[디지털 포렌식 전문가] 2. 디지털 포렌식 기초실무_섹터와 클러스터

오늘 포스팅할 내용은 섹터와 클러스터에 대한 내용이다.

파일 시스템의 기초가 되는 부분이며 디지털 포렌식 자격시험에서 꼭 나오는 부분이니 잘 익혀두면 좋다.

 

 

섹터

• 하드 디스크와 같은 저장장치에 저장된 파일을 읽으려면 저장된 위치를 스캔하여 접근해야 한다.
• 만일 1바이트 단위로 작업을 한다면 데이터를 읽고 쓸 때마다 하드 디스크의 모든 부분을 스캔해야 하기 때문에 많은 시간이 걸릴 것이다.
• 이 때문에 저장 장치는 데이터 입/출력시 부하를 줄이기 위해 512바이트 단위로 작업을 한다.
• 이 512바이트 단위를 1섹터라고 한다.

 

 

클러스터

• 연속된 여러 개의 섹터를 하나로 묶은 것을 클러스터라고 한다.
• 파일 시스템에서는 데이터를 저장하거나 불러올 때 부하 절약을 위해 섹터를 묶어 클러스터 단위로 관리한다.
• OS에서 파일을 저장하거나 불러올 때 클러스터 단위로 작업을 한다.

---

 

섹터와 클러스터와 관련해서는 다음과 같은 문제가 빈번하게 나온다.

 

문제

각 클러스터에 8개의 섹터를 가지고 있는 NTFS 볼륨에서 "My Note.txt" 파일의 논리사이즈는 2100 bytes이고 클러스터 4500번지에 저장되어 있다. 이 "My Note.txt" 파일이 삭제되고 952 bytes 논리적 사이즈를 가지고 있는 "My Picture.jpg"를 클러스터 4500번지에 저장할 경우 클러스터 4500번지에서 복구할 수 있는 "My Note.txt"의 크기는 얼마인가?

 

풀이

본 클러스터는 다음과 같이 구성되어 있다.

 

 

My Note.txt 를 저장하면 다음과 같은 공간을 차지한다. 파란색 부분이 파일을 저장한 2100 bytes의 공간이다.

 

 

My Picture.jpg를 덮어 쓰면 다음과 같이 된다. 초록 부분이 해당 파일을 저장한 952 bytes의 공간이다.

 

 

복구할 수 있는 My Note.txt 파일의 구역은 노란색 구역이다. 섹터 2-2는 덮어 쓰지 않았더라고 복구할 수 없다.

정답은 섹터 3 + 섹터 4 + 섹터 5-1의 영역을 더한 1076 bytes이다.