파티션 타입 (Partition Types)

앞서 살펴본 바와 같이 저장매체는 일반적으로 MBR이라는 구조를 통해 파티션을 관리한다. MBR은 MS-DOS 뿐만아니라 Windows, Linux 등에서 공통적으로 사용하는 구조이다. Slice (disk), BSD disklabel 과 같이 특정 운영체제는 자신만의 구조를 사용하기도 한다. 앞으로 저장매체의 용량이 커지면서 MBR도 GPT(GUID Partition Table)로 대체될 것으로 보이지만 당분간은 MBR이 계속 쓰이게 될 것이다.

MBR은 저장매체를 4개의 파티션으로 분할 할 수 있다. 이 중 부팅 가능한 주 파티션(primary partition)은 항상 하나 이상을 가져야 한다. 그렇지 않다면 MBR의 부트 코드를 실행하는 과정에서 부팅 가능한 파티션이 없다는 오류메시지를 발생시킬 것이다. 주 파티션은 4개까지만 생성할 수 있지만 데이터 저장을 위한 논리 파티션은 4개 이상이 가능하다.

이것은 확장 파티션(extended partition)이라는 구조를 통해 가능한데, 확장 파티션은 16 바이트의 파티션 테이블에서 파티션 타입 값을 0x05h, 0x0Fh로 가진다. 확장 파티션을 통해서 생성할 수 있는 논리 파티션도 제한이 있는데, 각 파티션에는 파티션 문자가 할당이 된다. 'A', 'B'는  플로피 드라이브로 예약되어 있기 때문에 최대 24개('C' – 'Z')의 파티션이 생성이 가능하다.

확장 파티션은 데이터를 저장하기 위한 용도가 아니라 논리 파티션을 생성하기 위한 용도로 사용된다. 결국, 데이터는 논리 파티션에 저장된다. 예를 들어, 하나의 저장매체를 C:, D:, E: 3개의 파티션으로 나눌 경우 C:는 부팅 가능한 주 파티션이 되고 D:, E:는 논리 파티션이 된다.

다음은 그림을 통해 살펴본 주 파티션과 확장, 논리 파티션의 관계이다. MS-DOS 환경에서는 확장 파티션을 통해 최대 30개 까지 논리 파티션이 생성가능하다. 확장 파티션은 하나 이상의 파티션 정보가 저장되므로 MBR 영역에 저장되는 것이 아니라 저장매체의 별도의 영역에 저장된다. 따라서, 파티션 타입이 0x05h, 0x0Fh 값을 갖는 확장 파티션일 경우에는 확장 파티션의 시작 위치로 접근하여 논리 파티션 테이블을 확인해야 한다.

다음은 필자의 윈도우 시스템에서 디스크 관리(Disk Management)를 통해 디스크 상태를 살펴본 것이다. 총 2개의 디스크가 장착되어 있고, C:, E: 는 주 파티션이고 D:, F:는 논리 파티션인 것을 확인할 수 있다.

파티션 복구 (Partition Recovery)

해외 복구 도구들의 경우 대부분 삭제된 파일(deleted file) 복구, 파일 카빙(file carving)과 함께 파티션 복구 기능을 지원한다. 파티션 복구는 사용자가 실수로 파티션을 삭제하였을 경우 복구하는 기법이다. 파티션을 삭제하게 되면 파티션 테이블에서 해당 파티션에 대한 정보도 삭제가 된다.

이 경우 파티션 테이블의 정보는 사라졌지만, 해당 파티션이 위치하고 있던 영역의 데이터는 그대로 남아 있기 때문에 지워진 파티션의 부트 섹터(Boot Secotr)의 정보를 토대로 파티션 테이블을 다시 재구성할 수 있다. 만약, 파티션을 지운 후 다른 파티션의 영역을 지워진 파티션 영역까지 확장한 경우는 어떡해 될까?

이 경우에도 지워진 파티션의 부트섹터와 메타 영역이 덮어쓰여지지(overwritten) 않았다면 부트 섹터를 찾아 파티션의 크기를 재조정한 후 복구할 수 있을 것이다.

용어: 

부트 섹터(Boot Sector): 부팅을 하는데 필요한 파일이나 과정들을 하드디스크내에 섹터로 할당 해서 모아둔                               저장소

URL: http://forensic-proof.com/archives/367