파일카빙 (File Carving)
한 줄 정의: 파일 시스템의 메타데이터가 없거나 손상된 상태에서 데이터의 내용 자체를 분석하여 파일을 복원하는 디지털포렌식 기법입니다.
쉽게 풀면
파일이 삭제되면 목차에 해당하는 정보는 사라지지만, 실제 내용은 저장 공간에 그대로 남아있는 경우가 많습니다. 파일카빙은 이 목차 없이도 파일의 시작과 끝을 나타내는 고유한 표식을 찾아 내용물을 다시 잘라내는 방법입니다. 마치 뒤섞인 책더미에서 표지와 마지막 장을 보고 한 권씩 골라내는 것과 비슷합니다.
왜 중요한가
범죄에 사용된 기기에서 증거를 은폐하려고 파일을 삭제하거나 파일 시스템 정보를 훼손하는 경우가 흔합니다. 이런 상황에서도 데이터 자체의 패턴을 이용해 증거를 복원할 수 있다는 점에서 파일카빙은 디지털포렌식 실무와 연구에서 중요하게 다뤄집니다.
논문에서는 이렇게 쓰입니다
"본 연구에서는 파일카빙 기법을 적용하여 포맷된 저장매체에서 삭제된 이미지 파일을 복원하였다."
파일 시스템 정보가 사라진 저장장치에서도 사진 파일을 되살릴 수 있었다는 뜻입니다.
"파일카빙 알고리즘의 정확도를 높이기 위해 파일 헤더와 푸터 패턴을 활용한 개선 방법을 제안하였다."
파일의 시작과 끝을 알려주는 고유 패턴을 이용해 복원 성능을 높이는 방법을 다뤘다는 의미입니다.
조금 더 깊게 보면
파일카빙은 크게 파일의 시그니처(헤더·푸터)를 기준으로 찾는 방식과, 파일 구조 자체를 분석해 파편화된 데이터를 재조합하는 방식으로 나뉩니다. 저장 공간이 조각나 있으면 하나의 파일이 여러 곳에 나뉘어 저장될 수 있어 복원 난이도가 높아집니다.
주의할 점
파일카빙으로 복원된 데이터는 원본 메타데이터가 없는 경우가 많아, 생성 시각이나 원래 경로 등 부가 정보 확인에는 한계가 있을 수 있습니다.