슬랙 스페이스 분석: 파일 시스템에 남는 디지털 증거
파일 시스템의 할당 단위에서 생기는 슬랙 스페이스를 유형별로 정리하고, 디지털 포렌식 분석·안티포렌식·SSD와 클라우드 환경의 변화를 다룬다.
2026-08-14 · 최초 발행 2025-06-28
파일 끝과 할당 공간 사이에 남는 영역
슬랙 스페이스(Slack Space)는 파일 시스템이 파일에 할당한 공간 가운데 실제 데이터가 채우지 않은 부분이다. 저장 장치는 클러스터나 섹터 단위로 공간을 배정하므로, 파일 크기가 할당 단위와 정확히 맞아떨어지지 않으면 남는 영역이 생긴다.
물리적으로는 하드 디스크의 클러스터 또는 섹터에 남은 공간이며, 논리적으로는 파일 시스템의 할당 단위와 실제 데이터 크기 차이다. 디지털 포렌식에서는 삭제 데이터나 은닉 정보가 남을 수 있는 조사 지점으로 본다.
파일·볼륨·디스크에서 나타나는 슬랙
파일 슬랙: 마지막 클러스터의 남은 부분
파일 슬랙은 실제 파일 데이터의 끝부터 마지막으로 할당된 클러스터의 끝까지를 가리킨다. 이 영역은 RAM 슬랙과 드라이브 슬랙으로 나뉜다.
RAM 슬랙은 파일의 마지막 섹터에서 데이터가 끝난 지점부터 해당 섹터의 끝까지다. 드라이브 슬랙은 그 다음 섹터부터 마지막 할당 클러스터의 끝까지에 해당한다.
볼륨 경계에 남는 공간
볼륨 슬랙은 파티션 끝과 볼륨의 논리적 끝 사이에서 발생한다. 파티션 크기를 조정하거나 포맷하는 과정에서 미사용 영역이 남을 수 있으며, 볼륨 관리 시스템의 특성에 따라 크기도 달라진다.
파티션 밖의 디스크 슬랙
디스크 슬랙은 디스크 전체와 생성된 파티션 사이에 존재하는 미할당 공간이다. 파티션 테이블과 첫 번째 파티션 사이, 파티션 정렬을 위해 남긴 영역, 디스크 관리 과정에서 의도적으로 배정하지 않은 공간 등이 여기에 포함된다.
클러스터 할당이 남기는 흔적
파일 시스템은 정해진 크기의 클러스터를 기준으로 저장 공간을 할당한다. 파일이 클러스터보다 작거나, 여러 클러스터를 사용하더라도 마지막 클러스터를 다 채우지 못하면 슬랙 스페이스가 생긴다.
NTFS 시스템의 기본 클러스터 크기는 4KB다. FAT32의 클러스터 크기는 볼륨 크기에 따라 4KB~32KB 범위이며, exFAT/ext4는 가변적 클러스터 크기 지원으로 슬랙 스페이스를 최소화할 수 있다.
파일을 수정하면 슬랙 영역의 내용도 달라진다. 파일이 확장되면 기존 슬랙이 새 데이터로 대체될 수 있고, 파일을 축소하면 이전 데이터 일부가 남을 수 있다. 파일을 덮어쓰는 과정에서도 원본 데이터의 흔적이 슬랙 스페이스에 잔존할 수 있다.
포렌식 조사에서 확인하는 이유
파일을 삭제해도 실제 데이터는 즉시 제거되지 않는다. 새 데이터가 해당 공간을 덮어쓰기 전까지는 슬랙 스페이스에 남아 있을 수 있으며, 부분적으로 덮어쓴 뒤에도 일부 복구가 가능하다. 메타데이터와 파일 시그니처가 남아 있다면 파일 유형을 식별하는 단서가 된다.
슬랙 영역은 의도적인 은닉 장소이기도 하다. 일반적인 파일 시스템 접근으로 확인하기 어려운 영역에 데이터를 숨기는 안티포렌식 사례가 있으며, 이 경우 특수 포렌식 도구를 이용해 데이터를 찾아야 한다.
활동 타임라인을 복원할 때도 활용할 수 있다. 여러 시점의 데이터 단편이 공존하면 활동 순서를 추론할 수 있고, 메타데이터가 훼손된 경우에는 내용 기반으로 타임라인을 구성할 수 있다. 운영체제 활동과 사용자 활동의 상관관계 분석에도 쓰인다.
섹터와 바이트 단위로 접근하는 분석
전문 도구는 슬랙 영역을 분석하는 접근을 제공한다.
- EnCase는 섹터 단위 슬랙 스페이스 검사와 키워드 검색 기능을 제공한다.
- FTK(Forensic Toolkit)는 고급 카빙 기법으로 슬랙 영역 데이터를 복구한다.
- Autopsy는 오픈소스 기반 슬랙 스페이스 분석 도구다.
- X-Ways Forensics는 바이트 단위 패턴 매칭으로 슬랙 데이터를 식별한다.
로우 레벨 분석에서는 헥스 에디터로 섹터를 직접 검사해 숨겨진 패턴을 찾을 수 있다. 전체 디스크를 비트스트림으로 복사한 뒤 오프라인에서 분석하고, 클러스터 할당 테이블을 매핑해 슬랙 영역을 식별하기도 한다. 파일 헤더와 푸터 패턴을 검색하면 슬랙 내부의 파일 조각을 찾는 데 도움이 된다.
수사와 기업 데이터 관리에 남는 과제
슬랙 스페이스 분석이 증거 확보에 기여한 사례로 A사 산업스파이 사건(2018), B금융사 내부자 거래(2020), C기관 해킹 사건(2021)이 있다. A사 사건에서는 삭제된 기밀문서 일부가 슬랙 스페이스에서 발견되어 유출 경로를 확인했다. B금융사 사건에서는 의도적으로 삭제된 거래 기록이 드라이브 슬랙에서 복구됐고, C기관 사건에서는 볼륨 슬랙에 남은 악성코드 잔해가 공격자 식별에 기여했다.
기업 환경에서는 단순 삭제 대신 완전 삭제(와이핑) 기술을 데이터 삭제 정책에 포함할 수 있다. 슬랙 스페이스를 통한 데이터 유출 방지, 데이터 보존 정책에 대한 슬랙 영역 관리, 내부 조사에 필요한 분석 역량도 함께 고려할 대상이다.
와이핑과 데이터 은닉의 양면
슬랙 스페이스 데이터를 의도적으로 제거하는 방법에는 BCWipe, Eraser 같은 전용 와이핑 도구를 이용한 슬랙 영역 제로화가 있다. DoD 5220.22-M, Gutmann 방식 등 다중 덮어쓰기 방식도 사용되며, BitLocker, VeraCrypt 같은 전체 볼륨 암호화는 슬랙 스페이스를 포함해 암호화한다.
반대로 Bmap은 리눅스 환경에서 슬랙 스페이스에 직접 데이터를 쓸 수 있게 한다. 정상 파일의 슬랙 영역에 암호화된 데이터를 넣는 슬랙 스페이스 스테가노그래피도 가능하며, 큰 클러스터 크기를 의도적으로 설정해 슬랙 스페이스를 넓히는 클러스터 팁 기법도 존재한다.
SSD·클라우드에서 달라지는 분석 조건
SSD에서는 TRIM 명령이 삭제된 데이터 영역과 슬랙 영역을 초기화한다. 웨어 레벨링은 물리적 위치를 재배치해 슬랙 데이터의 지속성을 낮추며, 오버프로비저닝은 실제 용량 외의 추가 영역으로 슬랙 데이터 접근성을 떨어뜨린다.
클라우드에서는 하이퍼바이저 수준의 새로운 슬랙 스페이스 개념이 등장한다. 멀티테넌시 환경에서는 다른 사용자의 데이터가 슬랙 영역에 남을 리스크가 있고, 클라우드 제공자의 협조 없이는 해당 영역에 접근하기 어렵다. 도커 등 컨테이너 환경에서도 슬랙 스페이스는 새로운 특성을 갖는다.
차세대 파일 시스템의 동적 할당과 제로 슬랙 기술은 늘어날 수 있다. 양자 컴퓨팅은 기존 슬랙 스페이스 암호화 데이터의 취약성을 높일 수 있으며, AI 기반 포렌식은 슬랙 영역에서 의미 있는 패턴을 자동 식별하는 방향으로 발전하고 있다. 저장 기술이 변해도 데이터 저장 시스템의 근본적 특성 때문에 슬랙 스페이스는 형태를 바꾸며 계속 분석 대상이 될 수 있다.