시나리오 기반 이미지 개발을 통한 파일 카빙 도구 검증 방안 연구
A Study of Verification Methods for File Carving Tools by Scenario-Based Image Creation
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
파일 카빙(File Carving)은 저장 매체가 포맷되거나 파일시스템이 손상되어 메타데이터가 없는 파일 복구를 시도하는 기법으로 일반적으로 파일의 특정 헤더/푸터 시그니처 및 데이터 구조를 찾는다. 그러나 파일 카빙은 오랫동안단편화 (Fragmentation) 된 파일을 복구해내는 문제점에 직면하고 있으며, 디지털포렌식에서 중요한 대상의 파일(doc, hwp, xls 등)은 비교적 단편화되기 쉬우므로 이에 대한 해결방안 제시는 매우 중요하다. 이와 같은 한계점을극복하기 위하여 다양한 카빙 기법 및 도구들이 지속적으로 개발되고 있으며, 기능 검증을 위하여 다양한 연구 및 기관에서 데이터셋을 제공한다. 그러나, 기존에 제공된 데이터셋은 환경적인 조건이 상당히 제한되어 도구를 검증하는데있어 비효율적이다. 본 논문에서는 단편화된 파일 카빙의 중요성을 언급하고, 카빙 도구 검증을 위한 시나리오 기반의16가지의 이미지를 개발한다. 개발된 이미지는 상용 카빙 도구로 잘 알려진 Foremost를 통하여 매체 별로 카빙률및 정확도를 계산하여 나타낸다.
Abstract
File Carving is a technique for attempting to recover a file without metadata, such as a formated storage media or adamaged file system, and generally looks for a specific header / footer signature and data structure of the file. However,file carving is faced with the problem of recovering fragmented files for a long time, and it is very important to propose asolution for digital forensics because important files are relatively fragmented. To overcome these limitations, various carvingtechniques and tools are continuously being developed, and data sets from various researches and institutions are providedfor functional verification. However, existing data sets are ineffective in verifying tools because of their limitedenvironmental conditions. Therefore, this paper refers to the importance of fragmented file carving and develops 16 imagesfor carving tool verification based on scenarios. The developed images‘ carving rate and accuracy of each media is shownthrough Foremost which is well known as a commercial carving tool.
참고문헌 (17)
- Madril, "Metadata recovery in a disk drive", U.S. Patent No. 8,612,706, ~ (2013)
- "Forensic Image for File Carving Image" (2019)[URL]
- "Digital Forensics Tool Testing Images, Digital Forensics Tool Testing Ima ges" (2019)[URL]
- "Real Data Corpus" (2019)[URL]
- Laurenson, "Performance analysis of file carving tools", IFIP In ternational Information Security Conference (2013), Springer
- "Basic Data Carving Test #1, Digital F orensics Tool Testing Images" (2019)[URL]
- "DFRWS 2006 Forensics Challenge File Image Layout, DFRWS2006 Forensics Challenge Data Set" (2019)[URL]
- "Baseline Carving Data Set, Carving Data Set" (2019)[URL]
- GARFINKEL, "Carving contiguous and fragmented files with fast object validation", digitalinvestigation, 4, pp.2~12 (2007)
- "Foremost" (2019)[URL]
- "Scalpel" (2019)[URL]
- RICHARD III, Golden G, "Scalpel: A Frugal, High Perfo rmance File Carver", DFRWS (2005)
- NIKKEL, "Forensic analy sis of GPT disks and GUID partition tables", Digital Investigation, 6, pp.1~2 (2009)
- GEIER, "The differences between SSD and HDD technology rega rding forensic investigations", ~ (2015)
- CHO, "NTFS Directory Index Analysis for Computer Forensic s", 2015 9th International Confere nce on Innovative Mobile and Internet Services in Ubiquitous Computing, pp.441~446 (2015), IEEE
- WINTER, "SSD vs HDD–data recovery and destruction", Network Security, 2013(3), pp.12~14 (2013)
- KLOET, S. J. J., "Almere, Niederlande: Eind hoven University of Technology", pp.2007