리눅스 커널에 따른 메타데이터 기반 파일 복원 연구
Study on File Recovery Based on Metadata Accoring to Linux Kernel
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
최근의 리눅스 운영체제는 자동차의 콘솔, CCTV, IoT기기, 모바일기기 등에 이르기까지 사용량이 증가하여 커널 버전 또한 다양하게 활용되고 있다. 해당 기기들은 범죄 수사 시 강력한 증거자료로 활용될 수 있기 때문에 파일삭제를 통한 증거 인멸의 우려가 있다. Ext 파일시스템 포렌식은 기기의 종류에 의존하지 않고 삭제된 파일을 복원할 수 있기 때문에 심도 있는 연구가 수행되어 왔다. 하지만 커널에 따라 달라질 수 있는 파일시스템의 특성은 고려되지 않은 채 연구를 진행해왔다. 이러한 문제점은 실제 수사에서 상이한 버전의 커널을 대상으로 분석을 시도할 경우 파일시스템의 주요 메타데이터 분석이 제대로 이루어지지 않아 수사능력을 저해하고 증거능력의 의심을 받는 등심각한 상황을 초래할 수 있다. 실제 수사 현장에서는 다양한 배포판 및 커널 버전의 리눅스 파일시스템을 대상으로수사가 진행될 수 있기 때문에, 실증적으로 활용될 수 있도록 리눅스 배포판 및 커널 버전별로 파일 삭제 시 발생하는 메타데이터 변화 차이에 대한 분석이 필요하다. 따라서 본 논문은 이에 대한 해결 방안으로 리눅스 커널에 따른메타데이터의 차이를 분석하고 삭제된 파일의 복원을 수행한다. 이후 수사기관은 Ext 파일시스템 포렌식 수행 시리눅스 커널 버전 차이에 의해 생기는 메타데이터 변화에 대한 고려가 필요하다.
Abstract
Recent Linux operating systems having been increasingly used, ranging from automotive consoles, CCTV, IoT devices,and mobile devices to various versions of the kernel. Because these devices can be used as strong evidence in criminalinvestigations, there is a risk of destroying evidence through file deletion. Ext filesystem forensics has been studied in depthbecause it can recovery deleted files without depending on the kind of device. However, studies have been carried outwithout consideration of characteristics of file system which may vary depending on the kernel. This problem can lead toserious situations, such as those that can impair investigative ability and cause doubt of evidence ability, when an actualinvestigation attempts to analyze a different version of the kernel. Because investigations can be performed on variousdistribution and kernel versions of Linux file systems at the actual investigation site, analysis of the metadata changes thatoccur when files are deleted by Linux distribution and kernel versions is required. Therefore, in this paper, we analyze thedifference of metadata according to the Linux kernel as a solution to this and recovery deleted file. After that, theinvestigating agency needs to consider the metadata change caused by the difference of Linux kernel version whenperforming Ext filesystem forensics.
참고문헌 (12)
- Soowoong Eo, "A phase of deleted file recovery for digital forensics research in Tizen", 5th IT Convergence and Security(ICITCS), pp.1~3 (2015)
- Dimitrios Kasiaras, "Android forensics : Correlation analysis", 9th Internet Technology and Secured Transactions(ICITST), pp.157~162 (2014)
- Qian Li, "Database management strategy and recovery methods of Android", 5th Software Engineering and Service Science(ICSESS), pp.727~730 (2014)
- 김도현, "안드로이드 운영체제의 Ext4 파일 시스템에서 삭제 파일 카빙 기법", 정보보호학회논문지, 23(3), pp.417~429 (2013), 한국정보보호학회[DOI]
- Seokjun Lee, "Improved deleted file recovery technique for Ext2", 3 filesystem, 2014, pp.70(1), 20~30
- Zhi Li, "Digital forensics and analysis for Android devices", 11th Computer Science & Education(ICCSE), pp.496~500 (2016)
- KD Fairbanks, "An analysis of Ext4for digital forensics", Digital investigation, 9, pp.118~130 (2012)
- Fahad Alanazi, "The Value of Metadata in Digital Forensics", European Intelligence and Security Informatics Conference (EISIC), pp.182~182 (2015)
- Andreas Dewald, "AFEIC : Advanced forensic Ext4 inode carving", Digital Investigation, 20, pp.83~91 (2017)
- Akshara Ravi, "A method for carving fragmented document and image files", Advances in Human Machine Interaction(HMI), pp.1~6 (2016)
- Mohammed Alhussein, "Forensics filesystem with cluster-level identifiers for efficient data recovery", Internet Technology And Secured Transactions, pp.411~415 (2012)
- Gianpaolo Macario, "An in-vehicle infotainment software architecture based on google android", 2009 IEEE International Symposium on Industrial Embedded Systems, pp.257~260 (2009)