Odzyskiwanie danych z obrazów dysków forensic AFD, E01 i S01
-
Autor:
Oksana Volyniuk
-
Redaktor:
Michał Mirosznyczenko
W tym artykule omówimy formaty obrazów dysków AFD, E01 i S01, które są szeroko stosowane w informatyce śledczej, bezpieczeństwie informacji oraz profesjonalnym odzyskiwaniu danych. Wyjaśnimy przeznaczenie każdego formatu, obszary jego praktycznego zastosowania oraz rodzaje danych, jakie może zawierać. Omówimy również cechy, zalety i ograniczenia każdego z tych formatów.
- Bezpieczeństwo i integralność dowodów cyfrowych
- Obrazy śledcze: E01, AFD i S01
- Jak odzyskać dane z obrazu śledczego
- Wnioski
- Najczęściej zadawane pytania
- Komentarze
W informatyce śledczej obrazy dysków służą do tworzenia dokładnych kopii nośników danych z zachowaniem struktury danych, systemu plików i innych istotnych informacji. Takie obrazy umożliwiają analizę oryginalnego nośnika bez ryzyka zmiany lub uszkodzenia jego zawartości. Do formatów, z którymi można się spotkać podczas analizy śledczej, należą AFD, E01 i S01.
Samo posiadanie gotowego obrazu śledczego nie gwarantuje jednak, że wszystkie pliki będzie można natychmiast otworzyć lub skopiować. Dane mogą być usunięte, pofragmentowane, uszkodzone lub znajdować się w partycjach i systemach plików nierozpoznawanych przez standardowe narzędzia systemu Windows. W takich przypadkach do analizy obrazu i wyszukiwania utraconych danych wymagane są specjalistyczne narzędzia.
W tym artykule wyjaśnimy, jak otwierać obrazy śledcze AFD, E01 i S01, jak je analizować oraz jak przywracać dostęp do usuniętych lub utraconych plików. Omówimy również specyfikę pracy z takimi obrazami oraz procedurę odzyskiwania danych bez wprowadzania zmian do oryginalnego pliku dowodowego.
Odzyskiwanie danych z obrazów dysków śledczych AFD, E01, S01
Bezpieczeństwo i integralność dowodów cyfrowych
Obrazy śledcze mogą zawierać informacje poufne i dowodowe, dlatego często stosuje się szyfrowanie w celu ich ochrony. Pomaga to zapobiec nieuprawnionemu dostępowi i potwierdzić integralność danych. Takie obrazy są wykorzystywane w analizie dowodów cyfrowych, odzyskiwaniu usuniętych plików oraz badaniu poczty elektronicznej i dzienników zdarzeń.
Praca z dowodami cyfrowymi podlega międzynarodowym standardom:
- Jednym z kluczowych standardów jest ISO/IEC 27037, który określa zasady identyfikacji, gromadzenia, pozyskiwania i zabezpieczania dowodów cyfrowych. Wymaga on utworzenia dokładnej kopii nośnika, ochrony danych przed jakimikolwiek zmianami oraz dokumentowania wszystkich działań wykonywanych podczas postępowania z dowodami.
- Ponadto w obszarze informatyki śledczej szeroko stosuje się ISO/IEC 17025, który określa wymagania dotyczące kompetencji laboratoriów kryminalistycznych oraz jakości badań.
Obrazy śledcze: E01, AFD i S01
Podczas tworzenia kopii nośnika danych Exterro FTK Imager oferuje kilka formatów obrazów, spośród których najczęściej używane są AFD, E01 i S01. Są to formaty śledcze przeznaczone do tworzenia dokładnej kopii dysku bit po bicie z zachowaniem systemu plików, danych serwisowych oraz informacji o usuniętych plikach.
Takie obrazy umożliwiają możliwie najdokładniejsze odwzorowanie stanu nośnika w momencie pozyskania oraz przeprowadzenie dalszej analizy, ekspertyzy cyfrowej lub odzyskiwania danych bez pracy na oryginalnym nośniku.
| Cecha | AFD | E01 | S01 |
|---|---|---|---|
| Pełna nazwa | Advanced Forensic Format | Expert Witness / EnCase Evidence Format | SMART / Expert Witness Image |
| Rozszerzenia plików | .afd | .e01, .e02, .e03 itp. | .s01, .s02, .s03 itp. |
| Typ | Kontener obrazu dysku śledczego | Kontener obrazu dysku śledczego | Kontener obrazu dysku śledczego |
| Główne przeznaczenie | Przechowywanie i analiza obrazów nośników śledczych | Tworzenie i analiza kopii dysków w celach śledczych | Tworzenie i analiza obrazów śledczych |
| Kopia nośnika bit po bicie | Tak | Tak, w przypadku obrazów bitstream | Tak |
| Kompresja | Obsługiwana | Obsługiwana | Obsługiwana |
| Segmentacja obrazu | Możliwa w zależności od implementacji | Tak, obraz może składać się z wielu segmentów | Tak |
| Metadane | Może przechowywać informacje serwisowe o obrazie | Przechowuje metadane i informacje o sprawie | Obsługuje informacje serwisowe o obrazie |
| Weryfikacja integralności | Obsługiwana przez mechanizmy formatu | Stosowane są sumy kontrolne i haszowanie | Obsługiwane są mechanizmy kontroli integralności |
| Odzyskiwanie usuniętych plików | Możliwe, jeśli odpowiednie dane znajdują się w obrazie | Możliwe, w tym analiza nieprzydzielonego obszaru | Możliwe |
| Obsługa systemu plików | Zależy od oprogramowania analitycznego | Zależy od oprogramowania analitycznego | Zależy od oprogramowania analitycznego |
| Popularność w narzędziach śledczych | Stosunkowo powszechny format AFF | Bardzo szeroko obsługiwany | Obsługiwany przez wiele specjalistycznych aplikacji śledczych |
| Typowe zastosowanie | Informatyka śledcza, analiza dowodów | Ekspertyza śledcza dysków i dowodów cyfrowych | Analiza śledcza obrazów dysków |
| Właściwość | Format otwarty, ukierunkowany na zastosowania śledcze | Jeden z najczęściej używanych formatów obrazów śledczych | Format powiązany z SMART/Expert Witness |
| Główna zaleta | Elastyczność i ukierunkowanie na analizę śledczą | Szeroka kompatybilność, kompresja, metadane i weryfikacja integralności | Kompresja i zachowanie struktury obrazu śledczego |
Format E01
Format E01 jest jednym z najczęściej stosowanych standardów w informatyce śledczej i ekspertyzach kryminalistycznych. Tworzy dokładną kopię nośnika danych i zachowuje dane serwisowe do weryfikacji integralności: numer sprawy, nazwisko egzaminatora, datę utworzenia, opis nośnika oraz sumy kontrolne. Z tego powodu E01 jest szeroko stosowany w informatyce śledczej, dochodzeniach dotyczących incydentów cybernetycznych oraz obsłudze dowodów cyfrowych.
Aby utworzyć obraz w formacie E01, otwórz Exterro FTK Imager. W menu File wybierz Create Disk Image.
W oknie wyboru źródła wybierz Physical Drive, ponieważ tworzymy kopię fizycznego nośnika danych.
Następnie wybierz podłączony dysk flash USB lub inny nośnik, z którego chcesz utworzyć obraz.
Po tym otworzy się okno ustawień.
Kliknij Add i wybierz E01 lub Expert Witness Format z listy formatów. Ta opcja służy do tworzenia obrazu w formacie E01.
W kolejnym kroku wypełnij pola serwisowe: numer sprawy, numer dowodu, opis urządzenia, nazwisko egzaminatora oraz notatki. Informacje te zostaną zapisane w obrazie i pomogą potwierdzić jego pochodzenie podczas dalszej analizy.
Następnie określ folder, w którym zostanie zapisany plik, oraz ustaw nazwę obrazu.
W razie potrzeby skonfiguruj Image Fragment Size. Jeśli potrzebny jest jeden ciągły plik, ustaw wartość 0. Jeśli obraz ma zostać podzielony na części, określ rozmiar fragmentu w megabajtach.
Po skonfigurowaniu E01 nie rozpoczynaj od razu kopiowania, jeśli chcesz utworzyć kolejny obraz w innym formacie. Kliknij ponownie Add i przejdź do tworzenia S01.
Format S01
S01 jest przeznaczony do tworzenia i przechowywania dowodów cyfrowych w pakiecie oprogramowania SMART. Tworzy dokładną kopię nośnika danych wraz z danymi serwisowymi służącymi do weryfikacji integralności informacji. Format jest wykorzystywany w ekspertyzach cyfrowych, dochodzeniach incydentowych, audytach korporacyjnych oraz do przechowywania dowodów cyfrowych. Chociaż format S01 jest mniej popularny, pozostaje zgodny z wieloma narzędziami informatyki śledczej.
Aby dodać obraz w formacie S01, wybierz Smart z listy dostępnych formatów. Ta opcja służy do utworzenia Smart Disk Image w formacie S01.
Następnie wypełnij pola informacyjne dla analizowanego nośnika: numer sprawy, numer dowodu, opis urządzenia, nazwisko egzaminatora oraz notatki. Następnie określ folder docelowy i ustaw nazwę pliku.
Po skonfigurowaniu S01 możesz dodać kolejny format. Teraz rozważmy AFD, który różni się od poprzednich formatów sposobem przechowywania danych.
Format AFD
AFD to format obrazu dysku używany w rozwiązaniach Exterro do przechowywania i analizy dowodów cyfrowych. W przeciwieństwie do E01 i S01, AFD przechowuje dane jako zestaw plików w osobnym folderze, co jest wygodne przy dużych wolumenach informacji. Format obsługuje kompresję, metadane serwisowe oraz długoterminowe przechowywanie dowodów cyfrowych: dokumentów, wiadomości e-mail, zdjęć, filmów, historii przeglądania, wiadomości, baz danych, dzienników systemowych i usuniętych plików.
Aby dodać obraz w formacie AFD, w oknie ustawień obrazu kliknij Add i wybierz AFF lub AFF Directory Image, w zależności od tego, jak ta opcja jest nazwana w Twojej wersji programu.
Po wybraniu formatu wypełnij informacje serwisowe dotyczące nośnika danych: numer sprawy, numer dowodu, opis urządzenia, nazwisko egzaminatora oraz notatki. Następnie określ folder docelowy.
Następnie kliknij Finish i rozpocznij proces tworzenia obrazu. Poczekaj na zakończenie kopiowania i weryfikacji.
Po tym obrazy te można dodać do Hetman Partition Recovery w celu dalszej analizy, przeglądania znalezionych danych oraz odzyskiwania plików na inny fizyczny nośnik danych.
Jak odzyskać dane z obrazu śledczego
Montowanie obrazów
Montowanie obrazów śledczych w Hetman Partition Recovery jest bardzo proste. Program obsługuje formaty AFD, E01 i S01 i wyświetla takie obrazy jako zwykłe dyski fizyczne z partycjami, systemem plików i dostępnymi plikami.
Aby dołączyć plik, otwórz menu montowania w Hetman Partition Recovery i wybierz wymagany typ:
- Dla AFD wybierz AFF Directory Images i wskaż folder zawierający jego komponenty.
- Dla E01 dodaj plik Expert Witness Format.
- Dla S01 wybierz Smart Disk Image i wskaż katalog, w którym przechowywane są odpowiadające mu pliki.
Hetman Partition Recovery obsługuje zarówno skompresowane, jak i nieskompresowane obrazy tych formatów, dlatego do ich zamontowania nie są wymagane dodatkowe ustawienia. Po dodaniu obrazu program automatycznie wyświetli go na liście urządzeń pamięci masowej jako oddzielny dysk. Upewnij się, że wymagane partycje i system plików są dostępne.
Odzyskiwanie danych z obrazów śledczych
Następnie wybierz partycję, z której chcesz odzyskać dane, i rozpocznij analizę. Dostępne są dwa tryby skanowania: Quick Scan oraz Full Scan:
- Użyj Quick Scan, jeśli system plików pozostaje nienaruszony, struktura partycji nie uległa zmianie i chcesz odnaleźć usunięte pliki przy zachowaniu oryginalnej struktury folderów.
- Użyj Full Scan, jeśli partycja została sformatowana, system plików jest uszkodzony, struktura partycji uległa zmianie lub chcesz wyszukiwać pliki na podstawie sygnatur. W tym trybie program wykonuje dogłębne skanowanie nośnika i wyszukuje dane według znanych wzorców plików.
Po zakończeniu analizy przejrzyj znalezione pliki. Koniecznie użyj funkcji Preview, aby sprawdzić, czy wymagane dokumenty, zdjęcia, filmy lub inne pliki otwierają się poprawnie.
Jeśli wymagane dane zostały znalezione, kliknij Recover i zapisz pliki na innym fizycznym nośniku danych.
Nie zapisuj odzyskanych danych z powrotem do tego samego obrazu ani na dysk, z którego wykonywane jest odzyskiwanie.
Wnioski
Obrazy śledcze AFD, E01 i S01 umożliwiają zachowanie dokładnych kopii nośników danych oraz ich analizę bez konieczności pracy bezpośrednio na oryginalnym nośniku. Jeżeli jednak pliki zostały usunięte, system plików jest uszkodzony albo struktura partycji została utracona, samo zamontowanie obrazu może nie wystarczyć do uzyskania dostępu do potrzebnych informacji.
Aby odzyskać dane, ważne jest prawidłowe określenie formatu obrazu, jego struktury i stanu, a następnie analiza dostępnych partycji, systemów plików i nieprzydzielonego obszaru. Specjalistyczne oprogramowanie do odzyskiwania danych może odnaleźć zarówno istniejące pliki, jak i dane usunięte, pod warunkiem że ich zawartość nie została jeszcze nadpisana.
Podczas pracy z dowodami cyfrowymi szczególnie ważne jest, aby nie modyfikować oryginalnego obrazu śledczego. Zaleca się pracę na kopii oraz zapisywanie wyników odzyskiwania na innym fizycznym nośniku danych. Takie podejście zmniejsza ryzyko utraty informacji i zachowuje oryginalny obraz do dalszej analizy.
W związku z tym odzyskiwanie danych z AFD, E01 i S01 jest możliwe nawet w złożonych przypadkach, pod warunkiem że obraz nie jest krytycznie uszkodzony, a wymagane dane nadal fizycznie w nim istnieją. Właściwy dobór narzędzi oraz systematyczny proces analizy obrazu śledczego umożliwiają skuteczne przywrócenie dostępu do utraconych, usuniętych lub ukrytych plików.
