استعادة البيانات من صور الأقراص الجنائية AFD وE01 وS01

• المؤلف:
  
  Abdelhamid Balti
• محرر:
  
  Mykhailo Miroshnichenko
• تاريخ التحديث: 1.09.2026 21:32

في هذه المقالة، سنستعرض تنسيقات صور الأقراص AFD وE01 وS01، وهي تُستخدم على نطاق واسع في التحليل الجنائي الرقمي وأمن المعلومات واستعادة البيانات الاحترافية. سنشرح الغرض من كل تنسيق، وأماكن استخدامه عمليًا، وما البيانات التي يمكن أن يحتويها. كما سنراجع خصائص كل تنسيق ومزاياه وقيوده.

المحتوى

• أمن وسلامة الأدلة الرقمية
• الصور الجنائية: E01 وAFD وS01
  • تنسيق E01
  • تنسيق S01
  • تنسيق AFD
• كيفية استعادة البيانات من صورة جنائية
  • تحميل الصور
  • استعادة البيانات من الصور الجنائية
• الخلاصة
• الأسئلة الشائعة
• التعليقات

في التحليل الجنائي الرقمي، تُستخدم صور الأقراص لإنشاء نسخ مطابقة تمامًا لأجهزة التخزين مع الحفاظ على بنية البيانات ونظام الملفات والمعلومات المهمة الأخرى. تتيح هذه الصور فحص الوسيط الأصلي دون خطر تغيير محتواه أو إتلافه. ومن بين التنسيقات التي قد تُصادَف أثناء التحليل الجنائي: AFD وE01 وS01.

ومع ذلك، فإن وجود صورة جنائية جاهزة لا يضمن إمكانية فتح جميع الملفات أو نسخها فورًا. فقد تكون البيانات محذوفة أو مجزأة أو تالفة أو موجودة في أقسام وأنظمة ملفات لا تتعرف عليها أدوات Windows القياسية. في مثل هذه الحالات، تُستخدم أدوات متخصصة لتحليل الصورة والبحث عن البيانات المفقودة.

في هذه المقالة، سنشرح كيفية فتح الصور الجنائية AFD وE01 وS01 وتحليلها واستعادة الوصول إلى الملفات المحذوفة أو المفقودة. كما سنغطي خصائص العمل مع هذه الصور وإجراءات استعادة البيانات دون إجراء أي تغييرات على ملف الدليل الأصلي.

إذهب للعرض

Forensic Data Recovery from AFD, E01, S01 Disk Images

أمن وسلامة الأدلة الرقمية

قد تحتوي الصور الجنائية على معلومات سرية ومعلومات ذات قيمة إثباتية، لذلك يُستخدم التشفير غالبًا لحمايتها. ويساعد ذلك على منع الوصول غير المصرح به والتحقق من سلامة البيانات. وتُستخدم هذه الصور في تحليل الأدلة الرقمية، واستعادة الملفات المحذوفة، وفحص رسائل البريد الإلكتروني وسجلات الأحداث.

يخضع العمل بالأدلة الرقمية لمعايير دولية:

• أحد المعايير الأساسية هو ISO/IEC 27037، الذي يحدد قواعد تحديد الأدلة الرقمية وجمعها واستخراجها وحفظها. وهو يتطلب إنشاء نسخة مطابقة تمامًا للوسيط، وحماية البيانات من أي تغيير، وتوثيق جميع الإجراءات المنفذة أثناء التعامل مع الأدلة.
• إضافة إلى ذلك، يُستخدم في مجال التحليل الجنائي الرقمي على نطاق واسع ISO/IEC 17025، الذي يضع متطلبات كفاءة مختبرات الأدلة الجنائية وجودة الفحوصات.

الصور الجنائية: E01 وAFD وS01

عند إنشاء نسخة من جهاز تخزين، يوفّر Exterro FTK Imager عدة تنسيقات للصور، وأكثرها استخدامًا AFD وE01 وS01. وهي تنسيقات جنائية صُممت لإنشاء نسخة مطابقة تمامًا للقرص، قطاعًا بقطاع، مع الحفاظ على نظام الملفات وبيانات الخدمة ومعلومات الملفات المحذوفة.

تتيح هذه الصور التقاط حالة جهاز التخزين بأقصى درجات الدقة في وقت الاستخراج، وإجراء التحليل اللاحق أو الفحص الرقمي أو استعادة البيانات دون العمل على الوسيط الأصلي.

تنسيق E01

يُعد تنسيق E01 أحد أكثر المعايير استخدامًا في التحليل الجنائي الرقمي والفحوصات الجنائية. وهو ينشئ نسخة مطابقة تمامًا لجهاز التخزين ويحافظ على بيانات الخدمة اللازمة للتحقق من السلامة: رقم القضية، اسم الفاحص، تاريخ الإنشاء، وصف الوسيط، وقيم التحقق التجميعي. ولهذا السبب يُستخدم E01 على نطاق واسع في التحليل الجنائي الرقمي، والتحقيقات في الحوادث السيبرانية، والتعامل مع الأدلة الرقمية.

لإنشاء صورة بتنسيق E01، افتح Exterro FTK Imager. من قائمة File، اختر Create Disk Image.

في نافذة اختيار المصدر، اختر Physical Drive، لأننا ننشئ نسخة من جهاز تخزين فعلي.

بعد ذلك، حدد محرك أقراص USB المتصل أو أي وسيط آخر تريد إنشاء صورة منه.

بعد ذلك ستُفتح نافذة الإعدادات.

انقر على Add واختر E01 أو Expert Witness Format من قائمة التنسيقات. يُستخدم هذا الخيار لإنشاء صورة بتنسيق E01.

في المرحلة التالية، املأ حقول الخدمة: رقم القضية، رقم الدليل، وصف الجهاز، اسم الفاحص، والملاحظات. ستُخزن هذه المعلومات داخل الصورة وستساعد على التحقق من مصدرها أثناء التحليل اللاحق.

ثم حدد المجلد الذي سيُحفظ فيه الملف واضبط اسم الصورة.

إذا لزم الأمر، اضبط Image Fragment Size. إذا كنت بحاجة إلى ملف واحد متصل، فاضبط القيمة على 0. وإذا كانت الصورة بحاجة إلى التقسيم إلى أجزاء، فحدد حجم الجزء بالميغابايت.

بعد إعداد E01، لا تبدأ النسخ فورًا إذا كنت بحاجة إلى إنشاء صورة أخرى بتنسيق مختلف. انقر على Add مرة أخرى وانتقل إلى إنشاء S01.

تنسيق S01

صُمم S01 لإنشاء وتخزين الأدلة الرقمية ضمن مجموعة برمجيات SMART. وهو ينشئ نسخة مطابقة تمامًا لجهاز التخزين مع بيانات خدمة للتحقق من سلامة المعلومات. ويُستخدم هذا التنسيق في الفحوصات الرقمية، والتحقيقات في الحوادث، والتدقيق المؤسسي، وتخزين الأدلة الرقمية. وعلى الرغم من أن تنسيق S01 أقل شيوعًا، فإنه يظل متوافقًا مع العديد من أدوات التحليل الجنائي الرقمي.

لإضافة صورة بتنسيق S01، اختر Smart من قائمة التنسيقات المتاحة. يُستخدم هذا الخيار لإنشاء Smart Disk Image بتنسيق S01.

بعد ذلك، املأ حقول المعلومات الخاصة بالوسيط المفحوص: رقم القضية، رقم الدليل، وصف الجهاز، اسم الفاحص، والملاحظات. ثم حدد مجلد الوجهة واضبط اسم الملف.

بعد إعداد S01، يمكنك إضافة تنسيق آخر. والآن لننظر في AFD، الذي يختلف عن التنسيقات السابقة في طريقة تخزين البيانات.

تنسيق AFD

AFD هو تنسيق صور أقراص يُستخدم في حلول Exterro لتخزين الأدلة الرقمية وتحليلها. وعلى خلاف E01 وS01، يخزن AFD البيانات كمجموعة من الملفات في مجلد منفصل، وهو ما يكون مناسبًا لكميات كبيرة من المعلومات. يدعم هذا التنسيق الضغط والبيانات الوصفية الخدمية والتخزين طويل الأمد للأدلة الرقمية: المستندات، ورسائل البريد الإلكتروني، والصور، ومقاطع الفيديو، وسجل التصفح، والرسائل، وقواعد البيانات، وسجلات النظام، والملفات المحذوفة.

لإضافة صورة بتنسيق AFD، انقر في نافذة إعدادات الصورة على Add واختر AFF أو AFF Directory Image، وفقًا للطريقة التي يظهر بها هذا الخيار في إصدار البرنامج لديك.

بعد اختيار التنسيق، املأ معلومات الخدمة الخاصة بوسيط التخزين: رقم القضية، رقم الدليل، وصف الجهاز، اسم الفاحص، والملاحظات. ثم حدد مجلد الوجهة.

بعد ذلك، انقر على Finish وابدأ عملية إنشاء الصورة. انتظر حتى يكتمل النسخ والتحقق.

بعد ذلك، يمكن إضافة هذه الصور إلى Hetman Partition Recovery لمزيد من التحليل، وعرض البيانات التي تم العثور عليها، واستعادة الملفات إلى جهاز تخزين فعلي آخر.

كيفية استعادة البيانات من صورة جنائية

تحميل الصور

إن تحميل الصور الجنائية في Hetman Partition Recovery أمر مباشر جدًا. يدعم البرنامج تنسيقات AFD وE01 وS01، ويعرض هذه الصور كأقراص فعلية عادية مع أقسام ونظام ملفات وملفات قابلة للوصول.

لإرفاق ملف، افتح قائمة التحميل في Hetman Partition Recovery وحدد النوع المطلوب:

• بالنسبة إلى AFD، اختر AFF Directory Images وحدد المجلد الذي يحتوي على مكوناته.
• بالنسبة إلى E01، أضف ملف Expert Witness Format.
• بالنسبة إلى S01، اختر Smart Disk Image وحدد الدليل الذي تُخزن فيه الملفات المقابلة.

يدعم Hetman Partition Recovery الصور المضغوطة وغير المضغوطة لهذه التنسيقات، لذلك لا توجد حاجة إلى إعدادات إضافية لتحميلها. بعد إضافة الصورة، سيعرضها البرنامج تلقائيًا في قائمة أجهزة التخزين كقرص منفصل. تأكد من توفر الأقسام ونظام الملفات المطلوبين.

استعادة البيانات من الصور الجنائية

بعد ذلك، حدد القسم الذي تحتاج إلى استعادة البيانات منه وابدأ التحليل. تتوفر وضعا فحص: Quick Scan وFull Scan:

• استخدم Quick Scan إذا كان نظام الملفات لا يزال سليمًا، ولم تتغير بنية القسم، وتحتاج إلى العثور على الملفات المحذوفة مع الحفاظ على بنية المجلدات الأصلية.
• استخدم Full Scan إذا تمت تهيئة القسم، أو كان نظام الملفات تالفًا، أو تغيرت بنية القسم، أو كنت بحاجة إلى العثور على الملفات بواسطة التواقيع. في هذا الوضع، يجري البرنامج فحصًا عميقًا للوسيط ويبحث عن البيانات باستخدام أنماط الملفات المعروفة.

بعد اكتمال التحليل، راجع الملفات التي تم العثور عليها. تأكد من استخدام ميزة Preview للتحقق من أن المستندات أو الصور أو مقاطع الفيديو أو الملفات الأخرى المطلوبة تُفتح بشكل صحيح.

إذا تم العثور على البيانات المطلوبة، فانقر على Recover واحفظ الملفات على جهاز تخزين فعلي آخر.

لا تحفظ البيانات المستعادة مرة أخرى في الصورة نفسها أو على القرص الذي تُجرى منه عملية الاستعادة.

الخلاصة

تتيح الصور الجنائية AFD وE01 وS01 الحفاظ على نسخ مطابقة لأجهزة التخزين وفحصها دون الحاجة إلى العمل مباشرة على الوسيط الأصلي. ومع ذلك، إذا كانت الملفات قد حُذفت، أو كان نظام الملفات تالفًا، أو فُقدت بنية الأقسام، فقد لا يكون مجرد تحميل الصورة كافيًا للوصول إلى المعلومات المطلوبة.

لاستعادة البيانات، من المهم تحديد تنسيق الصورة وبنيتها وحالتها بشكل صحيح، ثم تحليل الأقسام المتاحة وأنظمة الملفات والمساحة غير المخصصة. يمكن لبرامج استعادة البيانات المتخصصة العثور على الملفات الموجودة والبيانات المحذوفة، بشرط ألا يكون محتواها قد تم استبداله بعد.

عند العمل مع الأدلة الرقمية، من المهم بشكل خاص عدم تعديل الصورة الجنائية الأصلية. ويوصى بالعمل على نسخة وحفظ نتائج الاستعادة على جهاز تخزين فعلي آخر. يقلل هذا النهج من خطر فقدان المعلومات ويحافظ على الصورة الأصلية لمزيد من التحليل.

لذلك، فإن استعادة البيانات من AFD وE01 وS01 ممكنة حتى في الحالات المعقدة، شريطة ألا تكون الصورة تالفة بشكل حرج وأن تكون البيانات المطلوبة لا تزال موجودة ماديًا داخلها. إن الاختيار الصحيح للأدوات واتباع عملية منهجية لتحليل الصورة الجنائية يتيحان استعادة الوصول إلى الملفات المفقودة أو المحذوفة أو المخفية بفعالية.