데이터카빙 (Data Carving)
한 줄 정의: 파일 시스템의 메타데이터 없이도 저장매체에 남은 데이터 패턴만으로 삭제되거나 손상된 파일을 복원해 내는 포렌식 기법입니다.
쉽게 풀면
데이터카빙은 흩어진 퍼즐 조각들 중에서 그림의 일부만 보고도 원래 형태를 알아내 짜맞추는 것과 비슷합니다. 파일이 삭제되면 목차에 해당하는 정보는 사라지지만, 실제 내용물은 저장 공간에 그대로 남아 있는 경우가 많습니다. 이때 파일의 시작과 끝을 알려주는 고유한 신호(파일 형식별 특징)를 찾아 그 사이의 데이터를 통째로 잘라내 복원하는 방식입니다. 목차 없이 내용만으로 파일을 되살리는 셈입니다.
왜 중요한가
정보보안학의 디지털 포렌식 분야에서는 공격자가 증거를 인멸하기 위해 파일을 삭제하는 경우가 흔하기 때문에, 데이터카빙은 삭제된 증거를 복구하는 핵심 기술로 다루어집니다. 손상된 저장매체에서도 정보를 되살릴 수 있어 사고 조사와 증거 확보에 널리 활용됩니다.
논문에서는 이렇게 쓰입니다
"본 연구는 파편화된 저장매체 환경에서 데이터카빙 기법의 이미지 복원 정확도를 비교 평가하였다."
파일이 조각조각 흩어진 상황에서 이미지 파일을 얼마나 잘 복원하는지 비교했다는 뜻입니다.
"삭제된 로그 파일에 대해 데이터카빙을 적용하여 공격자의 명령 실행 기록을 일부 복구하였다."
지워진 로그를 복원해 공격자가 실행한 명령의 흔적을 일부 되찾았다는 의미입니다.
조금 더 깊게 보면
데이터카빙은 크게 파일 형식의 시작과 끝을 표시하는 헤더와 푸터를 기준으로 잘라내는 방식과, 파일 내용의 통계적 특성을 이용해 경계를 추정하는 방식으로 나뉩니다. 파일이 여러 조각으로 나뉘어 저장되는 파편화 상황에서는 조각들을 올바른 순서로 재조합하는 것이 기술적으로 까다로운 과제입니다.
주의할 점
데이터카빙으로 복원한 파일은 메타데이터가 없어 원래의 파일명이나 생성 시각 등을 알기 어렵고, 파편화가 심한 경우 완전한 복구가 불가능할 수 있습니다.