: 유틸리티가 활성화되어 있고 마운트 차단(Block Mounts) 모드입니다.
주황색: 유틸리티가 활성화되어 있고 읽기 전용(Read-only) 모드입니다.
회색: 유틸리티가 비활성화되어 있으며 연결된 디스크는 시스템에 의해 자동으로 마운트됩니다.
Disk Arbitrator는 디스크가 나타나고 사라지는 것을 지속적으로 모니터링하며 기본 창에서 디스크를 추적합니다. 새 디스크가 연결되면 시스템이 Disk Arbitrator에 알리고 디스크 볼륨 마운트를 거부할 기회를 줍니다. Disk Arbitrator는 다음과 같이 응답합니다:
비활성화된 경우 디스크 변경 사항을 관찰만 합니다.
활성화되고 마운트 차단 모드인 경우, 볼륨을 마운트하려는 모든 새로운 시스템 시도를 단순히 거부합니다.
활성화되고 읽기 전용 모드인 경우, 원래의 마운트 동작을 거부하고 자체적으로 볼륨 마운트 요청을 자동으로 보내지만, 마운트에 파일 시스템을 읽기 전용으로 만드는 옵션이 포함되도록 합니다. 또한 파일 시스템 유형을 확인하고 HFS인 경우 저널을 무시하는 플래그를 포함합니다.
참고: Disk Arbitrator는 마운트 프로세스에 적극적으로 참여하여 작업을 수행합니다. 유틸리티가 비활성화되거나 종료되어 실행되고 있지 않으면 연결된 디스크의 자동 마운트로부터 보호되지 않습니다. 그러나 디스크가 나타나고 마운트 또는 마운트 거부 프로세스가 완료되면 디스크 상태에 영향을 주지 않고 Disk Arbitrator를 종료해도 됩니다.
버전 0.3.0부터 Disk Arbitrator는 디스크 이미지를 지원합니다.
Disk Arbitrator의 Attach Disk Image 기능을 사용하면 디스크 이미지 연결이 효과적으로 조정됩니다. 메뉴에서 "Attach Disk Image..."를 선택하면 디스크 이미지 연결 및 마운트를 위한 추가 옵션이 포함된 열기 패널이 나타납니다. 기본값은 디스크 이미지만 연결하는 것입니다. "Open" 버튼을 클릭하면 Disk Arbitrator가 hdiutil을 사용하여 디스크를 연결합니다. 연결되면 Disk Arbitrator의 일반적인 동작이 적용되므로, 활성화되어 있고 모드가 읽기 전용으로 설정된 경우 디스크 이미지의 볼륨이 읽기 전용으로 마운트됩니다. 모드가 마운트 차단으로 설정된 경우 볼륨은 무시됩니다.
디스크 이미지 열기 패널에는 Disk Arbitrator가 활성화되어 있지 않고 디스크 이미지를 편리하게 연결하기 위한 용도로 사용되는 경우 디스크 이미지 마운트를 시도하는 옵션이 포함되어 있습니다. 마운트 옵션을 사용하면 Disk Arbitrator가 hdiutil에 "-mount optional"을 전달하며, 이는 디스크 이미지의 연결 및 마운트를 시도하지만 마운트가 실패하면 디스크 이미지가 분리되지 않는다는 이점이 있습니다.
Disk Arbitrator는 또한 드래그 앤 드롭으로 디스크 이미지를 연결하는 것을 지원합니다. Finder 창에서 하나 이상의 디스크 이미지를 Disk Arbitrator의 디스크 목록으로 끌어다 놓기만 하면 디스크 이미지 연결이 시작됩니다. 드래그 앤 드롭을 사용할 때 기본 옵션에는 "-mount optional"이 포함되어 있어 마운트도 시도됩니다. 마운트가 실패하면 디스크 이미지는 연결된 상태로 유지되며 수동으로 마운트할 수 있습니다.
참고:
Disk Arbitrator 외부에서 Finder에서 디스크 이미지를 이중 클릭하거나 hdiutil attach를 사용하여 디스크 이미지를 연결하고 마운트하려고 시도하면 이전과 동일하게 동작합니다: 디스크 이미지가 연결되고, 시스템이 마운트를 시도하며, Disk Arbitrator가 마운트를 거부하고, 마운트가 실패했기 때문에 디스크 이미지가 분리됩니다.
소프트웨어 사용권 계약이 포함된 디스크 이미지가 연결되면 Disk Arbitrator는 계약에 자동으로 "Yes"라고 응답합니다. 구매자 주의(Caveat Emptor).
읽기 전용 모드로 설정되면 Disk Arbitrator가 보내는 마운트 요청에는 저널을 무시하는 옵션이 포함됩니다. 이는 HFS 파일 시스템이 마운트 해제 없이 마지막으로 분리된 경우(예: 시스템이 충돌했거나 외장 드라이브를 꺼내지 않고 분리한 경우)에 유용합니다. 깨끗하게 꺼내지지 않은 디스크로 작업하는 경우, 읽기 전용으로 연결하려는 시도는 일반적으로 실패합니다. HFS는 저널을 재생해야 한다는 것을 알고 있지만 변경을 허용하지 않기 때문에 마운트에 실패하기 때문입니다.
더티 파일 시스템이 있는 디스크 이미지를 마운트하는 것은 섀도 파일(shadow file)을 사용하여 수행할 수 있지만 이상적이지는 않습니다. 섀도 파일은 원본 디스크 이미지를 변경으로부터 보호하지만 파일 시스템은 읽기-쓰기로 마운트됩니다. 더 나은 옵션은 터미널을 사용하여 두 단계를 수동으로 실행하는 것입니다:
hdiutil attach -nomount disk_image.dmgmount_hfs -j -o rdonly /dev/diskx /mount/pathDisk Arbitrator는 두 번째 단계를 실행할 수 있는 편리한 방법을 제공하며, 향후 버전에서는 두 단계를 한 번의 작업으로 수행할 것입니다.