산업기밀 유출 또는 사이버범죄 등의 사건 발생 시 범죄증명을 위하여 컴퓨터 포렌식 기법들이 사용되어져 왔다. 그러나 이러한 기법들은 단순 분석에 지나지 않아 삭제된 파일의 원인규명을 하지 못하여 신뢰성 있는 법정자료로서 제출되기에는 많은 문제점들을 내포하고 있었다. 파일 대한 연결성 원칙에 대한 연구는 아직까지 시도된바 없기에 연결성의 원칙을 중심으로 연구되었다. 본 논문에서는 사용자가 삭제하는 방식과 운영체제가 삭제하는 방식의 차이점을 체계적으로 분석하여 정형화된 탐지 모델을 개발 하였다. 탐지모델은 첫째, 사용자가 삭제한 경우의 탐지 모델, 둘째, 어플리케이션을 이용하여 삭제한 경우의 탐지 모델, 셋째, 운영체제가 삭제한 탐지 모델 세 가지이다. 탐지 모델은 현장에서 사용하기에 최적의 성능을 보장한다.
Computer forensics have been used for verify a crime when industry secret information or cyber crime occurred. However, these methods are simple analysis which cannot find the problem of deleted files. Therefore these cannot be a trusty evidence in a law court. We studied with focus on connectivity principle because it has never tried yet. In this paper, we developed optimizing detection model through systemized analysis between user-delete method and operating system-delete method. Detection model has 3 cases; Firstly, case of deleted by a user, secondly, case of deleted by application. Thirdly case of deleted by operating system. Detection model guarantees optimized performance because it is used in actual field.
