슬랙 공간

IT 위키
Slack Space
물리적으로는 파일에 할당되었으나 논리적으로는 사용할 수 없는 낭비 공간

저장매체는 섹터·클러스터라는 고정 단위로 공간을 할당하는데, 실제 파일 크기가 그 단위의 배수인 경우는 드물기 때문에 마지막 할당 단위의 뒷부분이 남는다. 이 남는 영역이 슬랙 공간이다. 이전에 저장되었던 데이터가 그대로 남아 있을 수 있어 디지털 포렌식의 주요 분석 대상이며, 반대로 공격자가 정보를 숨기는 데 악용하기도 한다.

발생 원리

[편집 | 원본 편집]
  • 하드디스크의 최소 물리 단위는 섹터로, 일반적으로 512바이트이다.
  • 파일시스템의 최소 할당 단위는 클러스터(블록)로, 섹터 여러 개를 묶은 것이다.
  • 파일 크기가 클러스터 크기의 배수가 아니면 마지막 클러스터에 빈 공간이 생긴다.
    ex) 클러스터가 4,096바이트인 파일시스템에 1,000바이트 파일을 저장하면 3,096바이트가 슬랙으로 남는다.

슬랙의 종류

[편집 | 원본 편집]
  • 램 슬랙 (RAM Slack)
    • 섹터 슬랙이라고도 한다.
    • 파일의 마지막 바이트부터 그 바이트가 속한 섹터의 끝까지의 공간
    • 과거에는 메모리의 내용이 그대로 기록되어 램 슬랙이라는 이름이 붙었으나, 현재의 운영체제는 대부분 0x00으로 채운다.
  • 드라이브 슬랙 (Drive Slack)
    • 파일의 마지막 섹터 다음부터 클러스터의 끝까지의 공간
    • 운영체제가 별도로 초기화하지 않기 때문에 이전에 저장되었던 데이터가 그대로 남는다.
    • 삭제된 파일의 조각 조사에 활용되는 영역이 주로 여기다.
  • 파일시스템 슬랙 (File System Slack)
    • 파일시스템 전체 크기가 클러스터 크기의 배수가 아닐 때 마지막에 남는 영역
  • 볼륨 슬랙 (Volume Slack)
    • 전체 볼륨 크기와 그 위에 할당된 파일시스템 크기의 차이로 남는 영역

포렌식에서의 의미

[편집 | 원본 편집]
  • 증거 확보
    • 삭제된 파일의 잔존 데이터가 남아 있어, 파일 복구와 삭제된 파일의 파편 조사에 활용할 수 있다.
    • 파일시스템 메타데이터가 지워진 상태이므로 파일 카빙과 함께 사용한다.
  • 데이터 은닉
    • 정상적인 파일 탐색으로는 보이지 않는 영역이므로, 공격자가 의도적으로 정보를 숨기는 데 악용할 가능성이 있다. (안티 포렌식)
    • 슬랙 공간에 데이터를 기록하는 은닉 도구가 존재한다.

같이 보기

[편집 | 원본 편집]