데이터 복구 도구

Digital Forensic Wikipedia
둘러보기로 가기 검색하러 가기

데이터 복구 도구는 삭제되거나 훼손된 데이터를 복구하는데 활용할 목적으로 개발된 도구를 의미한다. 본 절에서는 각 도구들의 사용법 도구 기능, 제한사항, 수사 활용 방안을 설명한다. 마지막 항에는 도구 기능 분석 전략과 도구들의 객관적인 성능 비교를 위해 구축한 테스트 데이터 세트로 실험한 결과를 제시한다.

데이터 복구 도구 기능 분석

도구의 데이터 복구 기능에 대해 분석한다. NTFS, FAT32, exFAT, EXT4, HFS+, NoFileSystem의 총 여섯 테스트 이미지에서 기능을 분석하였다. 복구 대상 확장자는 총 29개로 구축했다. 각 확장자당 10개의 테스트 파일을 준비하여 USB에 입력한 후 삭제하여 테스트 이미지를 구축하였다. NoFileSystem은 NTFS에서 $MFT를 0x00값으로 덮어 쓴 것으로 도구의 카빙(Carving) 기능을 분석하기 위해 제작하였다. 각 확장자별 10개의 파일로 구축한 데이터세트로 복구 도구를 실행하여 결과를 기록한다. 각 도구의 확장자별로 TP, FP, TN를 기록하여 기능을 분석한다. TP는 도구에서 복구된 결과 중 테스트 파일과 일치하는 즉, 정상적으로 복구가 잘 된 파일의 개수를 의미하며 FP는 잘못 복구한 파일의 개수를 의미한다. TN는 복구하지 못한 파일의 개수를 의미한다. 이를 바탕으로 정확도, 오탐률, 미탐률을 산출해낸다. Quick Recovery의 테스트 결과는 다음 표는 분석 결과 내용을 간추린 것이다.

데이터 복구 도구 기능 도구 - FAT
도구 파일 분류 정확도 오탐률 미탐률
Quick Recovery 문서 1 0 0.118182
멀티미디어 1 0 0.0125
압축 1 0 0.075
1 0 0
실행파일 1 0 0
기타 1 0 0.45
DATA RESCUE PC3 문서 1 0 0.009091
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
GetDataBack 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Ontrack EasyRecovery 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Power Data Recovery 문서 0.64046 0.17772 0.29091
멀티미디어 0.41153 0.15097 0.55625
압축 0.56899 0.05601 0.3875
0.3367 0.32997 0.5
실행파일 0.066667 0.133333 0.98
기타 0.5 0 0.5
Recovery My Files 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
R-Studio 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Stellar Phoenix Windows Data Recovery 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0


데이터 복구 도구 기능 도구 - NTFS
도구 파일 분류 정확도 오탐률 미탐률
Quick Recovery 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
DATA RESCUE PC3 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
GetDataBack 문서 0.98347 0.01653 0
멀티미디어 0.99432 0.00568 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Ontrack EasyRecovery 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Power Data Recovery 문서 0.64046 0.17772 0.29091
멀티미디어 0.41153 0.15097 0.55625
압축 0.56899 0.05601 0.3875
0.3367 0.32997 0.5
실행파일 0.06667 0.13333 0.98
기타 0.5 0 0.5
Recovery My Files 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
R-Studio 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Stellar Phoenix Windows Data Recovery 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
데이터 복구 도구 기능 도구 - exFAT
도구 파일 분류 정확도 오탐률 미탐률
Quick Recovery 문서 - - -
멀티미디어 - - -
압축 - - -
- - -
실행파일 - - -
기타 - - -
DATA RESCUE PC3 문서 0.363636 0 0.681818
멀티미디어 0.855769 0.081731 0.075
압축 0.468408 0.156592 0.4125
0.439815 0.226852 0.5
실행파일 0 0 1
기타 0.5 0 0.5
GetDataBack 문서 - - -
멀티미디어 - - -
압축 - - -
- - -
실행파일 - - -
기타 - - -
Ontrack EasyRecovery 문서 0 1 1
멀티미디어 0 1 1
압축 0 1 1
0 1 1
실행파일 0 1 1
기타 0 1 1
Power Data Recovery 문서 0.583598 0.052765 0.427273
멀티미디어 0.730978 0.206522 0.20625
압축 0 0 1
0 0 1
실행파일 0 0.2 1
기타 0 0 1
Recovery My Files 문서 0.404234 0.595766 0.463636
멀티미디어 0.298077 0.701923 0.6875
압축 0.42595 0.57405 0.4875
0.9 0.1 0.1
실행파일 0.5 0.5 0.5
기타 1 0 0
R-Studio 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Stellar Phoenix Windows Data Recovery 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0


데이터 복구 도구 기능 도구 - ext4
도구 파일 분류 정확도 오탐률 미탐률
Quick Recovery 문서 - - -
멀티미디어 - - -
압축 - - -
- - -
실행파일 - - -
기타 - - -
DATA RESCUE PC3 문서 0.345455 0.018182 0.7
멀티미디어 0.344742 0.155258 0.58125
압축 0.48801 0.13699 0.4125
439825 0.226852 0.433333
실행파일 0 0 1
기타 1 0 0
GetDataBack 문서 - - -
멀티미디어 - - -
압축 - - -
- - -
실행파일 - - -
기타 - - -
Ontrack EasyRecovery 문서 0.554545 0.081818 0.563636
멀티미디어 0.267228 0.170272 0.64375
압축 0.510049 0.114951 0.425
0.25 0.083333 0.8
실행파일 0.646667 0.153333 0.28
기타 0.8 0.2 0.2
Power Data Recovery 문서 0.518202 0.209071 0.409091
멀티미디어 0.291712 0.208288 0.65625
압축 0.466468 0.283532 0.425
0.212121 0.121212 0.766667
실행파일 0 0.2 1
기타 1 0 0
Recovery My Files 문서 0.864646 0.135354 0.072727
멀티미디어 0.984375 0.015625 0.025
압축 0.77551 0.09949 0.025
0.752137 0.247863 0
실행파일 1 0 0
기타 1 0 0
R-Studio 문서 1 0 0
멀티미디어 0.6875 0 0.3125
압축 0.875 0 0.125
1 0 0
실행파일 1 0 0
기타 1 0 0
Stellar Phoenix Windows Data Recovery 문서 - - -
멀티미디어 - - -
압축 - - -
- - -
실행파일 - - -
기타 - - -


데이터 복구 도구 기능 도구 - HFS+
도구 파일 분류 정확도 오탐률 미탐률
Quick Recovery 문서 - - -
멀티미디어 - - -
압축 - - -
- - -
실행파일 - - -
기타 - - -
Mac - - -
DATA RESCUE PC3 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Mac 0 0 1
GetDataBack 문서 - - -
멀티미디어 - - -
압축 - - -
- - -
실행파일 - - -
기타 - - -
Mac - - -
Data Rescue For Mac 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Mac 1 0 0
Stellar Phoenix Mac Data Recovery 문서 0 0 1
멀티미디어 0 0 1
압축 0 0 1
0 0 1
실행파일 0 0 1
기타 0 0 1
Mac 0 0 1
Ontrack EasyRecovery 문서 0 0 1
멀티미디어 0 0 1
압축 0 0 1
0 0 1
실행파일 0 0 1
기타 0 0 1
Mac 0 0 1
Power Data Recovery 문서 0.6565289 0.07174 0.4
멀티미디어 0.19875 0.11375 -
압축 0 0 1
0 0.32997 0.5
실행파일 0.06667 0.333333 1
기타 0 0 1
Mac 0 0 1
Recovery My Files 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Mac 1 0 0
R-Studio 문서 1 0 0
멀티미디어 1 0 0
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Mac 1 0 0
Stellar Phoenix Windows Data Recovery 문서 - - -
멀티미디어 - - -
압축 - - -
- - -
실행파일 - - -
기타 - - -
Mac - - -


데이터 복구 도구 기능 도구 - NoFileSystem
도구 파일 분류 정확도 오탐률 미탐률
Quick Recovery - - -
멀티미디어 - - -
압축 - - -
- - -
실행파일 - - -
기타 - - -
DATA RESCUE PC3 문서 0.363636 0 0.681818
멀티미디어 0.431818 0.130682 0.5125
압축 0.5 0.125 0.375
0.433862 0.232804 0.533333
실행파일 0 0 1
기타 0.5 0 0.5
GetDataBack 문서 1 0 0
멀티미디어 0.975 0.025 0.025
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Ontrack EasyRecovery 문서 0.590591 0.045772 0.445455
멀티미디어 0.38548 0.11452 0.5875
압축 0.419956 0.080044 0.5
0.347619 0.319048 0.666667
실행파일 0.246667 0.153333 0.66
기타 0.928571 0.071429 0.2
Power Data Recovery 문서 1 0 0
멀티미디어 0.975 0.025 0.025
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
Recovery My Files 문서 1 0 0
멀티미디어 0.975 0.025 0.025
압축 1 0 0
1 0 0
실행파일 1 0 0
기타 1 0 0
R-Studio 문서 0.698646 0.119536 0.336364
멀티미디어 0.350315 0.212185 0.575
압축 0.53125 0.09375 0.3875
0.185185 0.148148 0.666667
실행파일 0.4 0 0.66
기타 1 0 0.15
Stellar Phoenix Windows Data Recovery 문서 - - -
멀티미디어 - - -
압축 - - -
- - -
실행파일 - - -
기타 - - -

하이픈(-)으로 표시된 부분은 도구에서 지원하지 않음을 의미한다. 결과에서 알 수 있듯이 파일 포맷별로 상이한 결과가 나타났으며 도구마다 편차가 크다는 것을 알 수 있다. 본 실험은 파일의 조각, 일부 깨짐 등을 고려하지 않았으므로 실제 사건 현장에서의 데이터 복구 결과가 위의 표에서 기술된 정확도와 일치하지는 않겠으나 특정 포맷에 대한 복구 성능을 비교할 수 있어 수사관의 도구 선택에 큰 도움을 줄 것이다.

정확도.png
미탐률.png
오탐률.png