• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제6권2호
• /
• pp.59-66
• /
• 2017

MySQL 데이터베이스는 현재 데이터베이스 시장 점유율에서 2위를 차지하고 있다. 특히 InnoDB 스토리지 엔진은 MySQL 5.5 버전부터 디폴트 스토리지 엔진으로 사용되어 왔으며, 많은 기업에서 InnoDB 스토리지 엔진으로 MySQL 데이터베이스를 사용하고 있다. 디지털 포렌식 분야에서 InnoDB 스토리지 엔진에 대한 구조적 특징과 로그에 관한 연구는 꾸준히 진행되어 왔으나, 삭제된 데이터에 대해 레코드 단위로 복구하는 방법에 대해서는 연구되지 않았다. 기업 조사 시 데이터베이스 관리자가 사전에 증거 인멸을 목적으로 데이터를 훼손하는 경우가 많으므로 이를 복구하는 것은 포렌식 수사 과정에서 중요하다. 본 논문에서는 MySQL InnoDB 스토리지 엔진의 구조를 분석하여 삭제된 데이터를 레코드 단위로 복구하는 기법을 제안하고 제작한 도구를 활용하여 이를 검증한다. 이는 디지털 포렌식 관점에서 데이터베이스 안티포렌식 행위에 대해 대비할 수 있으며, MySQL InnoDB 데이터베이스와 관련된 사건 발생시, 고의로 삭제된 데이터를 복구하는데 활용할 수 있다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제6권12호
• /
• pp.487-496
• /
• 2017

MySQL InnoDB에서는 데이터를 기록할 때, 테이블마다 테이블스페이스를 분할 생성하여 개별적으로 저장하는 방법과 모든 테이블 및 인덱스 정보를 단일 시스템 테이블스페이스에 저장하는 방법이 있다. 그리고 이렇게 기록된 정보들을 이용해 삭제된 데이터를 레코드 단위로 복구하는 것이 가능하다. 하지만 현재 진행된 대부분의 데이터베이스 포렌식 연구에서 전자의 경우는 연구가 활발하게 이루어져 그 구조에 대한 분석이 많이 이루어졌지만, 후자에 대해서는 아직 공개된 정보가 포렌식에 활용되기엔 충분치 않다. 위의 두 방식은 각각의 저장 구조가 서로 다르기 때문에 데이터베이스 포렌식 관점에서 본다면 둘 모두에 대한 분석이 이루어져야 한다. 본 논문에서는 단일 시스템 테이블스페이스인 IBDATA 파일에 레코드를 저장하는 방식에서의 삭제된 레코드 복구 방법을 제시한다. IBDATA 파일을 분석하여 그 구조를 밝히고 이를 활용하여 기존에 고려되지 않았던 미할당 페이지 영역까지 확장한 삭제 레코드 복구 알고리즘을 소개한다. 또한, 알고리즘을 도구로 구현하여 실제 데이터를 이용한 검증을 통해 기존 방법보다 복구율이 68%까지 향상되었음을 보인다.