• 정보보호학회논문지
• /
• 제23권5호
• /
• pp.947-955
• /
• 2013

기업의 정보는 대부분 데이터베이스에 보관된다. 따라서 기업의 범죄 행위를 조사하기 위해서는 데이터베이스에 대한 포렌식 분석이 중요하며 삭제 레코드 복구 기술을 개발할 필요가 있다. 이에 본 논문은 전 세계적으로 가장 많이 쓰이는 Oracle 데이터베이스의 테이블스페이스 파일 구조와 테이블정보를 저장하고 있는 시스템 테이블에 대해 분석하고, 이를 통해 Oracle 테이블스페이스에서 삭제된 레코드를 복구할 수 있는 방법을 제시한다.

• 정보처리학회논문지:소프트웨어 및 데이터공학
• /
• 제9권4호
• /
• pp.123-128
• /
• 2020

디지털 기기 사용이 일반화되면서 수사 과정에서 물적 증거 수집을 위해 디지털 포렌식 기법을 사용한다. 이 중 파일 포렌식 기법은 삭제된 파일을 복구하는 것으로, 여러 개의 파일로 구성된 데이터베이스가 삭제되어도 복구할 수 있다. 그러나 데이터베이스에서 레코드가 삭제된 경우는 파일 복구를 하여도 수정된 레코드 내용이 복원되지 않는다. 이에 삭제된 레코드를 복구하는 기법인 데이터베이스 포렌식이 필요하다. 데이터베이스 포렌식은 데이터베이스 설정 파일로부터 메타데이터를 획득하고, 데이터 파일에서 삭제된 레코드를 복구한다. 그러나 데이터베이스에서 블록 크기와 같은 데이터베이스 메타데이터를 획득하지 못하면 레코드 복구가 어렵다. 본 논문에서는 데이터베이스 메타데이터인 블록 크기를 탐지하기 위한 세 가지 방법을 제안한다. 첫 번째 기법은 블록에 존재하는 빈공간의 최대 크기를 이용하며, 두 번째 기법은 블록이 나타나는 위치를 이용한다. 세 번째 기법은 두 번째 기법보다 더 빠르게 블록 크기를 찾을 수 있도록 개선한다. 실험 결과는 세 가지 탐지 기법 모두 세 종류의 DBMS의 블록 크기를 정확하게 찾을 수 있음을 보인다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제6권2호
• /
• pp.59-66
• /
• 2017

MySQL 데이터베이스는 현재 데이터베이스 시장 점유율에서 2위를 차지하고 있다. 특히 InnoDB 스토리지 엔진은 MySQL 5.5 버전부터 디폴트 스토리지 엔진으로 사용되어 왔으며, 많은 기업에서 InnoDB 스토리지 엔진으로 MySQL 데이터베이스를 사용하고 있다. 디지털 포렌식 분야에서 InnoDB 스토리지 엔진에 대한 구조적 특징과 로그에 관한 연구는 꾸준히 진행되어 왔으나, 삭제된 데이터에 대해 레코드 단위로 복구하는 방법에 대해서는 연구되지 않았다. 기업 조사 시 데이터베이스 관리자가 사전에 증거 인멸을 목적으로 데이터를 훼손하는 경우가 많으므로 이를 복구하는 것은 포렌식 수사 과정에서 중요하다. 본 논문에서는 MySQL InnoDB 스토리지 엔진의 구조를 분석하여 삭제된 데이터를 레코드 단위로 복구하는 기법을 제안하고 제작한 도구를 활용하여 이를 검증한다. 이는 디지털 포렌식 관점에서 데이터베이스 안티포렌식 행위에 대해 대비할 수 있으며, MySQL InnoDB 데이터베이스와 관련된 사건 발생시, 고의로 삭제된 데이터를 복구하는데 활용할 수 있다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제6권12호
• /
• pp.487-496
• /
• 2017

MySQL InnoDB에서는 데이터를 기록할 때, 테이블마다 테이블스페이스를 분할 생성하여 개별적으로 저장하는 방법과 모든 테이블 및 인덱스 정보를 단일 시스템 테이블스페이스에 저장하는 방법이 있다. 그리고 이렇게 기록된 정보들을 이용해 삭제된 데이터를 레코드 단위로 복구하는 것이 가능하다. 하지만 현재 진행된 대부분의 데이터베이스 포렌식 연구에서 전자의 경우는 연구가 활발하게 이루어져 그 구조에 대한 분석이 많이 이루어졌지만, 후자에 대해서는 아직 공개된 정보가 포렌식에 활용되기엔 충분치 않다. 위의 두 방식은 각각의 저장 구조가 서로 다르기 때문에 데이터베이스 포렌식 관점에서 본다면 둘 모두에 대한 분석이 이루어져야 한다. 본 논문에서는 단일 시스템 테이블스페이스인 IBDATA 파일에 레코드를 저장하는 방식에서의 삭제된 레코드 복구 방법을 제시한다. IBDATA 파일을 분석하여 그 구조를 밝히고 이를 활용하여 기존에 고려되지 않았던 미할당 페이지 영역까지 확장한 삭제 레코드 복구 알고리즘을 소개한다. 또한, 알고리즘을 도구로 구현하여 실제 데이터를 이용한 검증을 통해 기존 방법보다 복구율이 68%까지 향상되었음을 보인다.

• 한국컴퓨터정보학회논문지
• /
• 제23권8호
• /
• pp.85-93
• /
• 2018

In this research, it is proposed that a method to hide data by modifying directory index entry information. It consists of two methods: a directory list hiding and a file contents hiding. The directory list hiding method is to avoid the list of files from appearing in the file explorer window or the command prompt window. By modifying the file names of several index entries to make them duplicated, if the duplicated files are deleted, then the only the original file is deleted, but the modified files are retained in the MFT entry intact. So, the fact that these files are hidden is not exposed. The file contents hiding is to allocate data to be hidden on an empty index record page that is not used. If many files are made in the directory, several 4KB index records are allocated. NTFS leaves the empty index records unchanged after deleting the files. By modifying the run-list of the index record with the cluster number of the file-to-hide, the contents of the file-to-hide are hidden in the index record. By applying the proposed method to the case of hiding two files, the file lists are not exposed in the file explorer and the command prompt window, and the contents of the file-to-hide are hidden in the empty index record. It is proved that the proposed method has effectiveness and validity.

• 정보보호학회논문지
• /
• 제21권3호
• /
• pp.143-154
• /
• 2011

SQLite는 소형 데이터베이스로 임베디드 기기와 로컬 응용프로그램에서 주로 사용된다. 최근에는 스마트폰을 비롯한 휴대용 디지털 기기의 보급이 확대됨에 따라 SQLite의 사용이 더욱 증가하고 있다. 따라서 포렌식 수사 과정에서 수집된 디지털 증거에 SQLite 데이터베이스 파일이 포함되어 있을 가능성이 많으며, 용의자가 의도적으로 민감한 데이터를 삭제할 가능성이 있기 때문에, 조사시 SQLite의 삭제된 레코드를 최대한 복구할 필요가 있다. 이 논문은 SQLite의 데이터 관리 규칙과 삭제된 데이터의 구조를 분석하였고, 이를 토대로 삭제된 후 덮어 쓰여지지 않은 레코드의 복구 방법을 제시하였다. 또한 SQLite를 사용하는 대표적인 소프트웨어를 조사하여 삭제된 데이터의 복원 가능성을 확인하였다.

• 정보보호학회논문지
• /
• 제26권1호
• /
• pp.125-134
• /
• 2016

MySQL 데이터베이스는 현재 데이터베이스 시장에서 높은 점유율을 보이며 많은 사용자들이 사용한다. MyISAM 스토리지 엔진의 경우, 이전에 디폴트 엔진으로 사용되었음에도 불구하고 실질적인 레코드 복구 방법이 존재하지 않았다. 삭제된 레코드에는 데이터베이스 수사 시 중요한 증거로 쓰일 수 있는 정보가 존재할 가능성이 높으며, 수사관이 방대한 양의 데이터베이스를 직접 조사하여 일일이 정보를 판별하는 것은 거의 불가능하다. 본 논문에서는 MySQL MyISAM 데이터베이스 구조를 분석하여 삭제된 레코드의 복구 기법을 제안하며 이를 도구로 구현하여 실험한 결과를 제시한다.

• 정보보호학회논문지
• /
• 제30권6호
• /
• pp.999-1012
• /
• 2020

최근 개인 건강기록의 활용이 증가함에 따라, 개인 건강기록의 개인정보를 보호하는 암호 프로토콜에 대한 연구가 활발하게 이루어지고 있다. 현재 일반적으로 개인 건강기록은 암호화되어 클라우드에 외부 위탁되어 관리되고 있다. 하지만 이 방법은 개인 건강기록의 무결성을 검증하는데 제한적이며, 사용시 필수적으로 복호화가 필요하기 때문에 데이터 가용성이 떨어지는 문제점이 있다. 본 논문에서는 이 문제를 해결하기 위해 Redactable 서명기법과 영지식증명을 사용하여 검증 가능한 클라우드 기반의 개인 건강기록 관리기법을 제안한다. 검증 가능한 클라우드 기반의 개인 건강기록 관리기법은 Redactable 서명기법을 사용함으로써 민감한 정보를 삭제하여 사생활(privacy)을 보존하면서 원본문서의 무결성 검증이 가능하며, 영지식 증명을 사용함으로써 원본문서의 삭제된 부분 외에는 삭제 및 수정되지 않았음을 검증 할 수 있다. 또한 Redact Recovery Authority를 통해 필요한 경우에만 삭제된 부분을 복원할 수 있도록 설계함으로써 기존의 관리기법보다 데이터의 가용성이 증가하도록 설계하였다. 그리고 제안한 기법을 활용한 검증 가능한 클라우드 기반의 개인 건강기록 관리모델을 제안하고, 제안한 기법을 구현함으로써 효율성을 분석하였다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제2권2호
• /
• pp.93-102
• /
• 2013

최근 대부분의 범죄에 디지털 매체가 사용되면서 디지털 데이터는 필수 조사 대상이 되었다. 하지만 디지털 데이터는 비교적 쉽게 삭제 및 변조가 가능하다. 따라서 디지털 증거 획득을 위해 삭제된 데이터의 복구가 필요하며, 파일 카빙은 컴퓨터 포렌식 조사에서 증거를 획득할 수 있는 중요한 요소이다. 하지만 현재 사용되는 파일 카빙 도구들은 포렌식 조사를 위한 데이터의 선별을 고려하지 않고 있다. 또 기존의 파일 카빙 기법들은 파일의 일부 영역이 덮어써지거나 조각날 경우 복구가 불가능한 단점이 있다. 따라서 본 논문에서는 포렌식 조사시 유용한 정보를 획득할 수 있는 파일을 제안하고, 기존의 파일 카빙 기법보다 효과적으로 데이터를 복구할 수 있는 레코드 파일 카빙 기법을 제시한다.

• 정보보호학회논문지
• /
• 제25권5호
• /
• pp.1143-1151
• /
• 2015

Extensible Storage Engine (ESE) 데이터베이스는 Microsoft가 개발한 데이터베이스로 Internet Explorer, Spartan과 같은 웹브라우저와 Windows Search, System Resource Usage Monitor와 같은 윈도우 시스템에서 주요하게 사용된다. 기존의 ESE 데이터베이스 뷰어는 잘못된 값을 출력할 수 있고 수집 환경과 파일의 상태에 따라 파일을 읽지 못하는 경우가 존재한다. 또한 삭제된 레코드 복구 도구는 일부 프로그램에 한정적이고 모든 테이블을 복구하지 못한다. 본 논문에서는 ESE 데이터베이스 구조를 분석하여 개별 데이터베이스가 아닌 범용적으로 적용할 수 있는 삭제된 레코드의 복구 기법을 제안하며 이를 도구로 구현하여 실험한 결과를 제시한다.