Digital Forensic 이론/FileSystem

클러스터(Cluster), 섹터(Sector), 슬랙(Slack)이란?

ggaul 2023. 3. 14. 17:05
반응형

- Sector

  디스크는 I/O(Input/Output) 명령을 받으면, 1 sector 단위로 I/O 한다.

  즉, 물리적으로 디스크가 I/O 하는 단위, 따라서 실제로 디스크에 I/O 하게 되는 최소 크기는 1 sector이다.

   1 sector = 512 byte

 

 - Cluster

   운영체제에서 디스크에 접근하기 위해 사용하는 파일시스템에서 I/O 하는 단위.

    파일시스템에서는 I/O횟수를 줄이기 위해 sector 단위로 관리하지 않고 sector들을 묶어 cluster로 관리한다.

    따라서 파일시스템에서 I/O 명령을 내리는 최소 단위는 1 cluster 된다.

    파일시스템에 따라 다르지만, 보통 8 sector를 1 cluster = 4KB 

 

  - Slack

    파일의 실제 크기와 디스크 최소 I/O크기, 파일시스템 최소 I/O 크기의 차이가 발생되는 공간

      ex) cluster : 2KB, sector : 512 byte의 파일시스템에 640 byte 크기의 파일을 저장하면 다음과 같은 슬랙이 발생

         * Ramslack: 디스크에 실제로 I/O 하게 되는 단위가 1 sector 이기 때문에, 640 byte 파일을 저장하려면 2 sector에 I/O 발생

            이때, 두 번째 sector의 앞부분 128byte는 파일 내용으로 채우고 남은 384byte는 0으로 초기화하는데 이렇게 초기화된                          384byte를 ramslack라고 말한다. 

       ** Driveslack: 파일시스템은 디스크를 클러스토로 관리하기 때문에 2 sector 밖에 사용하지 않았다고 해도 파일시스템에서는                        1 cluster(4 sector)를 사용 중인 것으로 출력한다. 이렇게 낭비되는 추가적인 2 sector를 드라이브 슬랙이라고 말한다.  

 

반응형