디지털 포렌식 기초: 삭제된 데이터는 어떻게 복구되는가?

삭제된 파일, 정말 사라진 걸까?

휴지통을 비웠는데도 하드디스크 용량이 줄어들지 않거나, 실수로 삭제한 중요 파일을 되찾고 싶어 본 경험이 있을 것입니다. 일반 사용자에게는 ‘삭제=완전 소거’로 보이지만, 시스템 관점에서 삭제는 단순히 ‘접근 금지 표시’에 불과합니다. 이 차이점을 이해하면 데이터 복구의 원리가 명확해집니다.

파일 시스템의 삭제 메커니즘

Windows NTFS나 Linux ext4 파일 시스템에서 파일을 삭제할 때, 실제 데이터는 그대로 남아있습니다. 변경되는 것은 다음 두 가지뿐입니다:

• MFT(Master File Table) 또는 inode에서 해당 파일의 메타데이터 삭제
• 파일이 차지하던 클러스터(cluster) 영역을 ‘사용 가능’ 상태로 표시

이를 쉽게 비유하면 도서관에서 책을 없앤다고 할 때, 실제 책은 서가에 그대로 두고 목록 카드만 제거하는 상황과 같습니다. 데이터는 여전히 저장 장치에 존재하지만, 운영체제(사서)가 그 위치를 알지 못하게 되는 것이죠. 이러한 삭제·복구 구조와 데이터 관리 방식의 차이는 piracysim.com에서 더 자세히 설명하고 있습니다.

중요: 삭제 직후부터 해당 영역은 새로운 데이터로 덮어쓰기될 위험에 노출됩니다. 복구 가능성을 높이려면 즉시 해당 드라이브 사용을 중단해야 합니다.

디지털 포렌식의 데이터 복구 원리

포렌식 전문가들은 이러한 파일 시스템의 특성을 역이용합니다. 삭제된 파일의 복구는 크게 세 가지 방법으로 접근됩니다:

메타데이터 기반 복구

MFT나 저널(journal) 영역에 남아있는 파일 정보를 분석하여 원본 위치를 추적합니다. $MFT 파일의 삭제된 레코드를 스캔하면 파일명, 크기, 생성일시, 클러스터 주소 등의 정보를 복원할 수 있습니다.

시그니처 기반 복구

각 파일 형식은 고유한 헤더(header) 시그니처를 가집니다. JPEG 파일은 FF D8 FF로 시작하고, PDF는 25 50 44 46로 시작합니다. 이러한 패턴을 전체 디스크에서 검색하여 파일 조각을 찾아내는 방식입니다.

카빙(Carving) 기법

파일 시스템 구조와 무관하게 raw 데이터 영역을 직접 분석합니다. 파일의 시작점과 끝점을 식별하여 온전한 파일을 재구성하는 고급 기법으로, 파일 시스템이 손상된 상황에서도 효과적입니다.

복구 가능성을 결정하는 핵심 요소들

모든 삭제된 파일이 복구되는 것은 아닙니다. 성공률은 다음 조건들에 의해 결정됩니다:

• 삭제 후 경과 시간: 시간이 지날수록 덮어쓰기 확률 증가
• 디스크 활동량: 새로운 파일 생성, 프로그램 설치 등이 복구율 저하
• 파일 크기: 작은 파일일수록 단일 클러스터에 저장되어 복구 용이
• 파일 단편화 정도: 연속된 클러스터에 저장된 파일이 복구 성공률 높음

특히 SSD의 경우 TRIM 명령어로 인해 삭제된 데이터가 물리적으로 제거되므로, 기존 HDD 대비 복구 난이도가 현저히 높습니다.

실제 데이터 복구 도구와 방법론

삭제된 파일의 복구 원리를 이해했다면, 이제 실무에서 검증된 복구 도구들을 살펴봐야 합니다. 시중에는 수십 가지 복구 프로그램이 있지만, 잘못된 선택은 복구 가능한 데이터마저 영구 손실시킬 수 있습니다.

복구 작업 전 필수 주의사항: 데이터 손실이 발생한 드라이브에는 어떤 프로그램도 설치하지 마십시오. 새로운 데이터 기록이 삭제된 파일의 클러스터를 덮어쓸 수 있습니다. 복구 도구는 반드시 다른 드라이브나 외장 저장장치에 설치하여 실행하십시오.

전문가 수준의 복구 도구 선택

무료 복구 프로그램 중에서는 PhotoRec과 TestDisk가 가장 신뢰할 만합니다. 이들은 파일 시스템에 의존하지 않고 파일 헤더 시그니처를 직접 스캔하여 복구율이 높습니다. 상용 프로그램으로는 R-Studio와 GetDataBack이 포렌식 전문가들 사이에서 검증된 도구입니다.

1. PhotoRec 실행: 명령 프롬프트에서 photorec.exe 실행 후 복구 대상 드라이브 선택
2. 파일 타입 지정: 복구할 파일 확장자를 미리 지정하면 스캔 시간 단축 가능
3. 복구 경로 설정: 원본 드라이브가 아닌 별도 저장소에 복구 파일 저장
4. Deep Scan 옵션: 일반 스캔으로 찾지 못한 경우 전체 섹터 스캔 실행

포렌식 관점에서의 데이터 흔적 분석

디지털 포렌식에서는 단순 파일 복구를 넘어 사용자 행위 패턴과 시간대별 데이터 변화를 추적합니다. 윈도우 시스템의 경우 $MFT(Master File Table), $LogFile, $UsnJrnl 등의 메타데이터 영역에서 삭제된 파일의 생성/수정/삭제 시점을 정확히 파악할 수 있습니다.

레지스트리와 로그 파일 활용

윈도우 레지스트리의 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs 경로에는 최근 사용한 파일 목록이 바이너리 형태로 저장됩니다. 이 정보를 통해 삭제된 파일의 원래 이름과 경로를 역추적할 수 있습니다.

1. 레지스트리 편집기 실행: regedit 명령으로 레지스트리 에디터 열기
2. RecentDocs 탐색: 상기 경로로 이동하여 바이너리 데이터 확인
3. 16진수 변환: 바이너리 값을 ASCII 코드로 변환하여 파일명 추출
4. 타임스탬프 분석: 레지스트리 키의 마지막 수정 시간으로 삭제 시점 추정

고급 복구 기법과 한계점

SSD(Solid State Drive) 환경에서는 기존 HDD와 다른 접근이 필요합니다. SSD의 TRIM 명령은 삭제된 데이터 블록을 물리적으로 초기화하여 복구 가능성을 크게 낮춥니다. 이런 경우 파일 시스템 저널이나 데이터베이스 트랜잭션 로그에서 간접적인 복구 단서를 찾아야 합니다.

암호화된 드라이브에서의 데이터 복구는 한층 더 복잡합니다. BitLocker나 FileVault 같은 전체 디스크 암호화가 적용된 경우, 복구 키나 패스워드 없이는 복구된 데이터도 읽을 수 없는 암호화된 상태로만 얻을 수 있습니다.

데이터 보호와 예방 전략

복구 기술의 발전은 역설적으로 완전한 데이터 삭제의 어려움을 보여줍니다. 중요한 개인정보나 기업 기밀이 포함된 저장장치를 폐기할 때는 단순 삭제가 아닌 DBAN(Darik’s Boot and Nuke) 같은 전용 도구로 다중 패스 덮어쓰기를 수행해야 합니다. 또한 계정 탈취나 무단 접근이 의심되는 경우에는 저장 데이터 보호와 함께 접근 경로를 즉시 차단해야 하므로, 텔레그램 세션 강제 종료: 해킹 의심 시 다른 기기 로그아웃처럼 활성 세션을 신속히 종료하는 조치도 필수적인 사전 예방 전략에 해당합니다.

전문가 팁: 정기적인 백업 체계 구축이 최선의 데이터 보호책입니다. 3-2-1 백업 원칙을 따르십시오. 3개의 복사본을 만들되, 2개의 서로 다른 매체에 저장하고, 1개는 오프사이트(클라우드나 원격지)에 보관하는 것입니다. 복구 기술에 의존하기보다는 애초에 데이터 손실을 방지하는 것이 현명한 접근법입니다.

디지털 포렌식의 데이터 복구 기술은 계속 발전하고 있지만, 저장 기술의 진화와 함께 새로운 도전에 직면하고 있습니다. 중요한 것은 기술적 이해를 바탕으로 적절한 도구와 방법론을 선택하여 체계적으로 접근하는 것입니다.