Recuperação de dados a partir de imagens forenses de disco AFD, E01 e S01
-
Autor:
Raidel Becerra
-
Editor:
Mykhailo Miroshnichenko
Neste artigo, examinaremos os formatos de imagem de disco AFD, E01 e S01, amplamente utilizados em computação forense, segurança da informação e recuperação profissional de dados. Explicaremos a finalidade de cada formato, onde são utilizados na prática e quais dados podem conter. Também revisaremos os recursos, as vantagens e as limitações de cada formato.
- Segurança e integridade da evidência digital
- Imagens forenses: E01, AFD e S01
- Como recuperar dados de uma imagem forense
- Conclusão
- Perguntas frequentes
- Comentários
Em computação forense, as imagens de disco são usadas para criar cópias exatas de dispositivos de armazenamento, preservando a estrutura dos dados, o sistema de arquivos e outras informações críticas. Essas imagens permitem examinar o meio original sem risco de alterar ou danificar seu conteúdo. Entre os formatos que podem ser encontrados durante a análise forense estão AFD, E01 e S01.
No entanto, mesmo a presença de uma imagem forense pronta não garante que todos os arquivos possam ser abertos ou copiados imediatamente. Os dados podem ter sido excluídos, fragmentados, corrompidos ou estar localizados em partições e sistemas de arquivos não reconhecidos pelas ferramentas padrão do Windows. Nesses casos, são necessárias ferramentas especializadas para analisar a imagem e procurar dados perdidos.
Neste artigo, explicaremos como abrir imagens forenses AFD, E01 e S01, analisá-las e restaurar o acesso a arquivos excluídos ou perdidos. Também abordaremos as especificidades do trabalho com essas imagens e o procedimento para recuperar dados sem alterar o arquivo de evidência original.
Forensic Data Recovery from AFD, E01, S01 Disk Images
Segurança e integridade da evidência digital
As imagens forenses podem conter informações confidenciais e probatórias, por isso a criptografia é frequentemente usada para protegê-las. Isso ajuda a impedir o acesso não autorizado e a confirmar a integridade dos dados. Essas imagens são usadas na análise de evidências digitais, na recuperação de arquivos excluídos e na inspeção de e-mails e registros de eventos.
O trabalho com evidências digitais é regido por normas internacionais:
- Uma das principais normas é a ISO/IEC 27037, que define regras para a identificação, coleta, aquisição e preservação de evidências digitais. Ela exige a criação de uma cópia exata do meio, a proteção dos dados contra quaisquer alterações e o registro de todas as ações realizadas durante o tratamento da evidência.
- Além disso, o campo da computação forense utiliza amplamente a ISO/IEC 17025, que estabelece requisitos para a competência de laboratórios forenses e para a qualidade dos exames.
Imagens forenses: E01, AFD e S01
Ao criar uma cópia de um dispositivo de armazenamento, o Exterro FTK Imager oferece vários formatos de imagem, entre os quais AFD, E01 e S01 são os mais usados. São formatos forenses projetados para criar uma cópia exata, setor a setor, de um disco, preservando o sistema de arquivos, os dados de serviço e as informações sobre arquivos excluídos.
Essas imagens permitem capturar o estado do dispositivo de armazenamento da forma mais precisa possível no momento da aquisição e realizar análise posterior, exame digital ou recuperação de dados sem trabalhar com o meio original.
| Característica | AFD | E01 | S01 |
|---|---|---|---|
| Nome completo | Advanced Forensic Format | Expert Witness / EnCase Evidence Format | SMART / Expert Witness Image |
| Extensões de arquivo | .afd | .e01, .e02, .e03 etc. | .s01, .s02, .s03 etc. |
| Tipo | Contêiner de imagem forense de disco | Contêiner de imagem forense de disco | Contêiner de imagem forense de disco |
| Finalidade principal | Armazenamento e análise de imagens forenses de armazenamento | Criação e análise de cópias forenses de disco | Criação e análise de imagens forenses |
| Cópia bit a bit do meio | Sim | Sim, para imagens bitstream | Sim |
| Compressão | Suportada | Suportada | Suportada |
| Segmentação da imagem | Possível, dependendo da implementação | Sim, a imagem pode consistir em vários segmentos | Sim |
| Metadados | Pode armazenar informações de serviço sobre a imagem | Armazena metadados e informações do caso | Suporta informações de serviço sobre a imagem |
| Verificação de integridade | Suportada pelos mecanismos do formato | São usados checksums e hashing | São suportados mecanismos de controle de integridade |
| Recuperação de arquivos excluídos | Possível se os dados correspondentes estiverem presentes na imagem | Possível, incluindo análise de espaço não alocado | Possível |
| Tratamento do sistema de arquivos | Depende do software de análise | Depende do software de análise | Depende do software de análise |
| Popularidade em ferramentas forenses | Um formato AFF relativamente comum | Amplamente suportado | Suportado por várias aplicações forenses especializadas |
| Uso típico | Computação forense, exame de evidências | Exame forense de discos e evidências digitais | Exame forense de imagens de disco |
| Característica | Formato aberto, voltado para aplicações forenses | Um dos formatos de imagem forense mais utilizados | Formato associado ao SMART/Expert Witness |
| Principal vantagem | Flexibilidade e foco na análise forense | Ampla compatibilidade, compressão, metadados e verificação de integridade | Compressão e preservação da estrutura da imagem forense |
Formato E01
O formato E01 é um dos padrões mais utilizados em computação forense e em exames forenses. Ele cria uma cópia exata do dispositivo de armazenamento e preserva dados de serviço para verificação de integridade: número do caso, nome do examinador, data de criação, descrição da mídia e checksums. Por esse motivo, o E01 é amplamente usado em computação forense, investigações de incidentes cibernéticos e tratamento de evidências digitais.
Para criar uma imagem no formato E01, abra o Exterro FTK Imager. No menu File, selecione Create Disk Image.
Na janela de seleção da origem, escolha Physical Drive, pois estamos criando uma cópia de um dispositivo de armazenamento físico.
Em seguida, selecione a unidade flash USB conectada ou outro meio a partir do qual deseja criar uma imagem.
Depois disso, será aberta a janela de configurações.
Clique em Add e selecione E01 ou Expert Witness Format na lista de formatos. Essa opção é usada para criar uma imagem no formato E01.
Na etapa seguinte, preencha os campos de serviço: número do caso, número da evidência, descrição do dispositivo, nome do examinador e observações. Essas informações serão armazenadas na imagem e ajudarão a verificar sua origem durante a análise posterior.
Em seguida, especifique a pasta onde o arquivo será salvo e defina o nome da imagem.
Se necessário, configure o Image Fragment Size. Se precisar de um único arquivo contínuo, defina o valor como 0. Se a imagem precisar ser dividida em partes, especifique o tamanho do fragmento em megabytes.
Após configurar o E01, não inicie a cópia imediatamente se precisar criar outra imagem em um formato diferente. Clique em Add novamente e prossiga para criar o S01.
Formato S01
O S01 foi projetado para criar e armazenar evidências digitais na suíte de software SMART. Ele cria uma cópia exata do dispositivo de armazenamento com dados de serviço para verificar a integridade das informações. O formato é usado em exames digitais, investigações de incidentes, auditorias corporativas e armazenamento de evidências digitais. Embora o formato S01 seja menos comum, ele continua compatível com muitas ferramentas de computação forense.
Para adicionar uma imagem no formato S01, selecione Smart na lista de formatos disponíveis. Essa opção é usada para criar uma Smart Disk Image no formato S01.
Em seguida, preencha os campos de informação do meio examinado: número do caso, número da evidência, descrição do dispositivo, nome do examinador e observações. Depois, especifique a pasta de destino e defina o nome do arquivo.
Depois de configurar o S01, você pode adicionar outro formato. Agora vamos considerar o AFD, que difere dos formatos anteriores na forma como os dados são armazenados.
Formato AFD
AFD é um formato de imagem de disco usado em soluções da Exterro para armazenar e analisar evidências digitais. Ao contrário do E01 e do S01, o AFD armazena os dados como um conjunto de arquivos em uma pasta separada, o que é conveniente para grandes volumes de informação. O formato suporta compressão, metadados de serviço e armazenamento de longo prazo de evidências digitais: documentos, e-mails, fotos, vídeos, histórico do navegador, mensagens, bases de dados, logs do sistema e arquivos excluídos.
Para adicionar uma imagem no formato AFD, na janela de configurações da imagem clique em Add e selecione AFF ou AFF Directory Image, dependendo de como essa opção é rotulada na sua versão do programa.
Após selecionar o formato, preencha as informações de serviço sobre o dispositivo de armazenamento: número do caso, número da evidência, descrição do dispositivo, nome do examinador e observações. Em seguida, especifique a pasta de destino.
Depois disso, clique em Finish e inicie o processo de criação da imagem. Aguarde a conclusão da cópia e da verificação.
Depois disso, essas imagens podem ser adicionadas ao Hetman Partition Recovery para análise posterior, visualização dos dados encontrados e recuperação de arquivos para outro dispositivo de armazenamento físico.
Como recuperar dados de uma imagem forense
Montagem de imagens
Montar imagens forenses no Hetman Partition Recovery é muito simples. O programa suporta os formatos AFD, E01 e S01 e exibe essas imagens como discos físicos regulares, com partições, sistema de arquivos e arquivos acessíveis.
Para anexar um arquivo, abra o menu de montagem no Hetman Partition Recovery e selecione o tipo necessário:
- Para AFD, selecione AFF Directory Images e especifique a pasta que contém seus componentes.
- Para E01, adicione o arquivo Expert Witness Format.
- Para S01, selecione Smart Disk Image e especifique o diretório onde os arquivos correspondentes estão armazenados.
O Hetman Partition Recovery suporta imagens desses formatos, tanto compactadas quanto descompactadas, portanto nenhuma configuração adicional é necessária para montá-las. Após a adição da imagem, o programa a exibirá automaticamente na lista de dispositivos de armazenamento como um disco separado. Certifique-se de que as partições e o sistema de arquivos necessários estejam disponíveis.
Recuperação de dados a partir de imagens forenses
Em seguida, selecione a partição da qual você precisa recuperar os dados e inicie a análise. Estão disponíveis dois modos de varredura: Quick Scan e Full Scan:
- Use Quick Scan se o sistema de arquivos permanecer íntegro, a estrutura da partição não tiver mudado e você precisar encontrar arquivos excluídos preservando a estrutura original das pastas.
- Use Full Scan se a partição tiver sido formatada, o sistema de arquivos estiver danificado, a estrutura da partição tiver mudado ou você precisar encontrar arquivos por assinatura. Nesse modo, o programa executa uma varredura profunda do meio e procura dados por padrões de arquivos conhecidos.
Após a conclusão da análise, revise os arquivos encontrados. Certifique-se de usar o recurso Preview para verificar se os documentos, fotos, vídeos ou outros arquivos necessários são abertos corretamente.
Se os dados necessários forem encontrados, clique em Recover e salve os arquivos em outro dispositivo de armazenamento físico.
Não salve os dados recuperados de volta na mesma imagem nem no disco a partir do qual a recuperação está sendo realizada.
Conclusão
As imagens forenses AFD, E01 e S01 permitem preservar cópias exatas de dispositivos de armazenamento e examiná-los sem a necessidade de trabalhar diretamente com o meio original. No entanto, se os arquivos foram excluídos, o sistema de arquivos estiver danificado ou a estrutura da partição tiver sido perdida, simplesmente montar a imagem pode não ser suficiente para acessar as informações necessárias.
Para recuperar dados, é importante identificar corretamente o formato da imagem, sua estrutura e seu estado, e então analisar as partições disponíveis, os sistemas de arquivos e o espaço não alocado. Softwares especializados de recuperação de dados podem encontrar tanto arquivos existentes quanto dados excluídos, desde que seu conteúdo ainda não tenha sido sobrescrito.
Ao trabalhar com evidências digitais, é especialmente importante não modificar a imagem forense original. Recomenda-se trabalhar com uma cópia e salvar os resultados da recuperação em outro dispositivo de armazenamento físico. Essa abordagem reduz o risco de perda de informações e preserva a imagem original para análise posterior.
Portanto, a recuperação de dados de AFD, E01 e S01 é possível mesmo em casos complexos, desde que a imagem não esteja criticamente danificada e os dados necessários ainda existam fisicamente nela. A escolha correta das ferramentas e um processo sistemático de análise da imagem forense permitem restaurar com eficiência o acesso a arquivos perdidos, excluídos ou ocultos.
