비할당 영역 데이터 파편의 압축 여부 판단과 압축 해제

국문 초록 (Abstract)

컴퓨터 포렌식 관점에서 디스크의 비할당 영역(unallocated space)에 존재하는 데이터를 분석하는 것은 삭제된 데이터를 조사할 수 있다는 점에서 의미가 있다. 하지만 대부분의 경우에 비할당 영역에 존재하는 데이터는 응용 프로그램으로 읽을 수 있는 완전한 파일의 형태가 아닌 단편화된 파편(Fragment)으로 존재하며 이는 암호화되거나 압축된 형식으로 존재하기도 한다. 특히 데이터의 일부만 남아있고 나머지는 다른 데이터로 덮여 쓰인 상태의 데이터 파편을 분석하는 것은 매우 어려운 일이며, 특히 존재하는 데이터 파편이 압축되거나 암호화된 경우에는 데이터가 랜덤(Random)한 특성을 가지기 때문에 통계 분석이나 시그니처 분석과 같은 기존의 데이터 파편 분석 방법만으로는 의미 있는 정보를 획득할 수 없게 된다. 따라서 파일 파편의 압축 및 암호화 여부를 판단하는 선 처리 작업이 필요하며 압축된 파편은 압축 해제를 시도해야한다. 압축 해제로서 획득한 평문 데이터 파편은 기존에 제시된 데이터 파편 분석 방식으로 분석할 수 있다. 본 논문에서는 컴퓨터 포렌식 수사 시 비할당 영역에 존재하는 파일 파편의 분석 기술에 대해 서술한다.

다국어 초록 (Multilingual Abstract)

It is meaningful to investigate data in unallocated space because we can investigate the deleted data. However the data in unallocated space is formed to fragmented and it cannot be read by application in most cases. Especially in case of being compressed or encrypted, the data is more difficult to be read. If the fragmented data is encrypted and damaged, it is almost impossible to be read. If the fragmented data is compressed and damaged, it is very difficult to be read but we can read and interpret it sometimes. Therefore if the computer forensic investigator wants to investigate data in unallocated space, formal work of determining the data is encrypted of compressed and decompressing the damaged compressed data. In this paper, I suggest the method of analyzing data in unallocated space from a viewpoint of computer forensics.

목차 (Table of Contents)

• 요약
• ABSTRACT
• Ⅰ. 서론
• Ⅱ. 관련 연구
• Ⅲ. 파일 파편 분석 절차
• Ⅳ. 파일 파편 분석에 필요한 기술
• Ⅴ. 결론
• 참고문헌
• 〈著者紹介〉

참고문헌 (Reference)

1 한양대학교 자연과학연구소, "암호통신문 탐지기술 연구 및 S/W 개발" 한국 정보보호센터 1999

2 "www.guidancesoftware.com"

3 N. I. of Standards and Technology, "Special publication 800-22: A Statistical Test Suite for Random and Pseudo-random Number Generators for Cryptographic Applications"

4 Louretta, "Good Practice Guide for computer based Electronics Evidence version 3.0"

5 Binglong Li, "Forensic Analysis of Document fragment based on SVM" 236-239, 2006

6 D. Salomon, "Data Compression - The Complete Reference - 4th edition" Spinger-Verlag 2007

7 McDaniel, Hossain Heydari .M., "Content Based File Type Detection Algorithms" 108-114, 2003

8 Binglong Li, "Classifying model of Document Fragments and the Research" 834-839, 2006

9 Kulesh Shanmugasundaram, "Automatic Reassembly of Document Fragments Via Context Based Statistical Models" 152-159, 2003

10 Oliver de Vel, "Augmented sequence spectrum kernels for semi-structured document categorization" 213-221, 2003

11 Andrew Rukhin, "A STATII STIICAL TEST SUIlTE FOR RANDOM AND PSEUDORANDOM NUMBER GENERATORS FOR CRYPTOGRAPHIIC APPLIICATIIONS" NIST 2001