선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 이와 같은 이벤트 실행 후 데이터 잔존 여부를 비교하기 위해 테이블 객체 정보 변화, 실제 레코드가 저장되어있는 논리적 공간인 페이지 할당변화, 페이지 내부 존재하는 행오프셋 배열(row offset array)변화, 그리고 가장 중요한 실제 미할당 레코드 데이터의 잔존 유무를 실험을 통해 확인할 것이다. 이를 통해 디지털포렌식 조사 시 삭제된 레코드에 대한 복구 가능성을 확보하고, 데이터베이스 물리 원본파일에 대한 직접 탐지의 필요성 논하고자 한다.
- 이와 같은 비교를 통해 도출된 복구 가능성은 디지털포렌식 조사 시 기술적 방향성 제시 측면에서 상당히 중요하기 때문이다. 이에 본 논문에서는 디지털포렌식 조사 시의 데이터 복구 관점에서 Microsoft SQL Server의 delete, truncate 및 drop 이벤트에 따른 레코드 잔존 여부를 실험하여 복구가능성을 확인하였다.
제안 방법
- ldf” 파일과 각종 로그 데이터를 복사하여 압수·제출 받아 조사관 또는 디지털포렌식 분석관의 분석용 컴퓨터에서 분석을 시도한다.
- 실험 결과 drop은 테이블 객체를 삭제하는 명령어이므로 객체는 삭제와 동시에 페이지 할당 정보도 초기화 되었다. 객체 자체가 삭제되어 관리도구를 통한 페이지 탐색이 어려우므로 PID 78 페이지의 Raw 데이터를 직접 탐지하였다. 그 결과 truncate과 동일하게 행오프셋 배열 및 행 데이터 모두 변화 없이 그대로 존재하고 있음을 확인하였다.
- 먼저 이벤트 수행 후 객체의 존재유무를 살펴보았다. 그리고 페이지 할당 정보의 변화 유무를 확인하고, 미할당 영역 내 데이터 잔존 유무와 페이지 내 행오프셋 배열의 초기화 여부를 살펴보는 순으로 진행하였다. 이를 바탕으로 데이터베이스 조사 시 관리도구 이용가능성을 확인하고 최종적으로 데이터 복구 가능성을 확인하였다.
- 이후 Detach 작업을 통해 원본 mdf, ldf 파일을 백업해 보관하고 실험 시마다 백업해놓은 원본 mdf, ldf 파일을 SQL Server에 Attach하여 이용하였다. 기존의 연구에서는 주로 delete 명령문 수행 이후 삭제 이벤트에 대한 트랜잭션 로그를 대상으로 실험을 진행한 반면, 본 실험에서는 Table 3의 각 삭제 쿼리를 수행하였고 이후 페이지 내 데이터의 존재 유무 등을 살펴보는 방식으로 진행하였다.
- 데이터베이스 원본을 대상으로 하는 디지털포렌식 조사 실무에서 데이터를 탐색하기 위해 Microsoft의 Management Studio, Oracle의 Toad 등 해당 데이터베이스에 접근 가능한 각종 관리 및 분석툴을 이용하여 논리적인 데이터 조사를 먼저 수행한다. 그러나 논리적 데이터 영역에서 찾고자 하는 데이터가 존재하지 않는다면 삭제된 레코드 등 미할당 영역에 대한 조사를 수행해야 한다.
- 실험 방식은 다음과 같다. 먼저 Microsoft SQL Server에 새로운 카탈로그를 생성한 후 1개의 Integer 타입 컬럼과 3개의 Varchar 타입 컬럼으로 구성된 테이블을 생성하였다. 테이블을 생성한 후임의의 20개 데이터 행을 삽입하였다.
- 삭제 이벤트 수행 후 살펴본 변화 내역은 다음과 같다. 먼저 이벤트 수행 후 객체의 존재유무를 살펴보았다. 그리고 페이지 할당 정보의 변화 유무를 확인하고, 미할당 영역 내 데이터 잔존 유무와 페이지 내 행오프셋 배열의 초기화 여부를 살펴보는 순으로 진행하였다.
- 본 논문에서는 Microsoft SQL Server 물리 데이터베이스 파일의 구조를 분석하여 데이터가 존재하는 영역을 살펴보고, 이를 기초로 데이터 삭제가 수행되는 주요 이벤트인 delete, truncate, drop 명령문에 따른 ① 테이블 객체의 변화, ② 페이지 할당정보 유지 여부, ③ 미할당 삭제데이터 존재 여부,④ 페이지 내 행오프셋 정보의 변화를 확인하였다. 이를 통해 Microsoft SQL Server 데이터베이스에 대한 디지털포렌식 조사 시 ⑤ 관리도구 이용 가능성과 최종적으로 ⑥ 데이터 복구 가능성을 실험하였다.
- 실험에 사용한 명령문은 “TRUNCATE TABLE Employee”로 테이블 전체를 초기화 하였다.
- 실험에서는 5장에 기술된 삭제된 레코드 탐지 및 복구 기법을 토대로 각 삭제 이벤트에 따른 레코드 잔존 여부 내용을 확인하였다.
- 본 논문에서는 Microsoft SQL Server 물리 데이터베이스 파일의 구조를 분석하여 데이터가 존재하는 영역을 살펴보고, 이를 기초로 데이터 삭제가 수행되는 주요 이벤트인 delete, truncate, drop 명령문에 따른 ① 테이블 객체의 변화, ② 페이지 할당정보 유지 여부, ③ 미할당 삭제데이터 존재 여부,④ 페이지 내 행오프셋 정보의 변화를 확인하였다. 이를 통해 Microsoft SQL Server 데이터베이스에 대한 디지털포렌식 조사 시 ⑤ 관리도구 이용 가능성과 최종적으로 ⑥ 데이터 복구 가능성을 실험하였다.
- SQL Server에서 데이터 삭제 이벤트는 크게 조작어(DML: Data Manipulation Language)인delete와 정의어(DDL: Data Definition Language)인 truncate, drop에 의해서 발생된다[5][6]. 이와 같은 이벤트 실행 후 데이터 잔존 여부를 비교하기 위해 테이블 객체 정보 변화, 실제 레코드가 저장되어있는 논리적 공간인 페이지 할당변화, 페이지 내부 존재하는 행오프셋 배열(row offset array)변화, 그리고 가장 중요한 실제 미할당 레코드 데이터의 잔존 유무를 실험을 통해 확인할 것이다. 이를 통해 디지털포렌식 조사 시 삭제된 레코드에 대한 복구 가능성을 확보하고, 데이터베이스 물리 원본파일에 대한 직접 탐지의 필요성 논하고자 한다.
- 테이블을 생성한 후임의의 20개 데이터 행을 삽입하였다. 이후 Detach 작업을 통해 원본 mdf, ldf 파일을 백업해 보관하고 실험 시마다 백업해놓은 원본 mdf, ldf 파일을 SQL Server에 Attach하여 이용하였다. 기존의 연구에서는 주로 delete 명령문 수행 이후 삭제 이벤트에 대한 트랜잭션 로그를 대상으로 실험을 진행한 반면, 본 실험에서는 Table 3의 각 삭제 쿼리를 수행하였고 이후 페이지 내 데이터의 존재 유무 등을 살펴보는 방식으로 진행하였다.
대상 데이터
- 데이터 행은 헤더, 고정길이 데이터(Fixed Length Data), 부가정보, 가변길이 데이터(Variable Length Data)로 구성된다(Table 2 참조). 고정길이 데이터가 먼저 위치하는 이유는 길이가 정해진 데이터를 먼저 저장하여 페이지 내 공간을 효율적으로 사용하기 위함이다.
- Microsoft SQL Server의 논리적 구조를 이루는 페이지는 SQL Server에서 관리하는 기본 데이터 저장 단위이다[8]. 데이터 행을 쌓아놓은 페이지의 크기는 8,192byte로 1MB 당 총 128개의 페이지를 가질 수 있다. Fig.
- 현재 Microsoft의 지원정책 상 Microsoft SQL Server 2008 이전에 출시한 하위 버전은 개발사의 지원이 종료된 상태이다[7]. 또한 앞서 살펴본 데이터의 저장, 관리 등에 필요한 각 요소와 구조는 버전 2008부터 2016까지 모두 동일한 형태를 가지므로, 개발사 기술 지원이 가능하여 향후에도 사용될 가능성이 있는 제품 중 출시일에 따른 가장 폭넓은 사용층을 가진 2008 버전을 실험 대상으로 선정하였다.
- 먼저 Microsoft SQL Server에 새로운 카탈로그를 생성한 후 1개의 Integer 타입 컬럼과 3개의 Varchar 타입 컬럼으로 구성된 테이블을 생성하였다. 테이블을 생성한 후임의의 20개 데이터 행을 삽입하였다. 이후 Detach 작업을 통해 원본 mdf, ldf 파일을 백업해 보관하고 실험 시마다 백업해놓은 원본 mdf, ldf 파일을 SQL Server에 Attach하여 이용하였다.
성능/효과
- 다만 미할당 삭제 데이터가 유지되고 있으므로 키워드 조사와 같은 직접 탐지의 방법으로 데이터 복구가 가능하다. drop은 truncate과 다르게 객체 자체를 삭제하는 방식을 취하므로 명령어 수행 후에 테이블 객체 자체와 페이지 할당 정보는 삭제되어 조사 시 관리 도구 이용이 불가능한 것으로 확인되었다. 그러나 테이블 객체와 페이지 할당 정보만 삭제할 뿐 페이지 자체를 초기화 하지 않으므로 미할당 삭제 데이터와 페이지 내 행오프셋 정보는 그대로 존재하므로 truncate과 같이 직접 탐지의 방법으로 데이터 복구가 가능한 것으로 확인하였다.
- 그러나 행오프셋 정보는 삭제되어 “0x0000”으로 갱신됨을 확인하였다. 결과적으로 delete를 삭제 수행 시 페이지 할당정보는 변화 없이 유지되므로 조사 시 관리도구 이용이 가능하며, 미할당 삭제데이터를 대상으로 데이터 복구가 가능하다. truncate는 DDL의 하나로 명령어 수행 후에 테이블 객체와 미할당 삭제 데이터, 행오프셋 정보는 그대로 유지되었다.
- 객체 자체가 삭제되어 관리도구를 통한 페이지 탐색이 어려우므로 PID 78 페이지의 Raw 데이터를 직접 탐지하였다. 그 결과 truncate과 동일하게 행오프셋 배열 및 행 데이터 모두 변화 없이 그대로 존재하고 있음을 확인하였다.
- drop은 truncate과 다르게 객체 자체를 삭제하는 방식을 취하므로 명령어 수행 후에 테이블 객체 자체와 페이지 할당 정보는 삭제되어 조사 시 관리 도구 이용이 불가능한 것으로 확인되었다. 그러나 테이블 객체와 페이지 할당 정보만 삭제할 뿐 페이지 자체를 초기화 하지 않으므로 미할당 삭제 데이터와 페이지 내 행오프셋 정보는 그대로 존재하므로 truncate과 같이 직접 탐지의 방법으로 데이터 복구가 가능한 것으로 확인하였다.
- truncate는 DDL의 하나로 명령어 수행 후에 테이블 객체와 미할당 삭제 데이터, 행오프셋 정보는 그대로 유지되었다. 그러나 페이지 할당정보가 초기화되어 조사 시 관리도구 이용이 불가능한 것으로 확인되었다. 다만 미할당 삭제 데이터가 유지되고 있으므로 키워드 조사와 같은 직접 탐지의 방법으로 데이터 복구가 가능하다.
- 실험에 사용한 명령문은 “DROP TABLE Employee”로 테이블을 삭제하였다. 실험 결과 drop은 테이블 객체를 삭제하는 명령어이므로 객체는 삭제와 동시에 페이지 할당 정보도 초기화 되었다. 객체 자체가 삭제되어 관리도구를 통한 페이지 탐색이 어려우므로 PID 78 페이지의 Raw 데이터를 직접 탐지하였다.
- 실험에 사용한 명령문은 “TRUNCATE TABLE Employee”로 테이블 전체를 초기화 하였다. 실험 결과 truncate를 이용한 테이블 초기화 후 테이블 객체는 계속적으로 유지되었으나 페이지 할당 정보 자체가 초기화 되어 조회되지 않았다. 행 데이터 존재 유무를 확인하기 위해 PID 78 페이지의 Raw 데이터를 직접 탐지한 결과, 행오프셋 배열 및 행 데이터 모두 변화 없이 그대로 존재하고 있음을 확인하였다, truncate 수행 시 페이지 할당정보 관리 페이지에서 해당 테이블 객체와 페이지의 링크를 해제하여 미할당으로 표시하는 방식임이 확인 되었다.
- 실험에 사용한 명령문은 “DELETE FROM Employee”로 별도의 조건을 붙이지 않고 전체 행을 삭제하였다. 실험 결과 삭제 후 테이블 객체와 페이지 할당은 변화 없이 동일하게 유지되었다. 행 데이터가 저장되어있는 PID 78 페이지를 탐지한 결과 행오프셋 배열은 초기화 되었으나 미할당 삭제 데이터가 페이지 내 그대로 존재하고 있음을 확인하였다.
- 실험 결과 세 종류의 삭제 이벤트로 인한 Page 할당 정보 유지 및 행오프셋 정보 등의 변화는 다소 차이가 있는 것으로 확인되었으나, 결과적으로 미할당 삭제 데이터는 모두 복구 가능한 것으로 확인되었다. 이는 디지털포렌식 조사를 수행함에 있어 Microsoft SQL Server 물리 데이터베이스 파일에서 의미 있는 정보를 추출하는데 도움이 될 것이다.
- 실험에 앞서, 데이터 삽입 후 페이지 할당 정보, 행오프셋 배열, 행 데이터의 상태를 확인하였다. 실험 테이블에는 2개의 페이지가 할당되어 있고 실제행 데이터는 PagePID 78 페이지에만 저장되어 있으며(Fig. 5 참조) 헤더와 행오프셋 배열 상 데이터는 정상적으로 저장되어 있음을 확인하였다(Fig. 6,Fig. 7 참조).
- 그리고 페이지 할당 정보의 변화 유무를 확인하고, 미할당 영역 내 데이터 잔존 유무와 페이지 내 행오프셋 배열의 초기화 여부를 살펴보는 순으로 진행하였다. 이를 바탕으로 데이터베이스 조사 시 관리도구 이용가능성을 확인하고 최종적으로 데이터 복구 가능성을 확인하였다.
- 실험 결과 truncate를 이용한 테이블 초기화 후 테이블 객체는 계속적으로 유지되었으나 페이지 할당 정보 자체가 초기화 되어 조회되지 않았다. 행 데이터 존재 유무를 확인하기 위해 PID 78 페이지의 Raw 데이터를 직접 탐지한 결과, 행오프셋 배열 및 행 데이터 모두 변화 없이 그대로 존재하고 있음을 확인하였다, truncate 수행 시 페이지 할당정보 관리 페이지에서 해당 테이블 객체와 페이지의 링크를 해제하여 미할당으로 표시하는 방식임이 확인 되었다. 다만 이 경우 관리도구 통해 테이블 객체에 할당된 페이지 정보를 확인하기 어려우므로 키워드 검색 등을 통한 직접 조사를 수행해야 한다.
- 실험 결과 삭제 후 테이블 객체와 페이지 할당은 변화 없이 동일하게 유지되었다. 행 데이터가 저장되어있는 PID 78 페이지를 탐지한 결과 행오프셋 배열은 초기화 되었으나 미할당 삭제 데이터가 페이지 내 그대로 존재하고 있음을 확인하였다.
후속연구
- 이는 디지털포렌식 조사를 수행함에 있어 Microsoft SQL Server 물리 데이터베이스 파일에서 의미 있는 정보를 추출하는데 도움이 될 것이다. 다만 이러한 결과를 실무에서 적용 가능하도록 도구개발을 통해 효율적인 디지털포렌식 조사가 이루어질 수 있도록 해야 할 것이며, update 명령 또는 컬럼 삭제 행위와 같은 데이터 갱신 및 유실 이벤트와 관련된 연구는 향후 과제로 남을 것이다.
- 실험 결과 세 종류의 삭제 이벤트로 인한 Page 할당 정보 유지 및 행오프셋 정보 등의 변화는 다소 차이가 있는 것으로 확인되었으나, 결과적으로 미할당 삭제 데이터는 모두 복구 가능한 것으로 확인되었다. 이는 디지털포렌식 조사를 수행함에 있어 Microsoft SQL Server 물리 데이터베이스 파일에서 의미 있는 정보를 추출하는데 도움이 될 것이다. 다만 이러한 결과를 실무에서 적용 가능하도록 도구개발을 통해 효율적인 디지털포렌식 조사가 이루어질 수 있도록 해야 할 것이며, update 명령 또는 컬럼 삭제 행위와 같은 데이터 갱신 및 유실 이벤트와 관련된 연구는 향후 과제로 남을 것이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.