Abstract
A lot of computer users use external memory device. But, same time file efflux incidents are also increasing. There are two ways people use for efflux file. One is moving it after checking file which is running on computer and the other is checking file name only. Checking from running file case, we can identify vestige with running information of applied program but, the case of moving as external device without running file there is no evidence running applied program. So there are a lot of difficulty with forensic investigation. In this paper we suggest the way to help forensic investigation which is method of getting external memory device information of volume and time through its awareness method and connection information and moving to external device without running file after compare the external memory device volume information through link file analysis and getting information of link file formation & access time from link file.
외장형저장장치의 다양한 종류와 대용량화로 인해 대다수의 컴퓨터 사용자들이 사용하고 있다. 그러나 외장형 저장장치의 사용이 증가하면서 파일 유출사고도 늘고 있다. 이러한 파일 유출은 컴퓨터서 파일을 실행하여 확인한 후 이동시키는 것과 파일명으로만 확인하고 이동시키는 경우로 나뉜다. 파일의 실행하여 확인하는 경우는 응용프로그램의 실행정보를 통해 흔적을 확인할 수 있으나 파일의 실행 없이 외장형 장치로 이동되는 경우 응용프로그램의 실행흔적이 남지 않아 포렌식 조사에 어려움이 많았다. 본 논문에서는 외장형 저장장치의 인식방법과 연결정보를 통하여 외장형 저장장치의 볼륨정보, 시간정보를 획득하는 방법과 링크파일의 분석을 통해 외장형 저장장치의 볼륨정보를 획득하여 서로 비교하고 링크파일의 생성시간정보, 접근시간 정보 등을 획득하여 파일의 실행 없이 외장형 장치로 이동되는 경우의 포렌식 조사에 도움을 줄 수 있는 방법을 제시한다.