슬랙 공간
IT 위키
- Slack Space
- 물리적으로는 파일에 할당되었으나 논리적으로는 사용할 수 없는 낭비 공간
저장매체는 섹터·클러스터라는 고정 단위로 공간을 할당하는데, 실제 파일 크기가 그 단위의 배수인 경우는 드물기 때문에 마지막 할당 단위의 뒷부분이 남는다. 이 남는 영역이 슬랙 공간이다. 이전에 저장되었던 데이터가 그대로 남아 있을 수 있어 디지털 포렌식의 주요 분석 대상이며, 반대로 공격자가 정보를 숨기는 데 악용하기도 한다.
- 하드디스크의 최소 물리 단위는 섹터로, 일반적으로 512바이트이다.
- 파일시스템의 최소 할당 단위는 클러스터(블록)로, 섹터 여러 개를 묶은 것이다.
- 파일 크기가 클러스터 크기의 배수가 아니면 마지막 클러스터에 빈 공간이 생긴다.
- ex) 클러스터가 4,096바이트인 파일시스템에 1,000바이트 파일을 저장하면 3,096바이트가 슬랙으로 남는다.
- 램 슬랙 (RAM Slack)
- 섹터 슬랙이라고도 한다.
- 파일의 마지막 바이트부터 그 바이트가 속한 섹터의 끝까지의 공간
- 과거에는 메모리의 내용이 그대로 기록되어 램 슬랙이라는 이름이 붙었으나, 현재의 운영체제는 대부분 0x00으로 채운다.
- 드라이브 슬랙 (Drive Slack)
- 파일의 마지막 섹터 다음부터 클러스터의 끝까지의 공간
- 운영체제가 별도로 초기화하지 않기 때문에 이전에 저장되었던 데이터가 그대로 남는다.
- 삭제된 파일의 조각 조사에 활용되는 영역이 주로 여기다.
- 파일시스템 슬랙 (File System Slack)
- 파일시스템 전체 크기가 클러스터 크기의 배수가 아닐 때 마지막에 남는 영역
- 볼륨 슬랙 (Volume Slack)
- 전체 볼륨 크기와 그 위에 할당된 파일시스템 크기의 차이로 남는 영역
