클러스터 맵을 활용한 삭제 파일 복구율 향상 기법 연구 : FAT32 파일시스템을 예제로 = Research on Improved Deleted File Recovery Rate Using Cluster Map : A Case Study on the FAT32 File System

국문 초록 (Abstract)

디지털 데이터의 확산으로 디지털증거 수집의 중요성이 커지면서 디지털포렌식 기술이 진화하고 있다. 그러나 파일이 삭제되거나 반복해서 덮어쓰게 되거나 포맷되는 경우, 파일을 완벽히 복구하기는 여전히 어려운 과제이다. 본 논문에서는 이동식 디스크, 메모리 카드, 블랙박스 등에서 주로 사용되는 FAT32 파일시스템을 대상으로 유의미한 디지털증거를 확보할 수 있는 파일 복구 방법을 제안한다. 먼저 FAT32 파일시스템의 구조를 분석한 후 클러스터 맵을 활용하여 여러 번 파일을 생성 및 삭제함으로써 단편화된 파일시스템에서 복구 방법을 연구한다. 또한, 자체 제작한 데이터세트를 이용한 실험 결과를 바탕으로 기존 상용 복구프로그램과 비교하여 본 방법이 삭제된 파일을 더 효율적으로 복구할 수 있는지 실험을 진행하였다. 실험 결과, 기존의 상용 복구프로그램보다 더 많은 삭제된 파일을 복구할 수 있었다. 본 논문에서는 다양한 저장장치에서 사용되는 FAT32를 예로 들어 기존의 상용 복구프로그램보다 더 유의미한 데이터를 획득함으로써 디지털포렌식 증거 수집에서 큰 효율을 기대한다.

다국어 초록 (Multilingual Abstract)

As the proliferation of digital data increases the importance of collecting digital evidence, digital forensics technology continues to evolve. However, perfectly recovering files that have been deleted, repeatedly overwritten, or formatted remains a challenging task. This paper proposes a method for recovering significant digital evidence using the FAT32 file system, which is commonly used in removable disks, memory cards, and black boxes. First, the structure of the FAT32 file system is analyzed. Then, by repeatedly creating and deleting files, this study explores recovery methods in a fragmented file system using the cluster map. Furthermore, experiments using a custom-made data-set were conducted to compare this method with existing commercial recovery programs to determine its efficiency in recovering deleted files. The results show that our method was able to recover more deleted files than the existing commercial recovery programs. This paper demonstrates that by using the FAT32 file system, commonly utilized in various storage devices, as a model, more significant data can be retrieved, greatly enhancing the efficiency of digital forensics evidence collection.