WO2023204413A1 - 데이터복구기능이 부가된 컴퓨터 데이터 저장장치 및 그 제어방법 - Google Patents

데이터복구기능이 부가된 컴퓨터 데이터 저장장치 및 그 제어방법 Download PDF

Info

Publication number
WO2023204413A1
WO2023204413A1 PCT/KR2023/002197 KR2023002197W WO2023204413A1 WO 2023204413 A1 WO2023204413 A1 WO 2023204413A1 KR 2023002197 W KR2023002197 W KR 2023002197W WO 2023204413 A1 WO2023204413 A1 WO 2023204413A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
area
security area
storage device
recovery
Prior art date
Application number
PCT/KR2023/002197
Other languages
English (en)
French (fr)
Inventor
김덕우
Original Assignee
김덕우
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 김덕우 filed Critical 김덕우
Publication of WO2023204413A1 publication Critical patent/WO2023204413A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1458—Management of the backup or restore process
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements

Definitions

  • the present invention relates to computer data storage devices and file system management technology. Specifically, when using a data storage device with a storage space divided into a user area and a security area, when the user becomes aware of damage to the file system, a recovery mode is established. It is about file system management technology that can recover file system damage without the need to switch computers.
  • data storage devices such as SSDs and HDDs attached to computers are recognized as passive devices from the computer's perspective, and perform operations to access designated sectors or clusters according to commands sent from the computer.
  • the present applicant has applied for inventions related to data storage devices that provide active functions to existing data storage devices to enable recovery when the computer's file system is damaged from ransomware or virus attacks (WO 2018/ 208032, WO 2018/212474, and WO 2019/00951).
  • auxiliary storage devices including an original auxiliary memory device and a backup auxiliary memory device.
  • the original auxiliary memory device can be accessed by the host computer at all times, but the backup auxiliary memory device can be accessed under certain conditions (e.g., recovery mode). User access is restricted to only . Therefore, safe backup and recovery is possible by using the earlier application inventions.
  • the auxiliary storage device of WO 2018/212474 includes a separate central processing unit (CPU) and a storage media unit that protects and monitors the file system independently of the connected host computer.
  • the storage media unit has a user area where the host computer's OS is stored and the computer's writing and reading are possible, and optionally a copy of the host computer's OS is stored, and the host computer's writing and reading are selected by the mode selection switch. Includes a recovery area determined depending on the mode (normal mode, recovery mode).
  • the mode selection switch When the normal mode is selected by the mode selection switch, access to the recovery area by the host computer is completely blocked. Also, when the recovery mode is selected by the mode selection switch, when the host computer requests the OS of the user area during booting, a copy of the OS stored in the recovery area can optionally be provided to the host computer. Additionally, in normal mode, when the host computer changes the contents of a file or cluster in the user area, information necessary to restore the existing file or cluster is stored in the recovery area and the changed file is stored in the user area. In recovery mode, the user recovers the changed file system using the information necessary for recovery stored in the recovery area.
  • the operation mode In order to restore the file system in the inventor's earlier inventions, the operation mode must be changed to recovery mode, so the configuration and procedures are somewhat complicated. Therefore, if file system damage can be recovered without changing to recovery mode, it will be of great significance as users will be able to respond quickly.
  • the present inventor would like to propose a computer data storage device capable of recovering damaged data or files without separate mode switching.
  • the information for recovery is stored in a recovery area that is inaccessible to the host computer OS within the storage media unit, and then recovery is performed using the information in this recovery area. All data deletion is possible only in recovery mode. The reason it is configured to be available only in recovery mode is because there is a possibility that the recovery area may be damaged if it is exposed in an environment other than recovery mode. Meanwhile, in order to enter recovery mode, you must go through some time-consuming procedures, such as rebooting the host computer or checking whether the host computer is infected.
  • the file system of the host computer in normal mode, is configured to include only the user area, and the recovery area is not included in the file system of the host computer, so there is a problem of inaccessibility.
  • Implementation of the method according to the present invention For this to happen, there is a need to resolve this.
  • the computer data storage device according to the present invention is configured to have a security area different from the recovery area or recovery area of the prior invention.
  • the computer data storage device includes a storage unit with a user area and a security area, and operates in normal mode and management mode.
  • the host computer can always change the shape of the file system, including changing the properties of file system objects such as partitions, folders, and files.
  • the security area recovery information generated by the computer data storage device of the present invention for recovery of the user area is stored. This recovery information is included and displayed in the file system of the user area in normal mode, but cannot be changed or deleted by the host computer. It is impossible and can only be read, and the host computer is configured to be changed and deleted only in management mode.
  • the security area is displayed in the file system of the host computer in normal mode, and writing, deleting, and attribute changes are not possible, but reading is possible. Therefore, when the file system is damaged, the recovery program can quickly perform file system recovery using the recovery information provided through the security area. If the recovery program is stored in a secure area, it is safer from malicious code attacks. If the host computer attempts to change, delete, or write the properties of the security area in normal mode, this is rejected by the computer data storage device.
  • the security area can be created by setting a part of the data storage device as a security area during manufacturing, or by setting a part of the user area as a security area by the user in management mode.
  • a part of the recovery area can be created by designating it as a security area that can be displayed and used in management mode.
  • the data storage device can be configured to have both a recovery mode (see earlier application invention) and a management mode.
  • the computer data storage device creates recovery information for recovery when the host computer attempts to delete or change the contents of the storage device and stores it in the security area.
  • recovery information is basically created every time the sector or cluster is changed, so recovery is possible even if ransomware or hackers delete and encrypt the user's files.
  • This recovery information includes all changes to the file system, so users can revert the file system to a desired point in any case.
  • the computer data storage device deletes shape information (e.g., Master File Table (MFT), File Allocation Tabel (FAT), etc.) to delete a file or folder in the user area. It has the function of analyzing information and creating a file or folder according to the relevant shape information in the security area. For example, when the host computer deletes a specific file spring.docx in the user area, if the shape information of the file is deleted, spring.docx The clusters constituting the cluster are released from the occupied state, and the storage device of the present invention may provide immediately usable recovery information by creating a backup file called spring_backup202204051230001.docx in the security area by referring to the shape information before releasing the occupied state. Therefore, when a problem occurs, users can quickly and easily restore spring.docx by reading spring_backup202204051230001.docx without having to switch to management mode.
  • shape information e.g., Master File Table (MFT), File Allocation Tabel (FAT), etc.
  • the storage device of the present invention provides the user with information for recovery by creating the contents of the cluster and other information necessary for recovery in a file format and creating it in a secure area.
  • the host computer When changing the mode of a computer data storage device to management mode, the host computer (actually, the OS and application programs) can freely use the security area in that state, and recovery information may be deleted, so be careful.
  • OSs including Windows
  • file system objects such as folders or files read-only by changing their attributes.
  • malicious code such as ransomware can change the attributes. It is not secure as it can be deleted or encrypted.
  • a security area by having the user create a partition or folder with a predetermined name in management mode.
  • the data storage device manufacturer of the present invention has designed a partition or folder created with the name 'RECOVERY' to be recognized as a security area
  • the user can create a security area by creating the name of the partition or folder as 'RECOVERY'. You can.
  • the data storage device of the present invention creates recovery information when the file system is changed and stores it in a partition or folder named RECOVERY, which is a secure area.
  • the user can determine the size of the security area and set the management method for recovery information in management mode.
  • a management method can be set to notify the user and request management of the security area when recovery information accumulates in the security area and there is no free space.
  • the management method can be set to manage the security area by deleting the stored recovery information after a certain period of time without placing a limit on the size of the security area.
  • the security area creation and management procedures can be performed by the user executing the management program. For example, when a user purchases a computer data storage device according to the present invention and runs the management program on the host computer, the user is instructed to change the use mode to management mode, and the user switches to management mode and determines the location of the security area, Enter the name, size, etc. to create a secure area. At this time, the recovery program can be stored in the security area. Afterwards, when the user changes the mode to normal mode, the computer data storage device creates recovery information every time the shape of the user area changes and stores it in the security area. As mentioned earlier, the properties and contents of the security area cannot be changed by the host computer in normal mode and can only be read, and the host computer can change and delete them only in management mode.
  • a computer data storage device which embodies the above concept in order to solve the above-described problem, includes a host interface for communicating with a host computer; A storage unit that stores data by dividing it into a user area and a security area; a user input/output unit that receives input and related information regarding the operating modes of the computer data storage device, that is, normal mode and management mode, from the user and displays them; and a control unit connected to the host interface, storage unit, and user input/output unit to control the operation mode;
  • the user area of the storage unit allows the host computer to always change its shape, including changing the properties of file system objects such as partitions, folders, and files;
  • a computer data storage device creates and stores recovery information for recovery of the user area, and is included and displayed in the file system of the user area in normal mode, but cannot be changed or deleted by the host computer and can only be read. It is possible, and is characterized in that it is configured to allow change and deletion only in management mode.
  • the operation mode of the computer data storage device can be determined by data values received through host computer and host interface communication, in addition to using the user input/output unit, and the operating state can be displayed through the user input/output unit.
  • the recovery information is a file or a file created by the computer data storage device of the present invention in the security area according to the shape information by analyzing the shape information when the host computer deletes shape information to delete a file or folder in the user area. It can be a folder.
  • the data storage device creates recovery information and stores it in a secure area when the host computer attempts to delete or change the stored contents.
  • recovery information can be created every time the sector or cluster is changed, so the file system can be recovered even if ransomware or hackers delete and encrypt the user's files.
  • the recovery information includes all changes to the file system, the user can restore the file system to a desired point in any case.
  • recovery information stored in the security area can be read even in normal mode. Therefore, users can quickly recover a damaged file system without switching to recovery mode. Being able to view recovery information in normal mode is a big advantage, as the user can immediately restore the damaged file system with the recovery information.
  • the host computer when the host computer deletes the shape information of a file or folder in the user area, it analyzes this shape information and creates and moves the file or folder to the security area according to the shape information, allowing the user to quickly recover the file or folder in case of a problem. You can.
  • FIG. 1 is a configuration diagram of a computer data storage device according to an embodiment of the present invention.
  • Figure 2 is a procedure diagram for creating a security zone.
  • Figure 3 is a procedure diagram of another method of creating a security area.
  • Figures 4a to 4e are example file systems for explaining operation and recovery procedures in normal mode.
  • the computer data storage device 10 is divided into a host interface 100 for communicating with the host computer 20, a user area 201, and a security area 202.
  • This is a data storage unit 200, a user input/output unit 300 that receives input and related information from the user and displays the operation modes of the data storage device 10, that is, normal mode and management mode, and the above.
  • It is configured to include a control unit 400 that is connected to the host interface 100, the storage unit 200, and the user input/output unit 300 to control the operation mode of the computer data storage device 10. At this time, input regarding the normal mode and management mode can be received through the host interface 100, although it is somewhat dangerous.
  • the user input/output unit 300 includes an indicator 301 such as an LED that displays the operation mode and a mode switch 302 for selecting the operation mode.
  • the status of the indicator 301 is green when it is in normal mode, and when it is red it is in management mode.
  • the computer data storage device 10 operates in normal mode and management mode with a storage unit 200 having a user area 201 and a security area 202, and the user area 201 is a host unit.
  • the computer is always capable of freely changing the shape of the file system, including changing the properties of file system objects such as partitions, folders, and files, and the security area 202 allows the computer data storage device 10 to recover the user area 201.
  • Create and store recovery information for The security area 202 and its contents are included and displayed in the file system of the user area 201 in normal mode, but cannot be changed or deleted by the host computer; they can only be read, and can only be changed or deleted by the host computer in management mode. do.
  • the security area 202 is displayed on the computer's file system in normal mode, and writing, deleting, and attribute changes are not possible, and reading is possible. Therefore, when the file system is damaged, the recovery program can quickly perform the file system recovery using the recovery information provided by the security area 202. If the recovery program is stored in the security area 202, it can be safer from malicious code attacks. In normal mode, attempts to change, delete, or write properties of the security area 202 are rejected by the computer data storage device 10.
  • the security area 202 can be created in various ways. In one embodiment, it can be created by running a management program on the host computer 20.
  • the user connects the computer data storage device 10 according to the present invention to the host computer 20 and then executes the management program provided therein on the host computer.
  • the management program of the host computer 20 allows the user to change the mode of the computer data storage device 10 to management mode by using the mode switch 302 or by entering a password through the host interface 100. Guide you to deliver.
  • a signal to switch to the management mode is input to the control unit 400 of the data storage device 10, and the control unit 400 Upon receiving this, the mode is switched to management mode and the indicator 301 of the user input/output unit 300 turns red.
  • the management program of the host computer 20 receives the change to the management mode through the computer data storage device 10 and the host interface 100.
  • the management program when the management program guides the user to use the mode switch 302 or enter a password to switch the mode of the computer data storage device 10 to the management mode, the user When a password is entered, the management program of the host computer 20 transmits this password to the control unit 400 of the data storage device 10 through the host interface 100, and the control unit 400 compares it with the preset password. You can enter management mode by doing this. Setting and managing passwords can be easily implemented by following procedures commonly found in general computer devices. However, when using a password, it is easy to confirm that you have entered management mode, but caution is required as it can become an attack route for malicious code.
  • the management program of the host computer 20 requests status information of the computer data storage device 10 through the host interface 100 and waits
  • the computer data storage device 10 Provides profile information including its serial number, system software version, current operation mode, user area 201 information, and security area 202 information.
  • the management program receives this information and confirms that the computer data storage device has entered management mode.
  • the management program of the host computer 20 guides the user to set the properties of the security area 202. For example, you are instructed to name the security area 202.
  • the user assumes that the security area 202 is set in the top folder of the primary partition and names it MY_RECOVERY_DATA. You can.
  • the user can set the size of the security area 202 and set a management method for recovery information. For example, the size of the security area 202 is set to 100GB, and if recovery information continues to accumulate in the security area 202 and there is no free space, changing the shape of the user area 201 is prohibited and the user is notified to change the security area. It can be set to require management of (202).
  • the indicator 301 can be used as a method of notifying the user of the management request for the security area 202. For example, by changing the indicator 301 from green to green blinking, a message can be provided saying, “There is no free space in the security area 202, so delete old recovery information using a management program.”
  • the security area management method when the recovery information stored in the security area 202 increases beyond a certain level, recovery information that has elapsed for a certain period of time can be set to be deleted. For example, the user can set to delete recovery information up to 48 hours old in oldest order when the free space in the security area 202 falls below 5%. However, even in this case, it would be desirable to manage the recovery information in a way that the host computer 20 notifies the user, receives confirmation, and executes deletion.
  • Security area setting information set by the user is transmitted from the host computer 20 to the computer data storage device 10 through the host interface 100.
  • a security area is now created.
  • a recovery program may be stored therein.
  • a termination command is sent to the host computer 20, and the management program instructs the user to change the operation mode to normal mode.
  • the computer data storage device 10 records recovery information whenever the shape of the user area 201 changes. Create and store it in the security area 202 (for example, the MY_RECOVERY_DATA folder above). In normal mode, the properties and contents of the security area cannot be changed by the host computer and can only be read.
  • the user area 201 initially had a file system with two folders, data and system, as shown in Figure 4a. As the user created a folder named MY_RECOVERY_DATA in the security area 202, the security area 202 was created as shown in Figure 4b. You will have a file system that additionally includes the MY_RECOVERY_DATA folder. At this time, the MY_RECOVERY_DATA folder is empty.
  • control unit 400 when the control unit 400 receives a request for an overwrite operation, it creates an access record containing the contents and related information of the relevant clusters 01 to 04 before the operation and stores it in the MY_RECOVERY_DATA folder, which is a security area. At this time, since the contents of the clusters where shape information is stored are changed, this is also stored in the form of an access record. Accordingly, the file system (e.g. MFT, FAT, etc.) is changed as shown in Figures 4d and 4e. In Figure 4d, you can see that book.docx has been deleted and book.lockbit has been created, and in Figure 4e, you can see that five access records have been created as recovery information in the MY_RECOVERY_DATA folder.
  • MFT e.g. MFT, FAT, etc.
  • the computer data storage device can generate recovery information in the form of an immediately usable backup file such as book_backup202204051230001.docx using the access records of FIG. 4E or when the host computer deletes the shape information.
  • the recovery information may also include information about the linkage between access records (which object constitutes a file system).
  • the meaning of the first digit AR202202111722 in the access record file name in Figure 4e is an access record (AR) created at 17:22 on February 11, 2022, and the last digit means the serial number, and those starting with C are those of clusters 01 to 04. It represents the contents and related information, and the one starting with T represents the contents and related information of the cluster containing the file system configuration information, including the MFT.
  • the related information may include information indicating the interconnectedness of clusters. That is, information that clusters 01 to 04 form one file book.docx, for example, information that these five access records form the file book.docx may be included.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • General Health & Medical Sciences (AREA)
  • Quality & Reliability (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Storage Device Security (AREA)

Abstract

호스트인터페이스를 통해 호스트컴퓨터와 연결되는 컴퓨터 데이터 저장(data storage) 장치에 관한 발명으로, 이 컴퓨터 데이터 저장장치는, 데이터를 저장하며 사용자영역과 보안영역을 포함하는 저장유닛; 상기 컴퓨터 데이터 저장장치의 동작모드, 즉, 정상모드 및 관리모드에 관한 입력 및 관련정보를 사용자로부터 입력받고 이를 표시하는 사용자입출력유닛; 그리고 호스트컴퓨터와 통신하고 상기 저장유닛 및 사용자입출력장치와 연결되어, 상기 동작모드를 제어하는 제어유닛을 포함한다. 상기 제어유닛은 호스트컴퓨터가 상기 사용자영역의 형상정보를 변경하려 할 때 상기 사용자영역에 저장된 데이터를 보존하기 위한 복구(recovery)정보를 만들어 이를 상기 보안영역에 저장하도록 구성된다. 상기 사용자영역은 상기 호스트컴퓨터가 파일시스템의 형상정보를 자유롭게 변경할 수 있고, 상기 보안영역은 정상모드에서는 상기 호스트컴퓨터에 의한 변경이 불가능하고 읽기는 가능하며, 관리모드에서는 상기 호스트컴퓨터에 의한 변경이 가능하다. (대표도: 도 1)

Description

데이터복구기능이 부가된 컴퓨터 데이터 저장장치 및 그 제어방법
본 발명은 컴퓨터의 데이터 저장장치와 파일시스템 관리 기술에 관한 것으로, 구체적으로, 사용자영역과 보안영역으로 구분되는 저장공간을 가지는 데이터 저장장치를 사용함에 있어서 사용자가 파일시스템의 훼손을 알았을 때 복구모드로 컴퓨터를 전환할 필요가 없이 파일시스템의 훼손을 복구할 수 있는 파일시스템 관리 기술에 관한 것이다.
일반적으로 컴퓨터에 부착되는 SSD, HDD와 같은 데이터 저장장치는 컴퓨터입장에서는 수동장치의 하나로 인식되고, 컴퓨터로부터 전달되는 명령에 따라 지정된 섹터나 클러스터를 액세스하는 동작을 수행한다. 그러나 본 출원인은 기존 데이터 저장장치에 능동적인 기능들을 부여하여 랜섬웨어나 바이러스의 공격으로부터 컴퓨터의 파일시스템이 훼손되었을 때 복구가 가능하도록 한 데이터 저장장치에 관한 발명들을 출원한 바 있다(WO 2018/208032, WO 2018/212474, 및 WO 2019/00951). 이들 선출원발명은 원본 보조기억장치와 백업 보조기억장치를 포함하는 보조기억장치를 다루고 있는데, 원본 보조기억장치는 호스트컴퓨터가 상시 액세스 가능하지만 백업용 보조기억장치는 특정조건(예를 들면, 복구모드)에서만 사용자의 액세스가 가능하도록 제한된다. 따라서 선출원발명들을 이용하면 안전한 백업 및 복구가 가능하다.
특히, 상기 선출원발명들 중 WO 2018/212474의 보조기억장치는, 연결된 호스트컴퓨터와 독립적으로 파일시스템 보호 및 감시를 하는 별도의 중앙처리장치(CPU)와 저장매체유닛을 포함한다. 여기서 저장매체유닛은 호스트컴퓨터의 OS가 저장되고 컴퓨터의 쓰기 및 읽기가 가능한 사용자영역(user area)과, 선택적으로 호스트컴퓨터의 OS 복사본이 저장되며 호스트컴퓨터의 쓰기 및 읽기가 모드선택스위치에 의해 선택된 모드(정상모드, 복구모드)에 따라 결정되는 복구영역(recovery area)을 포함한다.
상기 모드선택스위치에 의해 정상모드가 선택되면 상기 복구영역은 호스트컴퓨터의 접근이 완전히 차단된다. 그리고 상기 모드선택스위치에 의해 복구모드가 선택된 경우, 부팅시에 호스트컴퓨터가 사용자영역의 OS를 요청하면 선택적으로 상기 복구영역에 저장된 OS의 복사본이 호스트컴퓨터에 제공될 수 있다. 또한, 정상모드에서는, 호스트컴퓨터가 상기 사용자영역의 파일이나 클러스터의 내용을 변경하는 경우에, 기존 파일이나 클러스터의 복구에 필요한 정보들은 상기 복구영역에 저장되고 변경된 파일은 상기 사용자영역에 저장된다. 복구모드에서는 사용자가 복구영역에 저장된 복구에 필요한 정보들을 이용하여 변경된 파일시스템을 복구하게 된다.
본 발명자의 선출원발명들에서 파일시스템의 복구를 위해서는 동작모드를 복구모드로 변경하여야 하므로 다소 구성 및 절차가 복잡하다. 따라서 복구모드로의 변경없이 파일시스템 훼손을 복구할 수 있다면 신속하게 사용자가 대응이 가능하므로 큰 의미가 있을 것으로 판단된다.
이에 본 발명자는 별도의 모드 전환 없이, 훼손된 데이터나 파일의 복구가 가능한 컴퓨터 데이터 저장장치를 제안하고자 한다.
앞에서 언급한 선출원발명들을 살펴보면, 복구를 위한 정보를 저장매체유닛 내 호스트컴퓨터 OS가 접근하기 불가능한 복구영역에 저장하였다가 이 복구영역의 정보를 이용하여 복구를 진행하게 되는데, 이 복구 작업과 복구영역 데이터의 삭제는 모두 복구모드에서만 가능하다. 복구모드에서만 가능하도록 구성한 이유는 복구모드가 아닌 환경에서 복구영역이 노출되면 복구영역이 훼손될 가능성이 발생하기 때문이다. 한편 복구모드로 진입하기 위해서는 호스트컴퓨터를 재부팅시키거나 호스트컴퓨터가 감염되지 않았는지를 확인하는 절차를 거쳐야 하는 등, 다소 시간이 걸리는 절차를 거쳐야 한다.
이는 안전한 방법이기는 하지만 많은 시간이 소요된다는 점에서 불편하다. 이러한 문제를 해결하기 위해서 정상모드에서도 복구영역의 정보를 읽어서 복구 작업에 사용할 수 있도록 하는 방법을 제공한다면 간단하게 파일시스템의 변경사항을 확인할 수 있고 복구가 가능하므로 큰 장점을 얻게 될 것이다.
상술한 선출원발명에 따르면 정상모드에서 호스트컴퓨터의 파일시스템은 사용자영역만 포함하도록 구성되고 복구영역은 호스트컴퓨터의 파일시스템에 포함되지 않아 접근이 불가능한 문제가 있는바, 본 발명에 따른 방법의 구현을 위해서는 이에 대해 해결해야 할 필요가 있다. 이를 위해서 본 발명에 따른 컴퓨터 데이터 저장장치는 선출원 발명의 복구영역 또는 복구영역과 다른 보안영역을 갖도록 구성된다.
즉, 본 발명에 따른 컴퓨터 데이터 저장장치는 사용자영역과 보안영역을 갖는 저장유닛을 포함하고, 정상모드와 관리모드로 동작한다. 상기 사용자영역은 호스트컴퓨터가 파티션, 폴더, 파일과 같은 파일시스템 오브젝트의 속성 변경을 포함한 파일시스템의 형상 변경이 항상 가능하다. 보안영역에는 본 발명의 컴퓨터 데이터 저장장치가 사용자영역의 복구를 위하여 생성한 복구정보가 저장되는데, 이 복구정보는 정상모드에서 사용자영역의 파일시스템에 포함되고 표시되지만 호스트컴퓨터가 변경하거나 삭제하는 것은 불가능하고 읽기만 가능하며, 관리모드에서만 호스트컴퓨터가 변경 및 삭제 가능하도록 구성된다.
상기 보안영역은 선출원발명의 복구영역(또는 복구영역)과 달리 정상모드에서 호스트컴퓨터의 파일시스템에 표시되고, 쓰기, 삭제, 및 속성변경은 불가능하고 읽기는 가능하다. 따라서 파일시스템이 손상되었을 때 복구프로그램은 보안영역을 통해서 제공되는 복구정보를 이용하여 파일시스템의 복구작업을 신속하게 수행할 수 있다. 만일 복구프로그램이 보안영역에 저장되어 있다면 악성코드의 공격으로부터 보다 더 안전해진다. 호스트컴퓨터가 정상모드에서 보안영역의 속성변경이나 삭제 또는 쓰기를 시도하면 이는 컴퓨터 데이터 저장장치에 의해서 거절된다.
보안영역은, 제조시에 데이터 저장장치의 일부 공간을 보안영역으로 설정하거나, 관리모드에서 사용자가 사용자영역의 일부를 보안영역으로 설정하여 생성할 수 있다. 또는, 선출원발명들과 같이 복구영역을 갖는 경우에는 복구영역의 일부를 관리모드에서 표시되고 사용이 가능한 보안영역으로 지정하여 생성할 수 있다. 이 경우 데이터저장장치는 복구모드(선출원발명 참조)와 관리모드를 동시에 가지도록 구성될 수 있다.
한편 본 발명에 따른 컴퓨터 데이터 저장장치는 호스트컴퓨터가 저장장치의 내용을 삭제하거나 변경하려 할 때 이를 복구하기 위한 복구정보를 만들어 보안영역에 저장한다. 이때 복구정보는 기본적으로 해당 섹터나 클러스터를 변경할 때마다 만들어지기 때문에 랜섬웨어나 해커가 사용자의 파일을 삭제하고 암호화하더라도 복구가 가능하다. 이 복구정보는 파일시스템의 변경사항을 모두 포함하고 있으므로 사용자는 어떠한 경우라도 파일시스템을 원하는 시점으로 되돌릴 수 있다.
추가적으로 본 발명에 따른 컴퓨터 테이터 저장장치는 호스트컴퓨터가 사용자영역의 파일이나 폴더를 삭제하기 위하여 형상정보(예를 들면 MFT(Master File Table), FAT(File Allocation Tabel 등)를 삭제하게 되면, 해당 형상정보를 분석하여 해당 형상정보에 따른 파일이나 폴더를 보안영역에 생성하는 기능을 가진다. 예를 들면 호스트컴퓨터가 사용자영역의 특정파일 spring.docx을 삭제할 때 해당 파일의 형상정보를 삭제하면 spring.docx를 구성하는 클러스터들은 점유상태가 해제되는데, 본 발명의 저장장치는 점유상태를 해제하기 전에 형상정보를 참고하여 spring_backup202204051230001.docx이라는 백업파일을 보안영역에 생성함으로써 즉시 이용이 가능한 복구정보를 제공할 수도 있다. 따라서 사용자는 문제 발생시 관리모드로 전환할 필요없이 spring_backup202204051230001.docx를 읽어서 spring.docx를 빠르고 쉽게 복구할 수 있다.
한편 호스트컴퓨터를 장악한 랜섬웨어가 파일 Spring.docx을 삭제할 때는 해당 파일의 형상정보를 읽은 후 형상정보에 있는 파일데이터의 저장위치를 파악하여 해당 클러스터에 직접 덮어쓰기를 시도할 수 있다. 이 경우 본 발명의 저장장치는 해당 클러스터의 내용과 기타 복구에 필요한 정보를 파일형식으로 만들어 보안영역에 생성함으로써 복구를 위한 정보를 사용자에게 제공하게 된다.
컴퓨터 데이터 저장장치의 모드를 관리모드로 바꾸게 되면 그 상태에서는 호스트컴퓨터가(실질적으로, OS와 어플리케이션프로그램이) 자유롭게 보안영역을 사용할 수 있게 되어 복구정보가 삭제될 수 있으므로 조심하여야 한다. 일반적으로 윈도즈를 비롯한 대개의 OS는 폴더나 파일 등의 파일시스템 오브젝트를 속성(attribute)을 바꾸어 읽기만 가능하도록 만들 수 있으나, 이는 결국 OS의 통제하에 있는 것으로 랜섬웨어와 같은 악성코드가 속성을 변경하여 삭제하거나 암호화할 수 있어 안전하지 않다.
보안영역을 생성하는 방식을 예로 들면, 관리모드에서 사용자가 파티션이나 폴더를 사전에 정해진 이름으로 생성하여서 보안영역을 만드는 방식이 있다. 예컨대, 본 발명의 데이터 저장장치 제조업체가 'RECOVERY'라는 이름으로 생성되는 파티션이나 폴더를 보안영역으로 인식하도록 설계하였다고 가정하면, 사용자가 파티션이나 폴더의 이름을 'RECOVERY'로 생성함으로써 보안영역을 만들 수 있다. 그렇게 되면 본 발명의 데이터 저장장치는 파일시스템의 변경시에 복구정보를 만들어 보안영역인 RECOVERY라는 이름의 파티션이나 폴더에 저장하게 된다.
또한, 사용자는 관리모드에서 보안영역의 크기를 정하고 복구정보의 관리방식을 설정할 수 있다. 복구정보 관리방식의 일례로, 상기 보안영역에 복구정보가 누적되어 여유공간이 없게 될 때 사용자에게 통보하여 보안영역의 관리를 요구하도록 관리방식을 설정할 수 있다. 복구정보 관리방식의 다른 예로, 보안영역의 크기는 제한을 두지 않고 일정기간이 경과시에 저장된 복구정보를 삭제하는 방식으로 보안영역을 관리하도록 관리방식을 설정할 수도 있다.
한편 보안영역의 생성 및 관리절차는 사용자가 관리프로그램을 실행시킴으로써 수행 가능하다. 예를 들면 사용자가 본 발명에 따른 컴퓨터 데이터 저장장치를 구입하고 관리프로그램을 호스트컴퓨터에서 실행시키면 사용자는 사용모드를 관리모드로 변경할 것을 안내받게 되고, 사용자가 관리모드로 전환하고 보안영역의 위치, 이름, 크기 등을 입력하면 보안영역이 만들어진다. 이때 복구프로그램은 보안영역 안에 저장될 수 있다. 이후에 사용자가 모드를 정상모드로 변경하면 컴퓨터 데이터 저장장치는 사용자영역의 형상이 변경될 때마다 복구정보를 만들어 이를 보안영역에 저장한다. 앞에서 언급했지만, 보안영역의 속성 및 내용은, 정상모드에서는 호스트컴퓨터에 의해서 변경이 불가능하고 읽기만 가능하며, 관리모드에서만 호스트컴퓨터가 변경 및 삭제를 할 수 있다.
전술한 과제의 해결을 위하여 이상의 개념을 구체화한 본 발명에 따른 컴퓨터 데이터저장장치는, 호스트컴퓨터와 통신하기 위한 호스트인터페이스; 사용자영역과 보안영역으로 나누어 데이터를 저장하는 저장유닛; 본 컴퓨터 데이터 저장장치의 동작모드, 즉, 정상모드 및 관리모드에 관한 입력 및 관련정보를 사용자로부터 입력받고 이를 표시하는 사용자입출력유닛; 그리고 상기 호스트인터페이스, 저장유닛, 및 사용자입출력유닛과 연결되어 상기 동작모드를 제어하는 제어유닛을 포함하여 구성되고;
상기 저장유닛의 사용자영역은, 호스트컴퓨터가 파티션, 폴더, 파일과 같은 파일시스템 오브젝트의 속성 변경을 포함한 형상변경이 항상 가능하고;
상기 저장유닛의 보안영역은, 컴퓨터 데이터저장장치가 사용자영역의 복구를 위한 복구정보를 만들어 저장하며, 정상모드에서 사용자영역의 파일시스템에 포함되고 표시되지만 호스트컴퓨터가 변경하거나 삭제하는 것은 불가능하고 읽기만 가능하며, 관리모드에서만 변경 및 삭제가 가능하도록 구성되는 것을 특징으로 한다.
이때 상기 컴퓨터 데이터 저장장치의 동작모드는, 상기 사용자입출력유닛을 이용하는 방식 이외에, 호스트컴퓨터와 호스트인터페이스 통신을 통해서 전달받는 데이터값으로 결정될 수 있고 동작상태는 상기 사용자입출력유닛을 통해서 표시될 수 있다.
이때 상기 복구정보는 호스트컴퓨터가 사용자영역의 파일이나 폴더를 삭제하기 위하여 형상정보를 삭제할 때, 해당 형상정보를 분석하여 해당 형성정보에 따라 본 발명의 컴퓨터 데이터 저장장치가 보안영역에 생성하는 파일이나 폴더가 될 수 있다.
상술한 본 발명의 세부 특징 및 다른 특징들은 이하에서 도면과 함께 설명하는 구체적인 실시예를 통하여 더욱 명확해질 것이다.
본 발명에 따른 데이터 저장장치는 호스트컴퓨터가 저장 내용을 삭제하거나 변경하려 할 때 복구정보를 만들어 보안영역에 저장한다. 이때 복구정보는 해당 섹터나 클러스터를 변경할 때마다 만들어질 수 있기 때문에 랜섬웨어나 해커가 사용자의 파일을 삭제하고 암호화하더라도 파일 시스템의 복구가 가능하다. 또한 복구정보는 파일시스템의 변경사항을 모두 포함하고 있으므로 사용자는 어떠한 경우라도 파일시스템을 원하는 시점으로 되돌릴 수 있다. 또한 선출원발명에서는 복구영역에 저장된 복구정보가 복구모드에서만 읽힐 수 있었던 것과 다르게 본 발명에 따른 컴퓨터 저장장치에서는 보안영역에 저장된 복구정보가 정상모드에서도 읽힐 수 있다. 따라서 사용자는 복구모드로의 전환 없이도 손상된 파일시스템을 신속하게 복구할 수 있다. 정상모드에서 복구정보를 볼 수 있다는 것은 큰 장점이 되는데　사용자가 복구정보를 가지고 손상된 파일시스템을 바로 복구가능하다.
또한 호스트컴퓨터가 사용자영역의 파일이나 폴더의 형상정보를 삭제할 때 이 형상정보를 분석하여 형상정보에 따라 파일이나 폴더를 보안영역에 생성해 옮겨 놓음으로써 문제 발생시 사용자가 신속하게 파일이나 폴더를 복구할 수 있다.
도 1은 본 발명의 실시예에 따른 컴퓨터 데이터 저장장치의 구성도
도 2는 보안영역을 생성하는 방식의 절차도
도 3은 보안영역을 생성하는 다른 방식의 절차도
도 4a~4e는 정상모드에서의 동작과 복구절차의 설명을 위한 파일시스템 예시도
이하, 본 발명의 바람직한 실시예를 첨부 도면을 참조하여 상세히 설명한다. 이하의 설명에서 사용된 용어는 본 발명의 바람직한 실시예를 설명하기 위한 것이며 본 발명을 제한하고자 하는 것이 아니다. 본 명세서에서, 단수형은 특별히 언급하지 않는 한 복수형도 포함한다. 또한 명세서에 사용된 '포함한다(comprise, comprising 등)'라는 용어는 언급된 구성요소, 단계, 동작, 및/또는 소자 이외의 하나 이상의 다른 구성요소, 단계, 동작, 및/또는 소자의 존재 또는 추가를 배제하지 않는 의미로 사용된 것이다.
도 1을 참조하면, 본 발명의 실시예에 따른 컴퓨터 데이터 저장장치(10)는, 호스트컴퓨터(20)와 통신하기 위한 호스트인터페이스(100), 사용자영역(201)과 보안영역(202)로 영역이 구분되는 데이터 저장유닛(200), 데이터 저장장치(10)의 동작모드, 즉, 정상모드와 관리모드에 관한 입력 및 관련 정보를 사용자로부터 입력받고 이를 표시하는 사용자입출력유닛(300), 그리고 상기 호스트인터페이스(100), 저장유닛(200), 사용자입출력유닛(300)과 연결되어 컴퓨터 데이터 저장장치(10)의 동작모드를 제어하는 제어유닛(400)을 포함하여 구성된다. 이때 정상모드와 관리모드에 관한 입력은 다소 위험하기는 하지만 호스트인터페이스(100)를 통해서 수신할 수도 있다. 한편 사용자입출력유닛(300)에는 동작모드를 표시하는 LED 등의 인디케이터(301)와 동작모드 선택을 위한 모드스위치(302)가 포함된다. 인디케이터(301)의 상태는 예를 들어 녹색일 때 정상모드, 적색일 때 관리모드이다.
이와 같은 본 발명에 따른 컴퓨터 데이터 저장장치(10)는 사용자영역(201)과 보안영역(202)을 갖는 저장유닛(200)을 가지고 정상모드와 관리모드로 동작하는데, 사용자영역(201)은 호스트컴퓨터가 파티션, 폴더, 파일과 같은 파일시스템 오브젝트의 속성 변경을 포함하여 파일시스템의 자유로운 형상변경이 항상 가능하고, 보안영역(202)은 컴퓨터 데이터 저장장치(10)가 사용자영역(201)의 복구를 위한 복구정보를 만들어 저장한다. 보안영역(202) 및 그 내용은 정상모드에서 사용자영역(201)의 파일시스템에 포함되고 표시되지만 호스트컴퓨터가 변경하거나 삭제하는 것은 불가능하고 읽기만 가능하며, 관리모드에서만 호스트컴퓨터가 변경 및 삭제가 가능하다.
즉 보안영역(202)은 선출원발명의 복구영역과 달리 정상모드에서 컴퓨터의 파일시스템에 표시되고, 쓰기, 삭제, 및 속성변경은 불가능하고 읽기가 가능하다. 따라서 파일시스템이 손상되었을 때 복구프로그램은 보안영역(202)에 의해 제공되는 복구정보를 이용하여 파일시스템의 복구작업을 신속하게 수행할 수 있다. 만일 복구프로그램이 보안영역(202)에 저장되어 있으면 악성코드의 공격으로부터 더 안전해질 수 있다. 정상모드에서 보안영역(202)의 속성변경이나 삭제, 쓰기 시도는 컴퓨터 데이터 저장장치(10)에 의해서 거절된다.
이제 상기 보안영역(202)을 만드는 방법을 살펴보자. 보안영역(202)은 다양한 방법으로 만들 수 있는데 일 실시예에서는 호스트컴퓨터(20)에서 관리프로그램을 실행시켜서 만들 수 있다.
일 실시예로, 도 2를 참조하면, 사용자는 본 발명에 따른 컴퓨터 데이터 저장장치(10)를 호스트컴퓨터(20)에 연결한 후 함께 제공되는 관리프로그램을 호스트컴퓨터에서 실행한다. 호스트컴퓨터(20)의 관리프로그램은, 실행되면, 사용자에게 컴퓨터 데이터 저장장치(10)의 모드를 관리모드로 전환하기 위해 모드스위치(302)를 이용하거나 패스워드를 입력받아 호스트인터페이스(100)를 통해 전달하도록 안내한다.
사용자가 사용자입출력유닛(300)의 모드스위치(302)를 이용하여 관리모드를 선택하면 관리모드로의 전환 신호가 데이터 저장장치(10)의 제어유닛(400)에 입력되고 제어유닛(400)은 이를 받아 모드를 관리모드로 전환하고 사용자입출력유닛(300)의 인디케이터(301)를 적색으로 바꾼다. 호스트컴퓨터(20)의 관리프로그램은 컴퓨터 데이터 저장장치(10)와 호스트인터페이스(100)를 통하여 관리모드로의 변경을 전달받는다.
다른 실시예로, 도 3을 참조하면, 관리프로그램이 사용자에게 컴퓨터 데이터 저장장치(10)의 모드를 관리모드로 전환하기 위해 모드스위치(302)를 이용하거나 패스워드를 입력하도록 안내한 것에 대해, 사용자가 패스워드를 입력하면 호스트컴퓨터(20)의 관리프로그램은 이 패스워드를 호스트인터페이스(100)를 통해서 데이터 저장장치(10)의 제어유닛(400)에 전달하고 제어유닛(400)이 기설정된 패스워드와 비교하여 관리모드로 진입시킬 수 있다. 패스워드의 설정 및 관리는 일반적인 컴퓨터디바이스에서 흔하게 볼 수 있는 절차를 따라 쉽게 구현 가능하다. 단, 패스워드를 이용하는 경우는 관리모드에 진입한 것을 쉽게 확인할 수는 있으나 악성코드의 공격루트가 될 수 있으니 주의가 필요하다.
계속해서, 도 2와 도 3을 참조하면, 호스트컴퓨터(20)의 관리프로그램이 호스트인터페이스(100)를 통하여 컴퓨터 데이터 저장장치(10)의 상태정보를 요청하고 대기하면 컴퓨터 데이터 저장장치(10)가 자신의 제조번호, 시스템소프트웨어 버전, 현재동작모드, 사용자영역(201)의 정보, 보안영역(202)의 정보를 포함하는 프로파일정보를 제공하게 된다. 관리프로그램은 이러한 정보를 받아 컴퓨터 데이터 저장장치가 관리모드에 진입한 것을 확인하게 된다.
관리모드로 변경하기 전에 사용자는 반드시 악성코드가 없는지를 확인하여야 한다. 악성코드가 컴퓨터 데이터 저장장치(10)의 정보를 읽거나 보안영역(202)의 내용을 변경하거나 삭제할 수 있기 때문에 주의가 필요하다.
다음으로, 관리모드의 상태에서 호스트컴퓨터(20)의 관리프로그램은 사용자에게 보안영역(202)의 속성 등을 설정하도록 안내한다. 예를 들어 보안영역(202)의 이름을 정할 것을 안내하게 되는데 일 실시예에서 사용자는 프라이머리(primary) 파티션의 최상위 폴더에 보안영역(202)을 설정하는 것으로 가정하고 그 이름을 MY_RECOVERY_DATA라고 명명할 수 있다. 또한 사용자는 보안영역(202)의 크기를 설정할 수 있고 복구정보의 관리방식을 설정할 수 있다. 예를 들면 보안영역(202)의 크기는 100GB로 설정하고, 보안영역(202)에 복구정보가 계속 누적되어 여유공간이 없게 되면 사용자영역(201)의 형상변경을 금지하고 사용자에게 통보하여 보안영역(202)의 관리를 요구하도록 설정할 수 있다. 여기서 사용자에게 보안영역(202)의 관리 요구를 통보하는 방법으로 인디케이터(301)를 사용할 수 있다. 예를 들어, 인디케이터(301)를 녹색에서 녹색점멸로 바꿈으로써 "보안영역(202)에 여유공간이 없으므로 관리프로그램을 이용하여 오래된 복구정보를 삭제하시오"라는 안내를 할 수 있다. 보안영역 관리방식 설정의 다른 예로, 보안영역(202)에 저장되는 복구정보가 일정 수준 이상으로 많아지면 일정 기간이 경과한 복구정보를 삭제하도록 설정할 수 있다. 예를 들어, 사용자는 보안영역(202)의 여유공간이 5% 이하가 되면 오래된 순서대로 48시간 이전까지의 복구정보를 삭제하도록 설정할 수 있다. 단, 이 경우에도 호스트컴퓨터(20)가 사용자에게 통보하고 확인을 받아서 삭제를 실행하는 방식으로 복구정보를 관리하는 것이 바람직할 것이다.
사용자에 의해 설정된 보안영역 설정정보는 호스트컴퓨터(20)로부터 호스트인터페이스(100)를 통해서 컴퓨터 데이터 저장장치(10)에 전달된다. 컴퓨터 데이터 저장장치(10)에서는 이제 보안영역이 만들어진다. 경우에 따라, 보안영역(202)이 만들어지면 그 안에 복구프로그램이 저장될 수 있다.
사용자가 설정을 마치고 관리프로그램을 종료하려 하면 종료 명령이 호스트컴퓨터(20)로 전송되고, 이에 관리프로그램은 사용자에게 동작모드를 정상모드로 변경하도록 안내한다. 사용자가 모드스위치(302)를 이용하여(도 2) 또는 관리프로그램을 통해(도 3) 정상모드로 변경하면 컴퓨터 데이터 저장장치(10)는 사용자영역(201)의 형상이 변경될 때마다 복구정보를 만들어 이를 보안영역(202)(예를 들어 상기 MY_RECOVERY_DATA 폴더)에 저장하는 작업을 수행한다. 정상모드에서 보안영역은 속성 및 내용이 호스트컴퓨터에 의해서는 변경이 불가능하고 읽기만 가능하다.
이제 정상모드에서의 동작과 복구절차에 대해서 도 4a~4e의 구체적인 예를 들어 살펴보자.
사용자영역(201)은 최초에 도 4a와 같이 data와 system의 2개 폴더가 있는 파일시스템을 가지고 있었는데, 사용자가 보안영역(202)으로 MY_RECOVERY_DATA라는 이름의 폴더를 생성함에 따라 도 4b와 같이 보안영역 MY_RECOVERY_DATA 폴더가 추가로 포함된 파일시스템을 가지게 된다. 이때 MY_RECOVERY_DATA 폴더는 비어 있다.
이제 사용자가 MS-WORD로 문서 book.docx를 새로 만들어 최상위 데이터 폴더에 저장하였다고 가정하자. 그렇게 되면 호스트컴퓨터의 파일시스템은 도 4c와 같이 book.docx가 포함된 형태로 변경될 것이다. 이때 book.docx는 컴퓨터 데이터 저장장치(10)의 저장유닛(200)의 클러스터 01~04에 저장되어 있다고 가정한다. 다음으로 랜섬웨어 락비트(Lockbit)가 침입하여 book.docx의 파일정보(예를 들면 FAT, MFT)를 읽어들여 암호화된 파일 book.lockbit를 만들고, book.docx가 클러스터 01~04 사이에 저장된 것을 알아채어 해당 클러스터들에 덮어쓰기를 하여 형상(구성)정보를 삭제하는 경우를 생각해보자. 이 경우 제어유닛(400)은 덮어쓰기 작업을 요청받으면 작업 전에 해당 클러스터 01~04의 내용과 관련정보를 담은 액세스레코드(access record)를 만들어 보안영역인 MY_RECOVERY_DATA 폴더에 저장한다. 이때 형상정보가 저장된 클러스터들의 내용이 변경되므로 이 또한 액세스레코드 형태로 저장된다. 이에 따라 파일시스템(예를 들면 MFT, FAT 등)은 도 4d, 도 4e와 같이 변경된다. 도 4d에서 book.docx가 삭제되고 book.lockbit가 생긴 것을 볼 수 있고, 도 4e에서 MY_RECOVERY_DATA 폴더에 복구정보로서 액세스레코드(access record)가 5개 생성된 것을 볼 수 있다. 이때 컴퓨터 데이터 저장장치는 도 4e의 access record들을 이용하거나, 또는 호스트컴퓨터가 형상정보를 삭제할 때 이를 이용하여 book_backup202204051230001.docx와 같은 즉시 사용가능한 백업파일 형태의 복구정보를 생성할 수 있다. 여기서, 복구정보에는, 상기 액세스레코드 이외에 액세스레코드들 사이의 연계성(파일시스템상 어떤 오브젝트를 구성하는지)에 대한 정보 등도 포함될 수 있다.
도 4e의 액세스레코드 파일 이름에서 앞자리 AR202202111722의 뜻은 2022년 2월 11일 17시 22분에 생성된 액세스레코드(AR)라는 것이고, 뒷자리는 연번을 의미하며 C로 시작하는 것은 클러스터 01~04의 내용과 관련정보를 나타내고 T로 시작하는 것은 MFT를 포함한 파일시스템 형상정보를 담고 있는 클러스터의 내용과 관련정보를 나타낸다. 여기서 관련정보에는 클러스터들의 상호 연관성을 표시하는 정보가 포함될 수 있다. 즉 클러스터 01 ~ 클러스터 04가 하나의 파일 book.docx를 형성하고 있다는 정보, 예를 들면 이 다섯개의 액세스레코드가 파일 book.docx를 형성하는 정보가 포함될 수 있다.
만일 랜섬웨어 Lockbit가 MY_RECOVERY_DATA 폴더의 내용을 지우려 시도한다해도 그 내용은 보안영역(202) 내에 있기 때문에 속성 및 내용변경이 금지되므로 액세스레코드를 포함하는 복구정보는 안전하다. 또한 랜섬웨어 Lockbit로 인해 지속적으로 복구정보가 만들어져, 설정된 용량 100GB가 다 채워지면 제어유닛(400)은 더 이상 호스트컴퓨터의 요구에 응답하지 않고 사용자의 확인을 요청하게 되므로 복구정보는 안전하게 지켜진다.
이제 복구절차를 살펴보자. 사용자가 랜섬웨어에 감염된 것을 알게 되면 사용자는 랜섬웨어를 제거하는 랜섬웨어 제거프로그램을 실행시켜 랜섬웨어를 제거하고 호스트컴퓨터(20)에서 복구절차를 진행한다. 이때 복구절차를 진행하기 위하여 관리모드로 전환할 필요가 없이 사용자는 정상모드에서 복구프로그램을 실행시킨다. 복구에 필요한 정보는 보안영역인 MY_RECOVERY_DATA 폴더에 저장되어 있으므로 간단하게 복구를 진행하는 것이 가능하다. 즉, 상기 예시의 경우에, book.docx가 실제로 랜섬웨어에 의해서 삭제되지만, 액세스레코드를 복구정보로서 가지고 있기 때문에 사후에 book.docx의 복구가 가능해진다.
이상에서 본 발명의 사상을 구체적으로 구현한 실시예를 설명하였다. 그러나 본 발명의 기술적 범위는 이상에서 설명한 실시예 및 도면에 한정되는 것이 아니라 특허청구범위의 합리적 해석에 의해 정해지는 것이다.

Claims (14)

  1. 호스트컴퓨터와 연결되어 데이터를 저장하는 컴퓨터 데이터 저장장치에 있어서,
    상기 호스트컴퓨터와 통신하기 위한 호스트인터페이스;
    사용자영역과 보안영역을 포함하는 저장유닛;
    상기 컴퓨터 데이터 저장장치의 동작모드, 즉, 정상모드 및 관리모드에 관한 입력 및 관련정보를 사용자로부터 입력받고 이를 표시하는 사용자입출력유닛; 그리고
    상기 호스트인터페이스, 저장유닛, 및 사용자입출력장치와 연결되어, 상기 동작모드를 제어하는 제어유닛을 포함하되,
    상기 제어유닛은 호스트컴퓨터가 상기 사용자영역의 형상을 변경하려 할 때 상기 사용자영역에 저장된 데이터를 보존하기 위한 복구정보를 만들어 이를 상기 보안영역에 저장하도록 구성되고,
    상기 사용자영역은 상기 호스트컴퓨터가 형상을 자유롭게 변경할 수 있고, 상기 보안영역은 정상모드에서는 상기 호스트컴퓨터에 의한 형상변경이 불가능하고 읽기는 가능하며, 관리모드에서는 상기 호스트컴퓨터에 의한 형상변경이 가능한 것을 특징으로 하는 컴퓨터 데이터 저장장치.
  2. 제1항에 있어서, 상기 보안영역에
    파일시스템이 손상되었을 때 상기 보안영역의 복구정보를 이용하여 파일시스템의 복구작업을 수행하는 복구프로그램이 저장되는 것을 특징으로 하는 컴퓨터 데이터 저장장치.
  3. 제1항에 있어서, 상기 제어유닛은
    상기 호스트컴퓨터가 상기 사용자영역의 파일 또는 폴더를 삭제하기 위하여 형상에 관련된 정보를 삭제하면, 이 형상에 관련된 정보를 분석하여 상기 파일 또는 폴더를 상기 보안영역에 생성하는 기능을 추가로 구비한 컴퓨터 데이터 저장장치.
  4. 제1항에 있어서, 상기 보안영역은 상기 정상모드에서 상기 사용자영역의 일부로 표시되고, 상기 호스트컴퓨터로부터의 형상변경 요청은 거절되는 것을 특징으로 하는 컴퓨터 데이터 저장장치.
  5. 제1항에 있어서, 상기 보안영역의 크기와 상기 보안영역에 저장되는 복구정보 관리방식이 상기 관리모드에서 설정되는 것을 특징으로 하는 컴퓨터 데이터 저장장치.
  6. 제5항에 있어서, 상기 복구정보 관리방식은
    상기 보안영역에 복구정보가 누적되어 여유공간이 없게 될 때 사용자에게 통보하도록 구성되는 것을 특징으로 하는 컴퓨터 데이터 저장장치.
  7. 제5항에 있어서, 상기 복구정보 관리방식은
    상기 보안영역에 저장된 복구정보 중 사전 설정된 기간이 경과한 복구정보를 삭제하도록 구성되는 것을 특징으로 하는 컴퓨터 데이터 저장장치.
  8. 호스트컴퓨터와 통신하기 위한 호스트인터페이스; 사용자영역과 보안영역을 포함하는 저장유닛; 그리고 동작모드, 즉, 정상모드 및 관리모드에 관한 입력 및 관련정보를 사용자로부터 입력받고 이를 표시하는 사용자입출력유닛을 포함하는 컴퓨터 데이터 저장장치를 제어하는 방법으로,
    상기 호스트컴퓨터가 상기 사용자영역의 형상을 변경하려 할 때 상기 사용자영역에 저장된 데이터를 보존하기 위한 복구정보를 만들어 이를 상기 보안영역에 저장하고, 상기 사용자영역의 형상이 변경되었을 때 상기 보안영역의 복구정보를 이용하여 상기 사용자영역의 복구작업을 수행하고;
    상기 사용자영역에 대해, 상기 호스트컴퓨터는 형상을 자유롭게 변경할 수 있고; 상기 보안영역에 대해, 정상모드에서 상기 호스트컴퓨터는 형상변경을 할 수 없고 읽기는 가능하며, 관리모드에서 상기 호스트컴퓨터는 형상변경을 할 수 있는 것을 특징으로 하는 컴퓨터 데이터 저장장치 제어방법.
  9. 제8항에 있어서, 상기 호스트컴퓨터가 상기 사용자영역의 파일 또는 폴더를 삭제하기 위하여 형상에 관련된 정보를 삭제하면, 이 형상에 관련된 정보를 분석하여 상기 파일 또는 폴더를 상기 보안영역에 생성하는 것을 추가로 포함하는 컴퓨터 데이터 저장장치 제어방법.
  10. 제8항에 있어서, 상기 관리모드에서 상기 보안영역을 상기 사용자영역의 일부로서 지정하는 것을 추가로 포함하는 컴퓨터 데이터 저장장치 제어방법.
  11. 제8항에 있어서, 상기 관리모드에서 상기 보안영역을, 상기 사용자영역에서 표시되는 파티션 또는 폴더로서 생성하는 것을 추가로 포함하는 컴퓨터 데이터 저장장치 제어방법.
  12. 제8항에 있어서, 상기 관리모드에서 상기 보안영역의 크기와 복구정보 관리방식을 설정하는 것을 추가로 포함하는 컴퓨터 데이터 저장장치 제어방법.
  13. 제12항에 있어서, 상기 복구정보 관리방식은
    상기 보안영역에 복구정보가 누적되어 여유공간이 없게 될 때 사용자에게 통보하여 보안영역의 관리를 요구하는 것을 포함하는 컴퓨터 데이터 저장장치 제어방법.
  14. 제12항에 있어서, 상기 복구정보 관리방식은
    상기 보안영역에 저장된 복구정보 중 사전 설정된 기간이 경과한 복구정보를 삭제하는 것을 포함하는 컴퓨터 데이터 저장장치 제어방법.
PCT/KR2023/002197 2022-04-21 2023-02-15 데이터복구기능이 부가된 컴퓨터 데이터 저장장치 및 그 제어방법 WO2023204413A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2022-0049514 2022-04-21
KR1020220049514A KR20230150046A (ko) 2022-04-21 2022-04-21 데이터복구기능이 부가된 컴퓨터 데이터 저장장치 및 그 제어방법

Publications (1)

Publication Number Publication Date
WO2023204413A1 true WO2023204413A1 (ko) 2023-10-26

Family

ID=88420215

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2023/002197 WO2023204413A1 (ko) 2022-04-21 2023-02-15 데이터복구기능이 부가된 컴퓨터 데이터 저장장치 및 그 제어방법

Country Status (2)

Country Link
KR (1) KR20230150046A (ko)
WO (1) WO2023204413A1 (ko)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090067649A (ko) * 2007-12-21 2009-06-25 삼성전자주식회사 보안 저장 장치를 갖는 메모리 시스템 및 그것의 보안 영역관리 방법
KR20180001990A (ko) * 2016-06-24 2018-01-05 삼성전자주식회사 저장 매체의 동작 방법, 저장 매체를 제어하는 호스트의 동작 방법, 및 저장 매체 및 호스트를 포함하는 사용자 시스템의 동작 방법
KR20180004501A (ko) * 2016-07-04 2018-01-12 (주)아이티아이즈 파일 관리 및 데이터 암호화를 기반으로 한 보안 시스템을 구현하는 방법 및 파일 관리 및 데이터 암호화를 기반으로 한 보안 시스템
US20200184102A1 (en) * 2016-10-13 2020-06-11 Commvault Systems, Inc. Data protection within an unsecured storage environment
KR102275764B1 (ko) * 2019-08-22 2021-07-13 김덕우 가변 컴퓨터 파일시스템이 적용된 데이터 저장장치

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090067649A (ko) * 2007-12-21 2009-06-25 삼성전자주식회사 보안 저장 장치를 갖는 메모리 시스템 및 그것의 보안 영역관리 방법
KR20180001990A (ko) * 2016-06-24 2018-01-05 삼성전자주식회사 저장 매체의 동작 방법, 저장 매체를 제어하는 호스트의 동작 방법, 및 저장 매체 및 호스트를 포함하는 사용자 시스템의 동작 방법
KR20180004501A (ko) * 2016-07-04 2018-01-12 (주)아이티아이즈 파일 관리 및 데이터 암호화를 기반으로 한 보안 시스템을 구현하는 방법 및 파일 관리 및 데이터 암호화를 기반으로 한 보안 시스템
US20200184102A1 (en) * 2016-10-13 2020-06-11 Commvault Systems, Inc. Data protection within an unsecured storage environment
KR102275764B1 (ko) * 2019-08-22 2021-07-13 김덕우 가변 컴퓨터 파일시스템이 적용된 데이터 저장장치

Also Published As

Publication number Publication date
KR20230150046A (ko) 2023-10-30

Similar Documents

Publication Publication Date Title
US7107421B2 (en) Data migration method and a data migration apparatus
US7360046B2 (en) Storage system and data management method
EP1837751B1 (en) Storage system, storage extent release method and storage apparatus
US9250822B2 (en) Data storage method and data storage apparatus
EP1174795A1 (en) Multiplexing computing apparatus
US20060047923A1 (en) Method and system for data lifecycle management in an external storage linkage environment
WO2018212474A1 (ko) 독립된 복원영역을 갖는 보조기억장치 및 이를 적용한 기기
CN100389408C (zh) 硬盘数据加密备份及还原方法
JP4521865B2 (ja) ストレージシステム、計算機システムまたは記憶領域の属性設定方法
EP1806679A2 (en) Storage apparatus for preventing falsification of data
EP2819016B1 (en) Storage controller, storage system, and control program
EP2081127A1 (en) Controller for controlling logical volume-related settings
JP2006127106A (ja) ストレージシステム及びその制御方法
WO2023143646A2 (zh) 数据安全保护方法、设备、系统、安全控制框架及存储介质
JP2005190106A (ja) 論理ボリュームを管理する記憶制御サブシステム
JP2014515858A (ja) 実行中の命令を再結合する方法および装置
US20080082749A1 (en) Storage system, method for managing the same, and storage controller
WO2013001568A1 (en) Data storage apparatus and control method therefor
WO2023204413A1 (ko) 데이터복구기능이 부가된 컴퓨터 데이터 저장장치 및 그 제어방법
WO2021033868A1 (ko) 가변 컴퓨터 파일시스템이 적용된 데이터 저장장치
JP2008152695A (ja) 電子的な保護対象に要求される保護能力で該保護対象を保護する記憶制御装置
US20120030442A1 (en) Management system and management method for managing computer system
KR100458550B1 (ko) 데이터 삭제 감지, 복구 시스템 및 그 방법
CN108170372B (zh) 基于云硬盘的数据处理方法和装置
US20090254630A1 (en) Storage control method for managing access environment enabling host to access data

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23791996

Country of ref document: EP

Kind code of ref document: A1