리눅스 mlocate.db 파일 포맷 분석 및 활용 방안

Abstract

mlocate는 리눅스 운영체제에서 파일과 디렉터리 목록을 주기적으로 데이터베이스에 저장하고, 편리하게 검색할 수 있도록 도와주는 유틸리티이다. 파일검색 용도로 주로 사용되는 find, which, whereis 명령어보다 사용방법이 간단하고, 빠른 속도로 검색할 수 있어 주요 리눅스 배포본에 기본적으로 제공된다. 파일과 디렉터리 목록과 함께 시간 정보를 포함하고 있어 디지털 포렌식 관점에서도 유용한 아티팩트이다. 업데이트할 때 데이터베이스 파일을 삭제하고, 새로운 파일을 생성하는 특징이 있어 복구를 통해 과거 생성·삭제된 파일 및 디렉터리의 흔적과 시간을 특정할 수 있다. 본 논문에서는 분석 도구를 개발하여 디지털 포렌식 업무에 적용할 수 있도록 제안하였고, 사례를 통해 개발 도구를 실무에 적용하고 효용성을 검증하였다.