<디지털포렌식 기초 No.2> - 파일을 삭제하면? 과연 지워지는 것일까? -
컴퓨터에서 파일을 삭제했을때 하드 드라이브에서는 과연 바로 지워지게 될까요?
답은 'No'입니다.
하드 드라이브에서 파일을 삭제했다하더라도 그 파일이 바로 없어지는 것은 아닙니다.
그럼 어떻게 파일이 지워지는지 파일 저장에서부터 덮어쓰기가 될때까지의 과정을 살펴 보면서 알아 보도록 하겠습니다.
우선 파일을 저장하게 되면 파일은 그 크기에 따라 알맞은 공간을 배정받아 기록됩니다.
- '주소록.txt'파일이 두칸의 공간을 할당받아 저장되었습니다.
- 파일이 저장된 공간은 다른 파일이 저장되지 않도록 표시(여기선 분홍색)를 하게 됩니다.
파일('주소록.txt')을 삭제하게 되면,
- 파일이 저장되어 있던 공간(분홍색)을 사용이 가능한 공간으로 표시를 해주게 됩니다.
(여기선 노란색으로 표시)
- 하지만, '주소록.txt'파일이 실제 지워진것은 아닙니다. 다만 그렇게 표시를 할 뿐이죠.
- 또한, 지워졌다는 표시만 되어 있는 파일은 복구가 가능한 영역입니다.
여기까지가 파일이 삭제되는 과정입니다.
여기서 추가로 하나 더, 그럼 삭제되었다고 표시된 공간에 다른 파일을 저장하게 되면 어떻게 될까요?
- 파일이 삭제되었다고 표시된 공간에 '휴가계획.txt'를 저장해 보도록 하겠습니다.
- 파일크기가 '주소록.txt'보다 작아 더 적은 공간을 차지하며 저장됩니다.(녹색으로 표시된 공간)
그런데 지웠던 공간의 일부분(노락색)이 아직도 남아 있는 걸 볼 수 있습니다. 그리고 아직 거기에는
'주소록.txt'파일의 일부분이 남아 있는것 또한 볼 수 있는데 이러한 영역을 'file slack'라고 부르고 있습니다.
- file slack공간에는 아직 삭제된 데이터 일부가 남아 있게 되는데, 디지털포렌식에서는 중요한 영역중 하나입니다.
[더존디지털포렌식센터]
www.dforensic.com
최근 덧글