Datenwiederherstellung aus forensischen Festplattenabbildern im AFD-, E01- und S01-Format
-
Autor:
Glib Khomenko
-
Editor:
Alexandr Shafarenko
In diesem Artikel untersuchen wir die Festplattenabbildformate AFD, E01 und S01, die in der digitalen Forensik, der Informationssicherheit und der professionellen Datenrettung weit verbreitet sind. Wir erläutern den Zweck der einzelnen Formate, ihre praktischen Einsatzbereiche und die Art der darin enthaltenen Daten. Außerdem betrachten wir die Merkmale, Vorteile und Einschränkungen der einzelnen Formate.
- Sicherheit und Integrität digitaler Beweismittel
- Forensische Abbilder: E01, AFD und S01
- Daten aus einem forensischen Abbild wiederherstellen
- Fazit
- Häufig gestellte Fragen
- Bemerkungen
In der digitalen Forensik werden Festplattenabbilder verwendet, um exakte Kopien von Speichermedien zu erstellen und dabei Datenstruktur, Dateisystem und andere kritische Informationen zu erhalten. Solche Abbilder ermöglichen die Untersuchung des Originalmediums, ohne dessen Inhalt zu verändern oder zu beschädigen. Zu den Formaten, die bei der forensischen Analyse vorkommen können, gehören AFD, E01 und S01.
Auch das Vorliegen eines fertigen forensischen Abbilds garantiert jedoch nicht, dass alle Dateien sofort geöffnet oder kopiert werden können. Daten können gelöscht, fragmentiert, beschädigt oder in Partitionen und Dateisystemen gespeichert sein, die von Standard-Windows-Tools nicht erkannt werden. In solchen Fällen sind spezialisierte Werkzeuge erforderlich, um das Abbild zu analysieren und nach verlorenen Daten zu suchen.
In diesem Artikel erläutern wir, wie man forensische Abbilder im AFD-, E01- und S01-Format öffnet, analysiert und den Zugriff auf gelöschte oder verlorene Dateien wiederherstellt. Außerdem behandeln wir die Besonderheiten bei der Arbeit mit solchen Abbildern und das Verfahren zur Datenwiederherstellung, ohne Änderungen an der ursprünglichen Beweisdatei vorzunehmen.
Datenwiederherstellung von forensischen Disk-Images AFD, E01, S01
Sicherheit und Integrität digitaler Beweismittel
Forensische Abbilder können vertrauliche und beweiserhebliche Informationen enthalten, weshalb sie häufig verschlüsselt werden. Dies hilft, unbefugten Zugriff zu verhindern und die Datenintegrität zu bestätigen. Solche Abbilder werden bei der Analyse digitaler Beweismittel, der Wiederherstellung gelöschter Dateien sowie bei der Untersuchung von E-Mails und Ereignisprotokollen eingesetzt.
Die Arbeit mit digitalen Beweismitteln wird durch internationale Standards geregelt:
- Ein wesentlicher Standard ist ISO/IEC 27037, der Regeln für die Identifizierung, Sammlung, Sicherung, Sicherstellung und Aufbewahrung digitaler Beweismittel definiert. Er verlangt die Erstellung einer exakten Kopie des Mediums, den Schutz der Daten vor jeglichen Änderungen sowie die Dokumentation aller bei der Sicherung durchgeführten Schritte.
- Darüber hinaus wird im Bereich der digitalen Forensik häufig ISO/IEC 17025 verwendet, der Anforderungen an die Kompetenz forensischer Labore und an die Qualität von Untersuchungen festlegt.
Forensische Abbilder: E01, AFD und S01
Beim Erstellen einer Kopie eines Speichermediums bietet Exterro FTK Imager mehrere Abbildformate an, von denen AFD, E01 und S01 am häufigsten verwendet werden. Es handelt sich um forensische Formate, die dazu dienen, eine exakte bitweise Kopie einer Festplatte zu erstellen und dabei Dateisystem, Dienstinformationen und Informationen über gelöschte Dateien zu erhalten.
Solche Abbilder ermöglichen es, den Zustand des Speichermediums zum Zeitpunkt der Sicherung so genau wie möglich zu erfassen und anschließend eine weitergehende Analyse, forensische Untersuchung oder Datenwiederherstellung durchzuführen, ohne mit dem Originalmedium zu arbeiten.
| Eigenschaft | AFD | E01 | S01 |
|---|---|---|---|
| Vollständiger Name | Advanced Forensic Format | Expert Witness / EnCase Evidence Format | SMART / Expert Witness Image |
| Dateierweiterungen | .afd | .e01, .e02, .e03 usw. | .s01, .s02, .s03 usw. |
| Typ | Forensischer Festplattenabbild-Container | Forensischer Festplattenabbild-Container | Forensischer Festplattenabbild-Container |
| Hauptzweck | Speicherung und Analyse forensischer Speicherabbilder | Erstellung und Analyse forensischer Festplattenkopien | Erstellung und Analyse forensischer Abbilder |
| Bitweise Kopie des Mediums | Ja | Ja, bei Bitstream-Abbildern | Ja |
| Komprimierung | Unterstützt | Unterstützt | Unterstützt |
| Segmentierung des Abbilds | Je nach Implementierung möglich | Ja, das Abbild kann aus mehreren Segmenten bestehen | Ja |
| Metadaten | Kann Dienstinformationen zum Abbild speichern | Speichert Metadaten und Fallinformationen | Unterstützt Dienstinformationen zum Abbild |
| Integritätsprüfung | Durch Formatmechanismen unterstützt | Prüfsummen und Hashing werden verwendet | Mechanismen zur Integritätskontrolle werden unterstützt |
| Wiederherstellung gelöschter Dateien | Möglich, sofern die entsprechenden Daten im Abbild vorhanden sind | Möglich, einschließlich Analyse des nicht zugewiesenen Speicherbereichs | Möglich |
| Umgang mit dem Dateisystem | Hängt von der Analyse-Software ab | Hängt von der Analyse-Software ab | Hängt von der Analyse-Software ab |
| Verbreitung in Forensik-Tools | Ein relativ verbreitetes AFF-Format | Sehr breit unterstützt | Wird von mehreren spezialisierten forensischen Anwendungen unterstützt |
| Typische Verwendung | Digitale Forensik, Beweisprüfung | Forensische Untersuchung von Datenträgern und digitalen Beweismitteln | Forensische Untersuchung von Festplattenabbildern |
| Merkmal | Ein offenes Format mit Fokus auf forensische Anwendungen | Eines der am häufigsten verwendeten forensischen Abbildformate | Ein mit SMART/Expert Witness verbundenes Format |
| Hauptvorteil | Flexibilität und Ausrichtung auf forensische Analyse | Hohe Kompatibilität, Komprimierung, Metadaten und Integritätsprüfung | Komprimierung und Erhaltung der Struktur des forensischen Abbilds |
E01-Format
Das E01-Format ist einer der am weitesten verbreiteten Standards in der digitalen Forensik und bei forensischen Untersuchungen. Es erstellt eine exakte Kopie des Speichermediums und bewahrt Dienstinformationen zur Integritätsprüfung: Fallnummer, Name des Untersuchers, Erstellungsdatum, Medienbeschreibung und Prüfsummen. Aus diesem Grund wird E01 häufig in der digitalen Forensik, bei Untersuchungen von Cybervorfällen und beim Umgang mit digitalen Beweismitteln eingesetzt.
Um ein Abbild im E01-Format zu erstellen, öffnen Sie Exterro FTK Imager. Wählen Sie im Menü File den Befehl Create Disk Image.
Wählen Sie im Fenster zur Quellenauswahl Physical Drive, da eine Kopie eines physischen Speichermediums erstellt werden soll.
Wählen Sie anschließend den angeschlossenen USB-Stick oder ein anderes Medium aus, von dem ein Abbild erstellt werden soll.
Danach wird das Einstellungsfenster geöffnet.
Klicken Sie auf Add und wählen Sie E01 oder Expert Witness Format aus der Formatliste aus. Diese Option wird zum Erstellen eines Abbilds im E01-Format verwendet.
Im nächsten Schritt füllen Sie die Dienstfelder aus: Fallnummer, Beweisnummer, Gerätebeschreibung, Name des Untersuchers und Notizen. Diese Informationen werden im Abbild gespeichert und helfen bei der Überprüfung seiner Herkunft während der weiteren Analyse.
Geben Sie anschließend den Ordner an, in dem die Datei gespeichert werden soll, und legen Sie den Abbildnamen fest.
Falls erforderlich, konfigurieren Sie Image Fragment Size. Wenn eine einzelne zusammenhängende Datei erforderlich ist, setzen Sie den Wert auf 0. Wenn das Abbild in Teile aufgeteilt werden soll, geben Sie die Fragmentgröße in Megabyte an.
Wenn Sie nach der Konfiguration von E01 noch kein sofortiges Kopieren starten möchten, weil Sie ein weiteres Abbild in einem anderen Format erstellen müssen, klicken Sie erneut auf Add und fahren Sie mit der Erstellung von S01 fort.
S01-Format
S01 ist für die Erstellung und Speicherung digitaler Beweismittel in der Software-Suite SMART vorgesehen. Es erstellt eine exakte Kopie des Speichermediums mit Dienstinformationen zur Überprüfung der Datenintegrität. Das Format wird bei digitalen Untersuchungen, Vorfallanalysen, internen Audits und der Speicherung digitaler Beweismittel verwendet. Obwohl das S01-Format seltener ist, bleibt es mit vielen digitalen Forensik-Tools kompatibel.
Um ein Abbild im S01-Format hinzuzufügen, wählen Sie Smart aus der Liste der verfügbaren Formate aus. Diese Option wird verwendet, um ein Smart Disk Image im S01-Format zu erstellen.
Füllen Sie anschließend die Informationsfelder für das untersuchte Medium aus: Fallnummer, Beweisnummer, Gerätebeschreibung, Name des Untersuchers und Notizen. Geben Sie danach den Zielordner an und legen Sie den Dateinamen fest.
Nach der Konfiguration von S01 können Sie ein weiteres Format hinzufügen. Betrachten wir nun AFD, das sich von den vorherigen Formaten in der Art der Datenspeicherung unterscheidet.
AFD-Format
AFD ist ein Festplattenabbildformat, das in Exterro-Lösungen zur Speicherung und Analyse digitaler Beweismittel verwendet wird. Im Gegensatz zu E01 und S01 speichert AFD Daten als Satz von Dateien in einem separaten Ordner, was bei großen Datenmengen praktisch ist. Das Format unterstützt Komprimierung, Dienstmetadaten und die langfristige Speicherung digitaler Beweismittel: Dokumente, E-Mails, Fotos, Videos, Browserverlauf, Nachrichten, Datenbanken, Systemprotokolle und gelöschte Dateien.
Um ein Abbild im AFD-Format hinzuzufügen, klicken Sie im Fenster mit den Abbildungseinstellungen auf Add und wählen Sie AFF oder AFF Directory Image, je nachdem, wie diese Option in Ihrer Programmversion bezeichnet ist.
Nach der Auswahl des Formats füllen Sie die Dienstinformationen zum Speichermedium aus: Fallnummer, Beweisnummer, Gerätebeschreibung, Name des Untersuchers und Notizen. Geben Sie anschließend den Zielordner an.
Klicken Sie danach auf Finish und starten Sie den Prozess zur Abbilderstellung. Warten Sie, bis das Kopieren und die Verifizierung abgeschlossen sind.
Danach können diese Abbilder zu Hetman Partition Recovery für die weitere Analyse, die Anzeige gefundener Daten und die Wiederherstellung von Dateien auf ein anderes physisches Speichermedium hinzugefügt werden.
Daten aus einem forensischen Abbild wiederherstellen
Abbilder einbinden
Das Einbinden forensischer Abbilder in Hetman Partition Recovery ist sehr einfach. Das Programm unterstützt die Formate AFD, E01 und S01 und zeigt solche Abbilder als normale physische Datenträger mit Partitionen, Dateisystem und zugänglichen Dateien an.
Um eine Datei anzubinden, öffnen Sie im Hetman Partition Recovery das Einbindemenü und wählen Sie den erforderlichen Typ:
- Wählen Sie für AFD AFF Directory Images und geben Sie den Ordner an, der die Komponenten enthält.
- Fügen Sie für E01 die Datei im Expert Witness Format hinzu.
- Wählen Sie für S01 Smart Disk Image und geben Sie das Verzeichnis an, in dem die entsprechenden Dateien gespeichert sind.
Hetman Partition Recovery unterstützt sowohl komprimierte als auch unkomprimierte Abbilder dieser Formate, daher sind keine zusätzlichen Einstellungen zum Einbinden erforderlich. Nachdem das Abbild hinzugefügt wurde, zeigt das Programm es automatisch in der Liste der Speichergeräte als separaten Datenträger an. Stellen Sie sicher, dass die erforderlichen Partitionen und das Dateisystem verfügbar sind.
Daten aus forensischen Abbildern wiederherstellen
Wählen Sie anschließend die Partition aus, von der Daten wiederhergestellt werden sollen, und starten Sie die Analyse. Es stehen zwei Scan-Modi zur Verfügung: Quick Scan und Full Scan:
- Verwenden Sie Quick Scan, wenn das Dateisystem intakt ist, die Partitionsstruktur unverändert blieb und gelöschte Dateien unter Beibehaltung der ursprünglichen Ordnerstruktur gesucht werden sollen.
- Verwenden Sie Full Scan, wenn die Partition formatiert wurde, das Dateisystem beschädigt ist, sich die Partitionsstruktur geändert hat oder Dateien anhand von Signaturen gesucht werden sollen. In diesem Modus führt das Programm einen Tiefenscan des Mediums durch und sucht anhand bekannter Dateimuster nach Daten.
Überprüfen Sie nach Abschluss der Analyse die gefundenen Dateien. Verwenden Sie unbedingt die Funktion Preview, um zu prüfen, ob die erforderlichen Dokumente, Fotos, Videos oder andere Dateien korrekt geöffnet werden.
Wenn die erforderlichen Daten gefunden wurden, klicken Sie auf Recover und speichern Sie die Dateien auf ein anderes physisches Speichermedium.
Speichern Sie wiederhergestellte Daten nicht in dasselbe Abbild zurück und nicht auf den Datenträger, von dem die Wiederherstellung durchgeführt wird.
Fazit
Forensische Abbilder im AFD-, E01- und S01-Format ermöglichen es, exakte Kopien von Speichermedien zu erhalten und diese zu untersuchen, ohne direkt mit dem Originalmedium arbeiten zu müssen. Wenn Dateien jedoch gelöscht wurden, das Dateisystem beschädigt ist oder die Partitionsstruktur verloren ging, reicht das bloße Einbinden des Abbilds möglicherweise nicht aus, um auf die benötigten Informationen zuzugreifen.
Für die Datenwiederherstellung ist es wichtig, das Abbildformat, seine Struktur und seinen Zustand korrekt zu identifizieren und anschließend die verfügbaren Partitionen, Dateisysteme und den nicht zugewiesenen Speicherbereich zu analysieren. Spezialisierte Datenrettungssoftware kann sowohl vorhandene Dateien als auch gelöschte Daten finden, sofern deren Inhalt noch nicht überschrieben wurde.
Bei der Arbeit mit digitalen Beweismitteln ist es besonders wichtig, das ursprüngliche forensische Abbild nicht zu verändern. Es wird empfohlen, mit einer Kopie zu arbeiten und die Wiederherstellungsergebnisse auf einem anderen physischen Speichermedium zu speichern. Dieser Ansatz reduziert das Risiko eines Informationsverlusts und bewahrt das ursprüngliche Abbild für die weitere Analyse.
Daher ist die Datenwiederherstellung aus AFD, E01 und S01 auch in komplexen Fällen möglich, sofern das Abbild nicht kritisch beschädigt ist und die benötigten Daten darin physisch noch vorhanden sind. Die richtige Auswahl der Werkzeuge und ein systematischer Prozess der forensischen Abbildungsanalyse ermöglichen es, den Zugriff auf verlorene, gelöschte oder versteckte Dateien wirksam wiederherzustellen.
