inode 정보를 이용한 삭제된 파일의 포렌식 조사방법

국문 초록 (Abstract)

최근 리눅스 운영체제에서도 많은 범죄가 일어나고 있다. 리눅스 운영체제의 특성상 손상되거나 악의적으로 삭제된 파일의 복구는 어려운 것으로 알려져 있다. 그러나 삭제된 파일의 복구와 조작된 파일의 추출이 가능하다면 포렌식 조사자에게 많은 도움이 될 것이다. 본 논문에서는 리눅스 운영체제에서 파일의 손상으로 인한 내용확인이 어려운 경우, 악의적인 의도에 의한 파일의 삭제로 인한 경우에 대해 복구방법을 제시하여 원본파일의 내용을 확인 할 수 있도록 한다. EXT2 파일 시스템의 모든 파일이나 디렉터리는 각기 단 하나의 inode에 의하여 표현되며, 각 블록 그룹을 위한 inode는 어떤 inode가 할당되었는지 추적하기 위한 비트맵과 함께 inode 테이블에 저장되어 진다. 이러한 inode의 정보를 활용하여 파일을 복구하는 방법을 제시한다.

다국어 초록 (Multilingual Abstract)

These days we can see a lot of crime in linux operating system. Because of the characteristic of linux operating system, it is very difficult to restore the file which is damaged or deleted with malice. But, it is very helpful for forensic researchers if it is possible to restore of deleted file and extract of fabricated file. This paper proposes the restore method for the case which we cant verify the content because of damaging or deleting with malice in linux operating system to verify original file content. All file or directory of EXT2 file system shows with only one inode and inode for each block group is saved in inode table with bitmap which traces what kind of inode is allocated. It adduce the file restore using this inode information.