| 1 |
1
디스크 또는 증거 이미지에서 적어도 하나의 마스터 파일 테이블(Master File Table; MFT) 엔트리 리스트를 생성하고 적어도 하나의 데이터 클러스터 후보를 수집하는 단계;상기 MFT 엔트리 리스트 및 상기 적어도 하나의 데이터 클러스터 후보를 사용하여 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보를 생성하는 단계;상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보에 대한 분석을 수행함으로써 가상 파티션의 속성 값을 결정하는 단계; 및상기 속성 값에 기반하여 상기 가상 파티션을 생성하는 단계를 포함하고,상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보의 각 MFT 엔트리-데이터 클러스터 쌍 후보는 MFT 엔트리 후보 및 상기 적어도 하나의 데이터 클러스터 후보 중 기정의된 조건을 충족시키는 데이터 클러스터 후보의 쌍이고,상기 MFT 엔트리 후보는 상기 MFT 엔트리 리스트의 적어도 하나의 MFT 엔트리 중 기정의된 조건을 충족시키는 MFT 엔트리이고,상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보를 이루는 상기 MFT 엔트리 후보는 기정의된 타입의 MFT 엔트리이고,상기 기정의된 타입의 MFT 엔트리는 MFT 엔트리 내에 기록된 논리적 클러스터 번호(Logical Cluster Number; LCN) 주소로부터의 물리적 주소로의 매핑을 가능하게 하는 MFT 엔트리인 파일 시스템 복구 방법
|
| 2 |
2
제1항에 있어서,상기 수집하는 단계는 상기 디스크 또는 상기 증거 이미지의 복수의 분할된 영역들에 대해 복수의 실행 유닛들에 의해 병렬로 각각 수행되는 파일 시스템 복구 방법
|
| 3 |
3
제2항에 있어서,상기 복수의 실행 유닛들의 개수는 상기 디스크 또는 상기 증거 이미지의 크기 및 상기 파일 시스템 복구 방법을 수행하는 파일 시스템 복구 장치의 프로세서의 개수에 기반하여 결정되는 파일 시스템 복구 방법
|
| 4 |
4
삭제
|
| 5 |
5
삭제
|
| 6 |
6
삭제
|
| 7 |
7
제1항에 있어서,상기 기정의된 MFT 엔트리의 MFT 엔트리 헤더는 기정의된 MFT 엔트리 헤더 시그니처를 포함하는 파일 시스템 복구 방법
|
| 8 |
8
디스크 또는 증거 이미지에서 적어도 하나의 마스터 파일 테이블(Master File Table; MFT) 엔트리 리스트를 생성하고 적어도 하나의 데이터 클러스터 후보를 수집하는 단계;상기 MFT 엔트리 리스트 및 상기 적어도 하나의 데이터 클러스터 후보를 사용하여 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보를 생성하는 단계;상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보에 대한 분석을 수행함으로써 가상 파티션의 속성 값을 결정하는 단계; 및상기 속성 값에 기반하여 상기 가상 파티션을 생성하는 단계를 포함하고,상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보의 각 MFT 엔트리-데이터 클러스터 쌍 후보는 MFT 엔트리 후보 및 상기 적어도 하나의 데이터 클러스터 후보 중 기정의된 조건을 충족시키는 데이터 클러스터 후보의 쌍이고,상기 MFT 엔트리 후보는 상기 MFT 엔트리 리스트의 적어도 하나의 MFT 엔트리 중 기정의된 조건을 충족시키는 MFT 엔트리이고,상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보를 이루는 상기 MFT 엔트리 후보는 기정의된 타입의 MFT 엔트리이고,상기 수집하는 단계는,MFT 최소 생성 단위를 이용하여 상기 디스크 또는 상기 증거 이미지에서 데이터가 독출될 위치를 결정하는 단계;상기 위치에서 MFT 엔트리가 검출되면, 상기 검출된 MFT 엔트리를 상기 MFT 엔트리 리스트에 추가하는 단계; 및상기 추가된 MFT 엔트리의 이전에, 적어도 하나의 역방향으로 연속된 MFT 엔트리가 검출되면 상기 적어도 하나의 역방향으로 연속된 MFT 엔트리를 상기 MFT 엔트리 리스트에 추가하는 단계를 포함하는 파일 시스템 복구 방법
|
| 9 |
9
제8항에 있어서,상기 검출된 MFT 엔트리를 상기 MFT 엔트리 리스트에 추가하는 단계는,상기 결정된 위치에서 데이터를 독출하는 단계;상기 독출된 데이터 중 기정의된 영역이 기정의된 MFT 엔트리 헤더 시그니처의 값을 가지면 독출된 데이터가 MFT 엔트리인 것으로 판단하는 단계; 및상기 독출된 데이터가 상기 MFT 엔트리인 것으로 판단되면, 상기 독출된 데이터를 상기 MFT 엔트리로서 상기 MFT 엔트리 리스트에 추가하는 단계를 포함하는 파일 시스템 복구 방법
|
| 10 |
10
제8항에 있어서,상기 추가하는 단계는,상기 MFT 최소 생성 단위만큼 상기 위치를 이동시키는 단계를 더 포함하는 파일 시스템 복구 방법
|
| 11 |
11
제8항에 있어서,상기 기정의된 조건은 상기 MFT 엔트리 후보 및 상기 데이터 클러스터 후보가 동일한 파티션 내의 데이터인 것인 파일 시스템 복구 방법
|
| 12 |
12
디스크 또는 증거 이미지에서 적어도 하나의 마스터 파일 테이블(Master File Table; MFT) 엔트리 리스트를 생성하고 적어도 하나의 데이터 클러스터 후보를 수집하는 단계;상기 MFT 엔트리 리스트 및 상기 적어도 하나의 데이터 클러스터 후보를 사용하여 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보를 생성하는 단계;상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보에 대한 분석을 수행함으로써 가상 파티션의 속성 값을 결정하는 단계; 및상기 속성 값에 기반하여 상기 가상 파티션을 생성하는 단계를 포함하고,상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보의 각 MFT 엔트리-데이터 클러스터 쌍 후보는 MFT 엔트리 후보 및 상기 적어도 하나의 데이터 클러스터 후보 중 기정의된 조건을 충족시키는 데이터 클러스터 후보의 쌍이고,상기 MFT 엔트리 후보는 상기 MFT 엔트리 리스트의 적어도 하나의 MFT 엔트리 중 기정의된 조건을 충족시키는 MFT 엔트리이고,상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보를 생성하는 단계는,상기 MFT 엔트리 리스트의 적어도 하나의 MFT 엔트리 후보 중 대상 MFT 엔트리 후보 및 상기 적어도 하나의 데이터 클러스터 후보 중 대상 데이터 클러스터 후보를 사용하여 부트 레코드의 위치를 계산하는 단계;상기 부트 레코드의 위치에 기반하여 상기 대상 MFT 엔트리 후보 및 상기 대상 데이터 클러스터 후보가 동일한 파티션 내의 데이터인지 여부를 판단하는 단계; 및상기 대상 MFT 엔트리 후보 및 상기 대상 데이터 클러스터 후보가 동일한 파티션 내의 데이터이면 상기 대상 MFT 엔트리 후보 및 상기 대상 데이터 클러스터 후보의 쌍을 상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보에 추가하는 단계를 포함하는 파일 시스템 복구 방법
|
| 13 |
13
제12항에 있어서,상기 부트 레코드의 위치는 상기 대상 MFT 엔트리 후보 및 상기 대상 데이터 클러스터 후보 간의 상대적인 위치에 기반하여 계산되는 파일 시스템 복구 방법
|
| 14 |
14
제12항에 있어서,상기 부트 레코드의 위치를 계산하는 단계는,상기 대상 MFT 엔트리 후보의 속성 값을 획득하는 단계;상기 대상 데이터 클러스터 후보의 속성 값을 획득하는 단계; 및상기 대상 MFT 엔트리 후보의 속성 값 및 상기 대상 데이터 클러스터 후보의 속성 값을 사용하여 상기 부트 레코드의 위치를 계산하는 단계를 포함하는 파일 시스템 복구 방법
|
| 15 |
15
제14항에 있어서,상기 대상 MFT 엔트리 후보의 속성 값은 MFT 엔트리 파일 크기, MFT 엔트리 파일 시작 위치 클러스터 오프셋 및 MFT 엔트리 파일 클러스터 개수를 포함하고,상기 대상 데이터 클러스터 후보의 속성 값은 현재 물리적 섹터 오프셋을 포함하는 파일 시스템 복구 방법
|
| 16 |
16
제15항에 있어서,상기 부트 레코드의 물리적 섹터 오프셋은 상기 현재 물리적 섹터 오프셋, 상기 MFT 엔트리 파일 시작 위치 클러스터 오프셋 및 상기 가상 파티션의 클러스터 당 바이트 개수에 기반하여 계산되고,상기 클러스터 당 바이트 개수는 상기 MFT 엔트리 파일 크기 및 상기 MFT 엔트리 파일 클러스터 개수에 기반하여 결정되는 파일 시스템 복구 방법
|
| 17 |
17
제14항에 있어서,상기 적어도 하나의 MFT 엔트리의 속성 값은 디렉토리 인덱스 크기, 디렉토리 인덱스 시작 위치 클러스터 오프셋 및 MFT 엔트리의 디렉토리 인덱스 클러스터 개수를 포함하고,상기 적어도 하나의 대상 데이터 클러스터 후보 속성 값은 상기 데이터 클러스터 후보의 물리적 섹터 오프셋을 포함하는 파일 시스템 복구 방법
|
| 18 |
18
제12항에 있어서,상기 가상 파티션의 속성 값은 상기 가상 파티션의 볼륨 크기를 포함하는 파일 시스템 복구 방법
|
| 19 |
19
제18항에 있어서,상기 볼륨 크기는 상기 가상 파티션의 클러스터 오프셋 최대 값 및 상기 가상 파티션의 부트 레코드의 위치를 사용하여 계산되는 파일 시스템 복구 방법
|
| 20 |
20
디스크 또는 증거 이미지에서 적어도 하나의 마스터 파일 테이블(Master File Table; MFT) 엔트리 리스트를 생성하고, 적어도 하나의 데이터 클러스터 후보를 수집하는 수집부;상기 MFT 엔트리 리스트의 및 상기 적어도 하나의 데이터 클러스터 후보를 사용하여 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보를 생성하는 분석부;상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보에 대한 분석을 수행함으로써 가상 파티션의 속성 값을 결정하고, 상기 속성 값에 기반하여 상기 가상 파티션을 생성하는 생성부를 포함하고,상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보의 각 MFT 엔트리-데이터 클러스터 쌍 후보는 MFT 엔트리 후보 및 상기 적어도 하나의 데이터 클러스터 후보 중 기정의된 조건을 충족시키는 데이터 클러스터 후보의 쌍이고,상기 MFT 엔트리 후보는 상기 MFT 엔트리 리스트의 적어도 하나의 MFT 엔트리 중 기정의된 조건을 충족시키는 MFT 엔트리이고,상기 적어도 하나의 MFT 엔트리-데이터 클러스터 쌍 후보를 이루는 상기 MFT 엔트리 후보는 기정의된 타입의 MFT 엔트리이고,상기 기정의된 타입의 MFT 엔트리는 MFT 엔트리 내에 기록된 논리적 클러스터 번호(Logical Cluster Number; LCN) 주소로부터의 물리적 주소로의 매핑을 가능하게 하는 MFT 엔트리인 파일 시스템 복구 장치
|
