슬랙 공간 (Slack Space)
쉽게 풀면
저장장치는 데이터를 일정한 크기의 칸 단위로 나누어 씁니다. 그런데 파일 크기가 칸 크기의 배수인 경우는 드물어서, 마지막 칸에는 언제나 자투리 공간이 생깁니다. 이 자투리에는 예전에 그 자리에 있던 데이터의 조각이 그대로 남아 있을 수 있습니다. 슬랙 공간을 살피면 삭제되었다고 여겨진 문서의 일부 문장이나 이미지 조각을 찾아낼 수 있습니다.
왜 중요한가
사용자가 파일을 지우고 휴지통을 비워도 운영체제는 자투리 공간까지 지우지는 않기 때문에, 이 영역은 은폐 시도 이후에도 남는 흔적의 보고가 됩니다. 또 일부 은닉 도구가 이 공간에 데이터를 숨기기도 해, 안티포렌식 대응에서도 점검 대상입니다.
논문에서는 이렇게 쓰입니다
정상 파일 영역이 아닌 자투리 공간에서 과거 데이터를 회수한 분석 결과를 기술한 문장입니다.
조금 더 깊게 보면
슬랙은 두 층위로 나뉩니다. 파일의 끝과 섹터 끝 사이를 채우는 램 슬랙은 과거 메모리 내용이 기록되던 영역이고, 그 섹터 이후부터 클러스터 끝까지의 파일 슬랙에는 이전 파일의 잔여 데이터가 남습니다. 클러스터 크기가 클수록 슬랙도 커져 회수 가능한 정보가 많아집니다. 분석은 반드시 원본이 아닌 비트단위 사본에서 수행하며, 문자열 검색이나 파일카빙 도구로 잔여 조각을 추출합니다. 다만 최근의 SSD는 빈 블록을 미리 정리하는 동작 때문에 잔여 데이터가 예고 없이 사라질 수 있습니다.
주의할 점
슬랙에서 나온 조각은 원래 어떤 파일의 일부였는지와 언제 기록되었는지를 특정하기 어려워, 내용만으로 작성자나 시점을 단정하면 안 됩니다. 파일카빙이 할당되지 않은 영역에서 파일 전체를 복원하는 기법이라면, 슬랙 분석은 할당된 파일 뒤에 붙은 잔여 영역을 대상으로 합니다.