アンタイ・フォレンジック伝道者の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

Ext2ファイルシステムと削除ファイルのリカバリ

1.ファイルAが削除される(inode 99番)
2.ファイルBが作成され、削除される(inode 99番)
3.ディレクトリのエントリ情報からファイル情報を復元する
ファイルAとファイルBのエントリが発見される
4.ファイルAとファイルBはいずれも inode 99 を示すので、
メタ情報(MACtime等)は inode 99 のデータが表示
(例:ファイルAとファイルBは同じ MAC を持つことになる)
5.ファイルA とファイルB どちらが最後に inode 99 を利用
していたか判断するには?


関連URLのメモ
Design and Implementation of the Second Extended Filesystem
http://web.mit.edu/tytso/www/linux/ext2intro.html

10. ファイルシステム
http://www.linux.or.jp/JF/JFdocs/The-Linux-Kernel-10.html