Recupero dei dati da immagini forensi di disco AFD, E01 e S01
-
Autore:
Anton Kryvoruchko
-
Editore:
Mykhailo Miroshnichenko
In questo articolo esamineremo i formati di immagine disco AFD, E01 e S01, ampiamente utilizzati nell’informatica forense, nella sicurezza delle informazioni e nel recupero dati professionale. Spiegheremo lo scopo di ciascun formato, gli ambiti di utilizzo pratico e quali dati possono contenere. Esamineremo inoltre le caratteristiche, i vantaggi e i limiti di ciascun formato.
- Sicurezza e integrità della prova digitale
- Immagini forensi: E01, AFD e S01
- Come recuperare i dati da un’immagine forense
- Conclusione
- Domande frequenti
- Commenti
Nell’informatica forense, le immagini disco vengono utilizzate per creare copie esatte dei dispositivi di archiviazione, preservando la struttura dei dati, il file system e altre informazioni critiche. Tali immagini consentono di esaminare il supporto originale senza il rischio di modificarne o danneggiarne il contenuto. Tra i formati che possono essere incontrati durante l’analisi forense vi sono AFD, E01 e S01.
Tuttavia, anche la presenza di un’immagine forense già pronta non garantisce che tutti i file possano essere aperti o copiati immediatamente. I dati possono essere eliminati, frammentati, danneggiati o collocati in partizioni e file system non riconosciuti dagli strumenti standard di Windows. In questi casi, sono necessari strumenti specializzati per analizzare l’immagine e cercare i dati persi.
In questo articolo spiegheremo come aprire immagini forensi AFD, E01 e S01, analizzarle e ripristinare l’accesso ai file eliminati o persi. Illustreremo inoltre le specificità del lavoro con tali immagini e la procedura per il recupero dei dati senza apportare modifiche al file di prova originale.
Recupero dati da immagini disco forensi AFD, E01, S01
Sicurezza e integrità della prova digitale
Le immagini forensi possono contenere informazioni riservate e probatorie, pertanto vengono spesso crittografate per proteggerle. Ciò contribuisce a impedire accessi non autorizzati e a confermare l’integrità dei dati. Tali immagini vengono utilizzate nell’analisi della prova digitale, nel recupero dei file eliminati e nell’esame di e-mail e log eventi.
Il lavoro con la prova digitale è disciplinato da standard internazionali:
- Uno degli standard chiave è ISO/IEC 27037, che definisce le regole per l’identificazione, la raccolta, l’acquisizione e la conservazione della prova digitale. Richiede la creazione di una copia esatta del supporto, la protezione dei dati da qualsiasi modifica e la documentazione di tutte le operazioni eseguite durante la gestione della prova.
- Inoltre, nel settore dell’informatica forense è ampiamente utilizzata la norma ISO/IEC 17025, che stabilisce i requisiti per la competenza dei laboratori forensi e per la qualità delle analisi.
Immagini forensi: E01, AFD e S01
Durante la creazione di una copia di un dispositivo di archiviazione, Exterro FTK Imager offre diversi formati di immagine, tra i quali AFD, E01 e S01 sono i più comunemente utilizzati. Si tratta di formati forensi progettati per creare una copia esatta bit per bit di un disco, preservando il file system, i dati di servizio e le informazioni sui file eliminati.
Tali immagini consentono di acquisire lo stato del dispositivo di archiviazione con la massima precisione possibile al momento dell’acquisizione ed eseguire ulteriori analisi, esami digitali o recupero dati senza operare sul supporto originale.
| Caratteristica | AFD | E01 | S01 |
|---|---|---|---|
| Nome completo | Advanced Forensic Format | Expert Witness / EnCase Evidence Format | SMART / Expert Witness Image |
| Estensioni dei file | .afd | .e01, .e02, .e03, ecc. | .s01, .s02, .s03, ecc. |
| Tipo | Contenitore di immagine disco forense | Contenitore di immagine disco forense | Contenitore di immagine disco forense |
| Scopo principale | Archiviazione e analisi di immagini forensi di dispositivi di archiviazione | Creazione e analisi di copie forensi di dischi | Creazione e analisi di immagini forensi |
| Copia bit per bit del supporto | Sì | Sì, per immagini bitstream | Sì |
| Compressione | Supportata | Supportata | Supportata |
| Segmentazione dell’immagine | Possibile a seconda dell’implementazione | Sì, l’immagine può essere composta da più segmenti | Sì |
| Metadati | Può memorizzare informazioni di servizio sull’immagine | Memorizza metadati e informazioni sul caso | Supporta informazioni di servizio sull’immagine |
| Verifica dell’integrità | Supportata dai meccanismi del formato | Vengono utilizzati checksum e hashing | Sono supportati meccanismi di controllo dell’integrità |
| Recupero dei file eliminati | Possibile se i dati corrispondenti sono presenti nell’immagine | Possibile, inclusa l’analisi dello spazio non allocato | Possibile |
| Gestione del file system | Dipende dal software di analisi | Dipende dal software di analisi | Dipende dal software di analisi |
| Diffusione negli strumenti forensi | Un formato AFF relativamente comune | Molto ampiamente supportato | Supportato da numerose applicazioni forensi specializzate |
| Utilizzo tipico | Informatica forense, esame delle prove | Esame forense di dischi e prove digitali | Esame forense di immagini disco |
| Caratteristica | Formato aperto orientato alle applicazioni forensi | Uno dei formati di immagine forense più diffusi | Formato associato a SMART/Expert Witness |
| Vantaggio principale | Flessibilità e focalizzazione sull’analisi forense | Ampia compatibilità, compressione, metadati e verifica dell’integrità | Compressione e conservazione della struttura dell’immagine forense |
Formato E01
Il formato E01 è uno degli standard più diffusi nell’informatica forense e negli esami forensi. Crea una copia esatta del dispositivo di archiviazione e conserva i dati di servizio per la verifica dell’integrità: numero del caso, nome dell’esaminatore, data di creazione, descrizione del supporto e checksum. Per questo motivo, E01 è ampiamente utilizzato nell’informatica forense, nelle indagini sugli incidenti informatici e nella gestione della prova digitale.
Per creare un’immagine in formato E01, aprire Exterro FTK Imager. Nel menu File, selezionare Create Disk Image.
Nella finestra di selezione della sorgente, scegliere Physical Drive, poiché stiamo creando una copia di un dispositivo di archiviazione fisico.
Successivamente, selezionare l’unità flash USB collegata o un altro supporto da cui si desidera creare un’immagine.
Dopo di che si aprirà la finestra delle impostazioni.
Fare clic su Add e selezionare E01 o Expert Witness Format dall’elenco dei formati. Questa opzione viene utilizzata per creare un’immagine in formato E01.
Nella fase successiva, compilare i campi di servizio: numero del caso, numero della prova, descrizione del dispositivo, nome dell’esaminatore e note. Queste informazioni verranno memorizzate all’interno dell’immagine e contribuiranno a verificarne l’origine durante ulteriori analisi.
Quindi specificare la cartella in cui verrà salvato il file e impostare il nome dell’immagine.
Se necessario, configurare Image Fragment Size. Se è necessario un singolo file continuo, impostare il valore su 0. Se l’immagine deve essere suddivisa in parti, specificare la dimensione del frammento in megabyte.
Dopo aver configurato E01, non avviare immediatamente la copia se è necessario creare un’altra immagine in un formato diverso. Fare nuovamente clic su Add e procedere con la creazione di S01.
Formato S01
S01 è progettato per creare e memorizzare prove digitali nella suite software SMART. Crea una copia esatta del dispositivo di archiviazione con dati di servizio per verificare l’integrità delle informazioni. Il formato viene utilizzato in esami digitali, indagini su incidenti, audit aziendali e conservazione della prova digitale. Sebbene il formato S01 sia meno comune, rimane compatibile con molti strumenti di informatica forense.
Per aggiungere un’immagine in formato S01, selezionare Smart dall’elenco dei formati disponibili. Questa opzione viene utilizzata per creare una Smart Disk Image in formato S01.
Successivamente, compilare i campi informativi relativi al supporto esaminato: numero del caso, numero della prova, descrizione del dispositivo, nome dell’esaminatore e note. Quindi specificare la cartella di destinazione e impostare il nome del file.
Dopo aver configurato S01, è possibile aggiungere un altro formato. Consideriamo ora AFD, che si differenzia dai formati precedenti per il modo in cui i dati vengono memorizzati.
Formato AFD
AFD è un formato di immagine disco utilizzato nelle soluzioni Exterro per l’archiviazione e l’analisi della prova digitale. A differenza di E01 e S01, AFD memorizza i dati come insieme di file in una cartella separata, soluzione utile per grandi volumi di informazioni. Il formato supporta la compressione, i metadati di servizio e l’archiviazione a lungo termine della prova digitale: documenti, e-mail, foto, video, cronologia del browser, messaggi, database, log di sistema e file eliminati.
Per aggiungere un’immagine in formato AFD, nella finestra delle impostazioni dell’immagine fare clic su Add e selezionare AFF o AFF Directory Image, a seconda della dicitura utilizzata nella versione del programma.
Dopo aver selezionato il formato, compilare le informazioni di servizio sul dispositivo di archiviazione: numero del caso, numero della prova, descrizione del dispositivo, nome dell’esaminatore e note. Quindi specificare la cartella di destinazione.
Dopo di che, fare clic su Finish e avviare il processo di creazione dell’immagine. Attendere il completamento della copia e della verifica.
Dopo questo, tali immagini possono essere aggiunte a Hetman Partition Recovery per ulteriori analisi, visualizzazione dei dati trovati e recupero dei file su un altro dispositivo di archiviazione fisico.
Come recuperare i dati da un’immagine forense
Montaggio delle immagini
Il montaggio delle immagini forensi in Hetman Partition Recovery è molto semplice. Il programma supporta i formati AFD, E01 e S01 e visualizza tali immagini come normali dischi fisici con partizioni, file system e file accessibili.
Per collegare un file, aprire il menu di montaggio in Hetman Partition Recovery e selezionare il tipo richiesto:
- Per AFD, selezionare AFF Directory Images e specificare la cartella contenente i relativi componenti.
- Per E01, aggiungere il file Expert Witness Format.
- Per S01, selezionare Smart Disk Image e specificare la directory in cui sono archiviati i file corrispondenti.
Hetman Partition Recovery supporta immagini di questi formati sia compresse sia non compresse, pertanto non sono necessarie impostazioni aggiuntive per il montaggio. Dopo l’aggiunta dell’immagine, il programma la visualizzerà automaticamente nell’elenco dei dispositivi di archiviazione come disco separato. Verificare che le partizioni e il file system richiesti siano disponibili.
Recupero dei dati da immagini forensi
Successivamente, selezionare la partizione da cui si desidera recuperare i dati e avviare l’analisi. Sono disponibili due modalità di scansione: Quick Scan e Full Scan:
- Utilizzare Quick Scan se il file system è integro, la struttura della partizione non è cambiata e occorre trovare i file eliminati mantenendo la struttura originale delle cartelle.
- Utilizzare Full Scan se la partizione è stata formattata, il file system è danneggiato, la struttura della partizione è cambiata o è necessario trovare i file in base alle firme. In questa modalità, il programma esegue una scansione approfondita del supporto e cerca i dati in base a modelli di file noti.
Al termine dell’analisi, esaminare i file trovati. Assicurarsi di utilizzare la funzione Preview per verificare che i documenti, le foto, i video o altri file richiesti si aprano correttamente.
Se i dati richiesti vengono trovati, fare clic su Recover e salvare i file su un altro dispositivo di archiviazione fisico.
Non salvare i dati recuperati nello stesso file immagine né sul disco da cui viene eseguito il recupero.
Conclusione
Le immagini forensi AFD, E01 e S01 consentono di conservare copie esatte dei dispositivi di archiviazione ed esaminarle senza dover operare direttamente sul supporto originale. Tuttavia, se i file sono stati eliminati, il file system è danneggiato o la struttura della partizione è andata persa, il semplice montaggio dell’immagine potrebbe non essere sufficiente per accedere alle informazioni necessarie.
Per recuperare i dati, è importante identificare correttamente il formato dell’immagine, la sua struttura e il suo stato, quindi analizzare le partizioni disponibili, i file system e lo spazio non allocato. Un software specializzato per il recupero dati può individuare sia i file esistenti sia i dati eliminati, purché il loro contenuto non sia stato ancora sovrascritto.
Quando si lavora con la prova digitale, è particolarmente importante non modificare l’immagine forense originale. Si raccomanda di lavorare su una copia e di salvare i risultati del recupero su un altro dispositivo di archiviazione fisico. Questo approccio riduce il rischio di perdita di informazioni e preserva l’immagine originale per ulteriori analisi.
Pertanto, il recupero dei dati da AFD, E01 e S01 è possibile anche nei casi complessi, a condizione che l’immagine non sia gravemente danneggiata e che i dati richiesti esistano ancora fisicamente al suo interno. La corretta scelta degli strumenti e un processo sistematico di analisi dell’immagine forense consentono di ripristinare efficacemente l’accesso a file persi, eliminati o nascosti.
