Récupération de données à partir d’images de disque médico-légales AFD, E01 et S01
-
Auteur:
Abdelhamid Balti
-
Éditeur:
Mykhailo Miroshnychenko
Dans cet article, nous examinerons les formats d’image disque AFD, E01 et S01, largement utilisés en criminalistique numérique, en sécurité de l’information et en récupération de données professionnelle. Nous expliquerons l’objectif de chaque format, leurs domaines d’utilisation pratiques et les données qu’ils peuvent contenir. Nous passerons également en revue les fonctionnalités, les avantages et les limites de chacun de ces formats.
- Sécurité et intégrité des preuves numériques
- Images forensiques : E01, AFD et S01
- Comment récupérer des données à partir d’une image forensique
- Conclusion
- Questions fréquemment posées
- Commentaires
En criminalistique numérique, les images disque servent à créer des copies exactes des périphériques de stockage tout en préservant la structure des données, le système de fichiers et d’autres informations critiques. De telles images permettent d’examiner le support d’origine sans risque de modifier ou d’endommager son contenu. Parmi les formats susceptibles d’être rencontrés lors d’une analyse forensique figurent AFD, E01 et S01.
Cependant, même la présence d’une image forensique prête à l’emploi ne garantit pas que tous les fichiers puissent être ouverts ou copiés immédiatement. Les données peuvent être supprimées, fragmentées, corrompues ou situées dans des partitions et des systèmes de fichiers non reconnus par les outils Windows standard. Dans de tels cas, des outils spécialisés sont nécessaires pour analyser l’image et rechercher les données perdues.
Dans cet article, nous expliquerons comment ouvrir des images forensiques AFD, E01 et S01, les analyser et restaurer l’accès aux fichiers supprimés ou perdus. Nous aborderons également les spécificités du travail avec de telles images et la procédure de récupération des données sans apporter de modifications au fichier de preuve d’origine.
Récupération de données d'images disque forensiques AFD, E01, S01
Sécurité et intégrité des preuves numériques
Les images forensiques peuvent contenir des informations confidentielles et probantes ; le chiffrement est donc souvent utilisé pour les protéger. Cela permet d’empêcher tout accès non autorisé et de confirmer l’intégrité des données. Ces images sont utilisées dans l’analyse des preuves numériques, la récupération de fichiers supprimés et l’examen des e-mails et des journaux d’événements.
Le travail sur les preuves numériques est régi par des normes internationales :
- L’une des normes clés est ISO/IEC 27037, qui définit les règles d’identification, de collecte, d’acquisition et de préservation des preuves numériques. Elle exige la création d’une copie exacte du support, la protection des données contre toute modification et la documentation de toutes les actions effectuées lors de la manipulation des preuves.
- En outre, le domaine de la criminalistique numérique utilise largement ISO/IEC 17025, qui établit des exigences relatives à la compétence des laboratoires de criminalistique et à la qualité des examens.
Images forensiques : E01, AFD et S01
Lors de la création d’une copie d’un périphérique de stockage, Exterro FTK Imager propose plusieurs formats d’image, parmi lesquels AFD, E01 et S01 sont les plus couramment utilisés. Il s’agit de formats forensiques conçus pour créer une copie exacte, bit à bit, d’un disque tout en préservant le système de fichiers, les données de service et les informations relatives aux fichiers supprimés.
Ces images permettent de capturer l’état du périphérique de stockage aussi fidèlement que possible au moment de l’acquisition et de procéder ensuite à une analyse, à un examen numérique ou à une récupération de données sans travailler sur le support d’origine.
| Caractéristique | AFD | E01 | S01 |
|---|---|---|---|
| Nom complet | Advanced Forensic Format | Expert Witness / EnCase Evidence Format | SMART / Expert Witness Image |
| Extensions de fichiers | .afd | .e01, .e02, .e03, etc. | .s01, .s02, .s03, etc. |
| Type | Conteneur d’image disque forensique | Conteneur d’image disque forensique | Conteneur d’image disque forensique |
| Objectif principal | Stockage et analyse d’images de stockage forensiques | Création et analyse de copies forensiques de disques | Création et analyse d’images forensiques |
| Copie bit à bit du support | Oui | Oui, pour les images bitstream | Oui |
| Compression | Prise en charge | Prise en charge | Prise en charge |
| Segmentation de l’image | Possible selon l’implémentation | Oui, l’image peut se composer de plusieurs segments | Oui |
| Métadonnées | Peut stocker des informations de service sur l’image | Stocke les métadonnées et les informations relatives à l’affaire | Prend en charge les informations de service sur l’image |
| Vérification de l’intégrité | Prise en charge par les mécanismes du format | Des sommes de contrôle et des hachages sont utilisés | Des mécanismes de contrôle de l’intégrité sont pris en charge |
| Récupération de fichiers supprimés | Possible si les données correspondantes sont présentes dans l’image | Possible, y compris l’analyse de l’espace non alloué | Possible |
| Gestion du système de fichiers | Dépend du logiciel d’analyse | Dépend du logiciel d’analyse | Dépend du logiciel d’analyse |
| Popularité dans les outils forensiques | Un format AFF relativement courant | Très largement pris en charge | Pris en charge par un certain nombre d’applications forensiques spécialisées |
| Utilisation typique | Criminalistique numérique, examen des preuves | Examen forensique des disques et des preuves numériques | Examen forensique d’images disque |
| Spécificité | Format ouvert axé sur les applications forensiques | L’un des formats d’image forensique les plus utilisés | Format associé à SMART/Expert Witness |
| Principal avantage | Flexibilité et orientation vers l’analyse forensique | Large compatibilité, compression, métadonnées et vérification de l’intégrité | Compression et préservation de la structure de l’image forensique |
Format E01
Le format E01 est l’un des standards les plus utilisés en criminalistique numérique et dans les examens forensiques. Il crée une copie exacte du périphérique de stockage et conserve des données de service permettant de vérifier l’intégrité : numéro de dossier, nom de l’examinateur, date de création, description du support et sommes de contrôle. C’est pourquoi E01 est largement utilisé en criminalistique numérique, dans les enquêtes sur les incidents de cybersécurité et dans la gestion des preuves numériques.
Pour créer une image au format E01, ouvrez Exterro FTK Imager. Dans le menu File, sélectionnez Create Disk Image.
Dans la fenêtre de sélection de la source, choisissez Physical Drive, car nous créons une copie d’un périphérique de stockage physique.
Sélectionnez ensuite la clé USB connectée ou tout autre support à partir duquel vous souhaitez créer une image.
Après cela, la fenêtre des paramètres s’ouvrira.
Cliquez sur Add et sélectionnez E01 ou Expert Witness Format dans la liste des formats. Cette option est utilisée pour créer une image au format E01.
À l’étape suivante, renseignez les champs de service : numéro de dossier, numéro de preuve, description du périphérique, nom de l’examinateur et remarques. Ces informations seront stockées dans l’image et aideront à vérifier son origine lors de l’analyse ultérieure.
Indiquez ensuite le dossier dans lequel le fichier sera enregistré et définissez le nom de l’image.
Si nécessaire, configurez Image Fragment Size. Si vous avez besoin d’un seul fichier continu, définissez la valeur sur 0. Si l’image doit être divisée en plusieurs parties, spécifiez la taille des fragments en mégaoctets.
Après la configuration d’E01, ne lancez pas immédiatement la copie si vous devez créer une autre image dans un format différent. Cliquez de nouveau sur Add et passez à la création de S01.
Format S01
S01 est conçu pour la création et le stockage de preuves numériques dans la suite logicielle SMART. Il crée une copie exacte du périphérique de stockage avec des données de service permettant de vérifier l’intégrité des informations. Le format est utilisé dans les examens numériques, les enquêtes sur les incidents, les audits d’entreprise et le stockage des preuves numériques. Bien que le format S01 soit moins courant, il reste compatible avec de nombreux outils de criminalistique numérique.
Pour ajouter une image au format S01, sélectionnez Smart dans la liste des formats disponibles. Cette option est utilisée pour créer une Smart Disk Image au format S01.
Ensuite, renseignez les champs d’information relatifs au support examiné : numéro de dossier, numéro de preuve, description du périphérique, nom de l’examinateur et remarques. Indiquez ensuite le dossier de destination et définissez le nom du fichier.
Après la configuration de S01, vous pouvez ajouter un autre format. Examinons maintenant AFD, qui se distingue des formats précédents par la manière dont les données sont stockées.
Format AFD
AFD est un format d’image disque utilisé dans les solutions Exterro pour le stockage et l’analyse de preuves numériques. Contrairement à E01 et S01, AFD stocke les données sous forme d’un ensemble de fichiers dans un dossier distinct, ce qui est pratique pour de grands volumes d’informations. Le format prend en charge la compression, les métadonnées de service et le stockage à long terme de preuves numériques : documents, e-mails, photos, vidéos, historique du navigateur, messages, bases de données, journaux système et fichiers supprimés.
Pour ajouter une image au format AFD, dans la fenêtre des paramètres d’image cliquez sur Add et sélectionnez AFF ou AFF Directory Image, selon l’intitulé de cette option dans votre version du programme.
Après avoir sélectionné le format, renseignez les informations de service concernant le périphérique de stockage : numéro de dossier, numéro de preuve, description du périphérique, nom de l’examinateur et remarques. Indiquez ensuite le dossier de destination.
Ensuite, cliquez sur Finish et lancez le processus de création de l’image. Attendez la fin de la copie et de la vérification.
Après cela, ces images peuvent être ajoutées à Hetman Partition Recovery pour une analyse ultérieure, la consultation des données trouvées et la récupération des fichiers vers un autre périphérique de stockage physique.
Comment récupérer des données à partir d’une image forensique
Montage des images
Le montage des images forensiques dans Hetman Partition Recovery est très simple. Le programme prend en charge les formats AFD, E01 et S01 et affiche ces images comme des disques physiques ordinaires avec des partitions, un système de fichiers et des fichiers accessibles.
Pour joindre un fichier, ouvrez le menu de montage dans Hetman Partition Recovery et sélectionnez le type requis :
- Pour AFD, sélectionnez AFF Directory Images et indiquez le dossier contenant ses composants.
- Pour E01, ajoutez le fichier Expert Witness Format.
- Pour S01, sélectionnez Smart Disk Image et indiquez le répertoire où sont stockés les fichiers correspondants.
Hetman Partition Recovery prend en charge les images compressées et non compressées de ces formats ; aucun paramètre supplémentaire n’est donc requis pour les monter. Une fois l’image ajoutée, le programme l’affichera automatiquement dans la liste des périphériques de stockage comme un disque séparé. Vérifiez que les partitions et le système de fichiers requis sont disponibles.
Récupération de données à partir d’images forensiques
Sélectionnez ensuite la partition à partir de laquelle vous devez récupérer les données et lancez l’analyse. Deux modes d’analyse sont disponibles : Quick Scan et Full Scan :
- Utilisez Quick Scan si le système de fichiers est intact, que la structure de la partition n’a pas changé et que vous devez trouver des fichiers supprimés tout en conservant la structure d’origine des dossiers.
- Utilisez Full Scan si la partition a été formatée, si le système de fichiers est endommagé, si la structure de la partition a changé ou si vous devez rechercher des fichiers par signature. Dans ce mode, le programme effectue une analyse approfondie du support et recherche les données à partir de motifs de fichiers connus.
Une fois l’analyse terminée, examinez les fichiers trouvés. Veillez à utiliser la fonction Preview pour vérifier que les documents, photos, vidéos ou autres fichiers requis s’ouvrent correctement.
Si les données requises sont trouvées, cliquez sur Recover et enregistrez les fichiers sur un autre périphérique de stockage physique.
N’enregistrez pas les données récupérées dans la même image ni sur le disque à partir duquel la récupération est effectuée.
Conclusion
Les images forensiques AFD, E01 et S01 permettent de conserver des copies exactes de périphériques de stockage et de les examiner sans avoir à travailler directement sur le support d’origine. Cependant, si des fichiers ont été supprimés, si le système de fichiers est endommagé ou si la structure des partitions est perdue, le simple montage de l’image peut ne pas suffire pour accéder aux informations requises.
Pour récupérer des données, il est important d’identifier correctement le format de l’image, sa structure et son état, puis d’analyser les partitions disponibles, les systèmes de fichiers et l’espace non alloué. Un logiciel spécialisé de récupération de données peut retrouver à la fois les fichiers existants et les données supprimées, à condition que leur contenu n’ait pas encore été écrasé.
Lors du travail sur des preuves numériques, il est particulièrement important de ne pas modifier l’image forensique d’origine. Il est recommandé de travailler sur une copie et d’enregistrer les résultats de la récupération sur un autre périphérique de stockage physique. Cette approche réduit le risque de perte d’informations et préserve l’image d’origine pour une analyse ultérieure.
Ainsi, la récupération de données à partir de AFD, E01 et S01 est possible même dans des cas complexes, à condition que l’image ne soit pas gravement endommagée et que les données requises existent encore physiquement à l’intérieur. Le choix correct des outils et une approche systématique de l’analyse de l’image forensique permettent de restaurer efficacement l’accès aux fichiers perdus, supprimés ou masqués.
