파일카빙 (File Carving)
쉽게 풀면
파일이 삭제되면 목차에 해당하는 정보는 사라지지만, 실제 내용은 저장 공간에 그대로 남아있는 경우가 많습니다. 파일카빙은 이 목차 없이도 파일의 시작과 끝을 나타내는 고유한 표식을 찾아 내용물을 다시 잘라내는 방법입니다. 마치 뒤섞인 책더미에서 표지와 마지막 장을 보고 한 권씩 골라내는 것과 비슷합니다.
왜 중요한가
범죄에 사용된 기기에서 증거를 은폐하려고 파일을 삭제하거나 파일 시스템 정보를 훼손하는 경우가 흔합니다. 이런 상황에서도 데이터 자체의 패턴을 이용해 증거를 복원할 수 있다는 점에서 파일카빙은 디지털포렌식 실무와 연구에서 중요하게 다뤄집니다.
논문에서는 이렇게 쓰입니다
파일 시스템 정보가 사라진 저장장치에서도 사진 파일을 되살릴 수 있었다는 뜻입니다.
파일의 시작과 끝을 알려주는 고유 패턴을 이용해 복원 성능을 높이는 방법을 다뤘다는 의미입니다.
조금 더 깊게 보면
파일카빙은 크게 파일의 시그니처(헤더·푸터)를 기준으로 찾는 방식과, 파일 구조 자체를 분석해 파편화된 데이터를 재조합하는 방식으로 나뉩니다. 저장 공간이 조각나 있으면 하나의 파일이 여러 곳에 나뉘어 저장될 수 있어 복원 난이도가 높아집니다. 파일 시스템이 아직 남아있는 상태에서는 삭제된 파일의 메타데이터 잔재를 활용해 더 정확하게 복원할 수 있지만, 완전히 초기화되거나 새 데이터로 덮어써진 영역은 파일카빙으로도 복구가 불가능하다. 최근 저장장치에서 널리 쓰이는 파일 시스템은 파일을 여러 조각으로 분산 저장하는 경향이 있어, 단순한 시그니처 탐색만으로는 복원이 어려운 경우가 늘어 조각 재조합 알고리즘의 중요성이 커지고 있다.
주의할 점
파일카빙으로 복원된 데이터는 원본 메타데이터가 없는 경우가 많아, 생성 시각이나 원래 경로 등 부가 정보 확인에는 한계가 있을 수 있습니다.
복원된 파일이 여러 조각으로 나뉘어 저장되어 있던 경우 조각 순서를 잘못 재조합하면 내용이 손상된 상태로 복원될 수 있어 결과의 무결성 검증이 함께 필요합니다. 복원된 파일이 실제로 온전한 내용인지 확인하려면 파일 형식별 내부 구조 검증이 함께 이루어져야 하며, 검증 없이 복원 결과를 그대로 증거로 제출하면 신뢰성 문제가 제기될 수 있습니다.