TL;DR
가상머신 파일(.vmdk, .vhdx)을 삭제하는 것만으로는 가상머신 내부에서 다루었던 민감 데이터가 완전히 사라지지 않습니다. 호스트 PC의 메모리 덤프 파일(.vmem), 일시 정지(Suspend) 상태 파일, Windows의 pagefile.sys 및 스냅샷 잔재에 가상머신의 RAM 데이터가 평문으로 남을 수 있습니다. PC를 반납하거나 처분하기 전에는 가상 디스크 파일 소거뿐만 아니라 호스트 OS에 남아 있는 임시 캐시 및 메모리 잔재까지 단계별로 정리해야 합니다.
핵심 개념
VMware Workstation, Oracle VirtualBox, Hyper-V 등에서 생성하는 가상 디스크 파일(VMDK, VHDX, VDI)은 가상 드라이브의 데이터를 저장하는 컨테이너입니다. 그러나 가상머신이 동작하는 동안 호스트 OS는 가상머신의 RAM 상태, 스냅샷 정보, 실행 로그, 임시 파일 등을 호스트의 물리 디스크 영역에 별도로 기록합니다.
가상 디스크 파일만 탐색기에서 삭제(Delete)할 경우 발생할 수 있는 보안 허점은 다음과 같습니다. - 메모리 덤프 및 서스펜드 파일(.vmem, .sav): 가상머신을 '일시 정지'하거나 캡처할 때 가상 RAM의 전체 내용이 파일로 남습니다. 이 파일에는 가상머신 내부에서 입력한 비밀번호, API 키, DB 접속 정보 등이 평문 형태로 존재합니다. - 호스트 OS 페이징 파일(pagefile.sys): 호스트의 물리 메모리가 부족할 때 가상머신 프로세스(vmware-vmx.exe 등)의 메모리가 호스트의 pagefile.sys에 스왑아웃됩니다. - 하이퍼바이저 로그 및 최근 항목: 가상머신의 설정 정보, 연결된 공유 폴더 경로, 마운트했던 ISO 이미지 경로 등이 호스트 레지스트리와 로그 파일에 기록됩니다.
단계별 실행 가이드
1단계: 가상머신 인스턴스 완전 제거 및 파일 소거
단순 삭제 대신 디스크 소거 도구를 사용하거나 가상머신 관리 소프트웨어 내의 삭제 기능을 활용해야 합니다.
1. Hyper-V / VMware / VirtualBox GUI에서 삭제: 하이퍼바이저 관리자에서 가상머신을 우클릭하고 '디바이스에서 제거(Delete from Disk)'를 선택하여 연관된 스냅샷 체인과 설정 파일(.vmx, .xml)을 일괄 삭제합니다.
2. 남은 파일 덮어쓰기: VMDK나 VHDX 파일이 포함되어 있던 디렉터리가 HDD에 위치해 있다면, SDelete(Microsoft Sysinternals) 같은 툴을 사용하여 해당 폴더 영역을 덮어씁니다.
cmd
sdelete.exe -p 3 -s "C:\Virtual Machines\*"
(참고: SSD의 경우 다중 덮어쓰기보다 디스크 전체 대상 NVMe Secure Erase 또는 TRIM 작동을 유도하는 것이 정석입니다.)
2단계: 호스트 OS 메모리 덤프 및 임시 파일 제거
가상머신이 갑자기 종료되었거나 스냅샷을 생성했을 때 생성된 메모리 잔재를 제거합니다.
1. VMware/VirtualBox 임시 폴더 비우기:
- %TEMP% 및 %LOCALAPPDATA%\Temp 이동 후 vmware-* 또는 VirtualBox* 관련 임시 폴더 삭제.
- VMware의 경우 가상머신 Directory 내의 .vmem, .vmsn, .vssm 확장자 파일 존재 여부 최종 확인.
2. 호스트 가상 메모리(pagefile.sys) 정리:
- PC 재부팅 시 가상 메모리가 자동 소거되도록 레지스트리를 설정하거나, PC 반납 직전 시스템 속성에서 가상 메모리 용량을 '성능 향상 처리 후 페이징 파일 없음'으로 설정하여 지운 뒤 재설정합니다.
3단계: 하이퍼바이저 접속 기록 및 공유 폴더 흔적 소거
- 호스트와 가상머신 간 공유 폴더 cleanup: 호스트 PC에 생성해 두었던 VM 공유 전용 로컬 폴더(예:
C:\VM_Share) 내의 데이터를 안전하게 소거합니다. - 최근 사용한 파일 목록 소거: Windows Quick Access 및 레지스트리의 MRU(Most Recently Used) 목록에 남은
.vmdk,.iso경로 기록을 삭제합니다.
비교/체크리스트
| 데이터 잔재 위치 | 포함될 수 있는 민감 정보 | Recommended 보안 조치 | 비고 |
|---|---|---|---|
| VMDK / VHDX 파일 | 가상 OS 전체 데이터 (DB, 소스코드, 계정) | 하이퍼바이저 내 '디바이스에서 제거' 후 디스크 소거 | 파일 단순 삭제 시 복구 가능 |
| .vmem / .sav 파일 | 가상머신 RAM 데이터 (비밀번호, 메모리 내 키) | 가상머신 폴더 전체 파기 확인 | 일시정지/스냅샷 시 생성됨 |
| pagefile.sys | 가상머신 프로세스 메모리 스왑 데이터 | Windows 종료 시 pagefile 자동 소거 설정 | 호스트 OS 설정 필요 |
| 호스트 공유 폴더 | 가상 OS와 주고받은 파일 및 개발 소스 | 공유 폴더 내부 파일 소거 및 폴더 제거 | 방치하기 쉬운 항목 |
실무 사례 또는 예시
소프트웨어 개발사 보안 담당자 A씨는 퇴사자의 업무용 노트북을 회수하는 과정에서 가상 디스크 파일(Ubuntu.vmdk)이 삭제된 것을 확인했습니다. 그러나 데이터 복구 분석 툴을 통해 호스트 PC의 %TEMP% 경로를 점검한 결과, 삭제되지 않고 남아 있던 8GB 규모의 .vmem (VMware 메모리 덤프 파일)을 발견했습니다.
해당 .vmem 파일 메모리 분석을 진행하자 가상머신 실행 당시 입력했던 개발용 데이터베이스 접속 비밀번호와 암호화 SSH 키가 평문 텍스트로 노출되어 있었습니다. 가상 디스크 파일 자체만 지우고 메모리 상태 파일을 지우지 않아 발생한 보안 허점이었습니다. 이후 해당 기업은 반납 체크리스트에 '가상머신 메모리 파일 및 호스트 캐시 소거' 항목을 필수 절차로 추가했습니다.
자주 묻는 질문(FAQ)
Q1. SSD를 사용 중인 PC에서도 SDelete 같은 덮어쓰기 도구로 VMDK 파일 삭제 영역을 지워야 하나요?
SSD는 컨트롤러의 웨어 레벨링(Wear Leveling) 메커니즘 때문에 특정 파일 위치에 대한 다중 덮어쓰기 효과가 불확실하며 SSD 수명을 단축시킬 수 있습니다. SSD 환경에서는 가상 디스크 파일 삭제 후 Windows의 '드라이브 최적화(TRIM)' 명령을 실행하여 블록을 완전히 비우거나, PC 반납 시 드라이브 전체에 대해 NVMe Secure Erase 또는 Windows 초기화(드라이브 정리 옵션 포함)를 수행하는 것이 기술적으로 훨씬 안전합니다.
Q2. VirtualBox 스냅샷을 모두 지우면 이전 가상 디스크 데이터도 완전히 사라지나요?
스냅샷 삭제는 차분 디스크(Differencing Disk)의 변경 사항을 병합(Merge)하는 과정입니다. 즉, 스냅샷을 지운다고 해서 가상머신 내부 데이터가 소거되는 것이 아니라 베이스 디스크로 합쳐지는 경우가 많습니다. 데이터 소거 목적이라면 스냅샷 삭제가 아닌 가상머신 전체(Delete All Files) 삭제를 실행해야 합니다.
용어 설명
- VMDK / VHDX: 각각 VMware와 Microsoft Hyper-V에서 사용하는 가상 디스크 드라이브 포맷 파일입니다.
- .vmem 파일: VMware가 가상머신의 RAM 상태를 호스트 디스크에 저장할 때 생성하는 메모리 파일입니다.
- TRIM: OS가 더 이상 사용하지 않는 SSD 블록을 컨트롤러에 알려주어 물리적으로 데이터를 비우도록 돕는 명령입니다.
마무리
개발 및 테스트 환경으로 활용한 가상머신은 파일 몇 개만 지우는 것으로 완벽히 파기되지 않습니다. 호스트 OS에 남은 메모리 덤프, 가상 메모리 스왑 파일, 임시 캐시까지 꼼꼼히 정리해야 민감 정보 유출을 막을 수 있습니다.
회사 PC 반납이나 중고 매각 전 저장장치 데이터 처리 과정이 복잡하고 부담스럽다면, 전문가의 가이드와 맞춤 솔루션을 확인해보세요.
데이터 정리가 끝났다면 이제 가치를 확인할 차례입니다. 무료 견적 받기