[디지털포렌식 - 기초] 슬랙(Slack) 공간

개요 - 슬랙이란 무엇인가

모든 물질이 원소로 이루어져 있는것 처럼 저장매체를 구성하는 최소 구성단위가 있음.

 

물리적인 최소 단위는 섹터(Sector)라고 하고, 논리적인 최소단위는 클러스터(Cluster)라고 부름

 

클러스터는 통상 4개정도의 섹터로 구성되는데, 더 많은 섹터로 구성될 수도 있음

 

데이터는 각 데이터마다 크기 차이가 있기에 섹터, 클러스터등의 단위에 딱 맞아 떨어지게 들어가기가 어려움. 

 

그렇기에 남는 빈 공간이 생기는데 이것을 슬랙(Slack)이라고 부름

 

종류

먼저 슬랙의 종류를 살펴보기 전, 앞서 살펴본 구성단위 및 용어들에 대해 더 짚고 넘어가고자 함.

 

섹터 - 저장매체의 물리적인 최소단위

 

클러스터 - 저장매체의 논리적인 최소단위. 수 개의 섹터로 구성됨

 

파티션 - 저장매체를 논리적으로 분할하여 사용하기 위해 나눈 것. 수 개의 클러스터로 구성됨

 

볼륨 - 파일시스템(예를들어 NTFS, FAT등)으로 포맷된 저장매체의 저장영역. 파티션과 볼륨은 다른 의미이긴 하지만 구별없이 많이 사용하기도 함. (볼륨은 저장 영역이고 파티션은 그 영역을 나눈 단위라고 보면 편하다.)

 

슬랙의 종류는 램 슬랙(Ram Slack), 드라이브 슬랙(Drive Slack), 파일 슬랙(File Slack), 파일시스템 슬랙(File System Slack), 볼륨 슬랙(Volume Slack)으로 나눠볼 수 있다.

 

램 슬랙(Ram Slack)

데이터가 저장매체에 저장될 때, 물리적 단위인 섹터단위를 완전히 채우지 못해서 발생하는 공간

 

Ram Slack 설명

드라이브 슬랙(Drive Slack)

데이터가 저장매체에 저장될 때, 논리적 단위인 클러스터 단위를 완전히 채우지 못해서 발생하는 공간

Drive Slack 설명

 

파일 슬랙(File Slack)

File Slack = Ram Slack + Drive Slack

 

File Slack 설명

파일시스템 슬랙(File System Slack)

저장매체에 파티션을 할당할 때, 클러스터 단위로 완벽히 맞춰서 할당할 수가 없어서 남는 공간

(클러스터 하나를 못채워서 남는 공간)

File System Slack 설명

볼륨 슬랙(Volume Slack)

저장매체를 파티션 단위로 할당한 후 남는 공간. 파티션 할당은 사용자가 임의로 할 수 있기 때문에 발생함.

예를 들어서 128GB 공간에 110GB만 파티션 할당하고 나머지 공간에 파티션을 할당하지 않을 수도 있음. 

이때 나머지 공간(18GB)은 볼륨 슬랙이 됨.

 

Volume Slack 설명