
| 브라우저 아티팩트 | 획득 가능 정보 | 사용자 행위 |
| History | URL 방문 목록, URL 방문 횟수, URL 방문 시각, 다운로드 목록 | 웹 사이트 검색, 파일 다운로드 |
| Cache | 방문한 웹사이트에 대한 이미지, 텍스트, 스크립트 등 | 웹 사이트 검색, 로그인 |
| 영상 시청 등 전반 | ||
| Cookies | 사용자 계정에 대한 Cookie | 웹 사이트 로그인 |
| Bookmarks | 사용자 북마크 지정 목록 | 웹 사이트 검색 |
| 브라우저 | 브라우저 아티팩트 경로 |
| Chrome | %UserProfile%\AppData\Local\Google\Chrome\User Data\profile |
| Edge | %UserProfile%\AppData\Local\Microsoft\Edge\User Data\profile\Cache |
| Whale | %UserProfile%\AppData\Local\Naver\Naver Whale\User Data\profile\Cache |
| IE(Internet Explorer) | %UserProfile%\AppData\Local\Microsoft\Windows\WebCache\WebCacheV##.dat |
| 변수 이름 | 변수 값 (자주사용되는 환경 변수) |
| %AppData% | C:\Users\${USERNAME}\Roaming |
| %HomePath% | C:\Users\${USERNAME} |
| %UserProfile% | |
| %LocalAppData% | C:\Users\${USERNAME}\AppData\Local |
| %SystemRoot% | C:\Windows |
| %Temp% | C:\Users\${USERNAME}\AppData\Local\Temp |

| 아티팩트 경로 | 설명 |
| Google Profile Picture | 프로필 사진 |
| History | 사용자 브라우저 이용 기록. 방문 URL 목록, 횟수, 다운로드 목록 등 많은 정보를 포함 |
| Bookmarks | 사용자가 지정한 북마크 목록과 시간 값 포함 |
| Favicons | 사용자가 방문한 웹사이트의 Favicons 목록 및 데이터. 사용자가 방문한 웹사이트를 추측 가능함. |
| Login Data | 사용자가 Chrome에 저장한 자동 로그인 목록 및 데이터. 웹사이트와 아이디는 획득 가능하지만, 패스워드는 암호화되어 저장됨. |
| Network Action Predictor | URL 검색 과정에서 페이지를 미리 로드하는 기능. 사용자 검색 환경에서 어떤 데이터가 자동 환경되었을지 추측할 수 있는 데이터 |
| Shortcuts | Google 검색 환경에서 자동으로 웹사이트를 추천하는 바로가기 기능을 제공하는 데이터. 사용자 검색 환경을 추측할 수 있는 데이터 |
| Web Data | 아이디, 패스워드, 전화번호 등 입력 창에서 자동 완성되는 데이터. 사용자의 개인정보를 알아낼 수 있는 필드 |
| Cache\Cache_Data\ | 브라우저 이용 중 임시로 저장되는 캐시 데이터 |
| Extensions\ | Chrome 확장 프로그램 데이터 |
| File System\ | 브라우저 이용 중 임시로 다운로드되는 사진 등 미디어 데이터 |
| IndexedDB\ | 각 웹사이트에서 사용자의 브라우저에 저장하는 데이터 |
| Local Storage\leveldb\ | 각 웹사이트에서 사용자의 브라우저에 저장하는 데이터 |
| Network\Cookies | 사용자가 각 웹사이트에서 가지는 쿠키값 |





<위쪽 화면>
| 속성 | 설명 |
| Filename | 프리패치 파일 이름 |
| Created Time | 프리패치 생성 시각 (=응용프로그램 최초 실행 시각) |
| Modified Time | 프리패치 변경 시각 (=응용프로그램 마지막 실행 시각) |
| File Size | 프리패치 파일 크기 |
| Process EXE | 응용프로그램(EXE) 이름 |
| Process Path | 응용프로그램 경로 → 응용프로그램이 실행된 볼륨의 정보를 알 수 있음 |
| Run Counter | 응용프로그램 실행 횟수 |
| Last Run Time | 응용프로그램 마지막 실행 시각 |
| Missing Process | 응용프로그램 삭제 여부 |
<아래쪽 화면> 응용 프로그램이 동작할 때 로드했던 파일들의 목록 및 관련 정보를 얻을 수 있음
| 속성 | 설명 |
| Filename | 응용프로그램과 함께 로드된 파일의 이름 |
| Full Path | 응용프로그램과 함께 로드된 파일의 경로 |
| Device Path | 볼륨 정보를 포함한 경로 → 응용프로그램이 실행된 볼륨 정보를 알 수 있음 |
| Index | 응용프로그램 실행 과정에서 로드된 순서 |




| 경로 | 설명 |
| Root\InventoryDevicePnp | 시스템에 연결되었던 기기 및 드라이버 정보 |
| Root\InventoryApplication | 시스템에서 실행된 응용프로그램 정보 |


1C:\Windows\System32>C:\Tools\AppCompatCacheParser\AppCompatCacheParser.exe --csv C:\경로\
2AppCompatCache Parser version 1.5.0.0
3
4Author: Eric Zimmerman (saericzimmerman@gmail.com)
5https://github.com/EricZimmerman/AppCompatCacheParser
6
7Command line: --csv C:\경로
8
9Processing hive 'Live Registry'
10
11Found 1,024 cache entries for Windows10C_11 in ControlSet001
12
13Results saved to 'C:\경로\20240407172809_Windows10C_11_DESKTOP-0OIG93H_AppCompatCache.csv'
| 아티팩트 | 획득 가능 데이터 |
| 프리패치 | 파일 이름, 파일 경로, 파일 실행 횟수, 최초 실행 시간, 마지막 실행 시간, 파일 실행 시 로드되는 파일 정보 등 |
| MUICache | 파일 이름, 파일 경로, 파일 실행 여부 |
| AmCache | 시스템에 연결되었던 기기 및 드라이버 정보, 시스템에서 실행된 응용프로그램 정보, 응용프로그램 설치 시간 |
| ShimCache | 파일 이름, 파일 경로, 마지막 수정 시간, 실행 여부 |
‘삭제’된 파일은 $R{문자열6자리}.{확장자}와 $I{문자열6자리}.{확장자} 형태로 휴지통 저장됨.
$R 파일은 원본 파일과 완전히 동일한 데이터를 가지지만 이름만 변경된 형태로 휴지통에 이동함.
$I 파일은 원본 파일의 이름을 포함한 메타데이터를 가짐.
휴지통에서 복원된 적이 있는 데이터는 휴지통 비우기를 해도 데이터가 삭제되지 않으며, 이때 $I 파일이 원본 파일의 경로, 파일이 삭제된 시간 등 메타데이터를 담고 있음



| 오프셋 | 설명 |
| 0x0-0x7 | 시그니처 |
| 0x8-0xF | 원본 파일의 크기 |
| 0x10-0x17 | 파일이 삭제된 시간 (Windows Filetime) → DCode 도구로 분석 가능 |
| 0x18-0x1B | 원본 파일 경로의 길이 |
| 0x1C 이후 | 원본 파일 경로 |

MFT 엔트리 MFT 엔트리(Master File Table Entry)는
NTFS 파일 시스템
에서
각 파일이나 디렉터리에 대한 메타데이터를 저장하는 기본 단위,
MFT는 Windows 운영체제에서 NTFS(새로운 기술 파일 시스템)가 사용하는
파일 인덱스 테이블
로, 일종의 파일 시스템의 '전화번호부'
C드라이브는 동작하는 프로그램이 많은 경우 파일 삭제 이후 바로 덮어써지기 때문에 USB 활용
MFT 시작 주소 : 0xC0000 & 0x1000 (클러스트 크기) = 0xC0000000
$DATA 의 속성 ID는 0x80, 그로부터 0x40 오프셋 뒤에 Cluster Run 구조가 위치함

따라서 0x1188000 위치로 이동해 보면, 아래와 같이 파일 데이터를 확인할 수 있음



MFT Entry의 Flag영역에 삭제 표시했지만, 데이터 영역은 변경되지 않았고 이를 활용해 데이터 복구 가능


| 단계 | 설명 |
| 1️⃣ 파일 시스템 파싱 | 디스크 이미지에서 NTFS/FAT/ext 등 파일 시스템 구조를 분석 |
| 2️⃣ MFT 등 메타데이터 추출 | 삭제되었거나 연결이 끊긴 MFT 엔트리 등에서 정보 수집 |
| 3️⃣ 클러스터/섹터 추적 | MFT 엔트리 내 데이터 영역 포인터(클러스터 주소)를 바탕으로 실제 파일 데이터 추적 |
| 4️⃣ 파일 재조합 | 클러스터를 순서대로 모아 파일 복원 |
| 5️⃣ 무결성 검증 | 파일 크기나 헤더/푸터, Magic Number 등을 통해 완전성 확인 |
→ $MFT에서 삭제 표시(예: 사용 안 함 상태)의 엔트리를 확인
→ Non-resident일 경우 클러스터 목록(Run list)을 확인
→ 실제 데이터 영역에서 해당 클러스터의 내용을 추출