File Carving 이란?

파일 복구 라고 한다면 보통 MFT를 통해서 연결이(할당이) 해제된 엔트리를 분석해서 다시 연결하는 작업을 떠올릴 것이다.

하지만 MFT가 손상되는 경우도 있고, META-DATA가 덮어씌어지거나 손상된다면 실제 파일을 복구하기 힘들어질 것이다.

이때 사용하는 기법이 File Carving인데 디스크를 처음부터 끝까지 차례대로 읽으면서 File Header, Footer를 확인해서 파일을 일일이 복구하는 방법이다.

겉보기에는 뭐든지 복구할 것같이 보이긴 하지만 TXT 파일처럼 파일 헤더, 푸터 구분이 없을 경우엔 복구가 불가능하다. 또 실제 메타데이터가 손상되는 경우에는 복구가 불가능하다.

역시 처음부터 복구할 일을 만들지 않는게 중요하긴 하다.