Відновлення даних з forensic-образів дисків AFD, E01 та S01
-
Автор:
Valery Martyshko
-
Редактор:
Vladyslav Kupriyenko
У цій статті ми розглянемо формати образів дисків AFD, E01 та S01, які широко використовуються у сфері цифрової криміналістики, інформаційної безпеки та професійного відновлення даних. Розберемося, для яких завдань створювався кожен із цих форматів, де вони застосовуються на практиці та які дані можуть містити. Розглянемо особливості кожного формату, їхні переваги та обмеження.
- Безпека та достовірність цифрових доказів
- Forensic образи: E01, AFD та S01
- Як відновити дані з Forensic образу
- Висновок
- Поширені запитання
- Коментарі
У процесі цифрової криміналістики образи дисків використовуються для створення точних копій накопичувачів із збереженням структури даних, файлової системи та іншої важливої інформації. Такі образи дають змогу проводити дослідження оригінального носія без ризику зміни або пошкодження його вмісту. Серед форматів, які можуть зустрічатися під час криміналістичного аналізу, — AFD, E01 та S01.
Однак, навіть наявність готового forensic-образу не гарантує, що всі файли можна одразу відкрити або скопіювати. Дані можуть бути видалені, фрагментовані, пошкоджені або знаходитися в розділах і файлових системах, які не розпізнаються стандартними засобами Windows. У таких випадках необхідні спеціалізовані інструменти для аналізу образу та пошуку втрачених даних.
У цій статті розглянемо, як відкрити forensic-образи AFD, E01 та S01, виконати їх аналіз і відновити доступ до видалених або втрачених файлів. Також розберемо особливості роботи з такими образами та порядок відновлення даних без внесення змін до вихідного доказового файлу.
Відновлення даних з криміналістичних образів дисків AFD, E01, S01
Безпека та достовірність цифрових доказів
Криміналістичні образи можуть містити конфіденційну та доказову інформацію, тому для їх захисту часто використовується шифрування. Це дозволяє запобігти несанкціонованому доступу та підтвердити цілісність даних. Такі образи застосовуються під час аналізу цифрових доказів, пошуку видалених файлів, електронної пошти та журналів подій.
Робота з цифровими доказами регулюється міжнародними стандартами:
- Одним із ключових є стандарт ISO/IEC 27037, який визначає правила ідентифікації, збору, вилучення та збереження цифрових доказів. Він вимагає створення точної копії носія, захисту даних від будь-яких змін і документування всіх дій, виконаних під час роботи з доказами.
- Також, у сфері цифрової криміналістики широко застосовується стандарт ISO/IEC 17025, який встановлює вимоги до компетентності криміналістичних лабораторій та якості проведення досліджень.
Forensic образи: E01, AFD та S01
Під час створення копії накопичувача Exterro FTK Imager пропонує кілька форматів образів, серед яких найчастіше використовуються AFD, E01 та S01. Це форензичні формати, призначені для створення точної побітової копії диска зі збереженням файлової системи, службових даних та інформації про видалені файли.
Такі образи дозволяють максимально точно зафіксувати стан накопичувача на момент копіювання та виконувати подальший аналіз, цифрову експертизу або відновлення даних без роботи з оригінальним носієм.
| Характеристика | AFD | E01 | S01 |
|---|---|---|---|
| Повна назва | Advanced Forensic Format | Expert Witness / EnCase Evidence Format | SMART / Expert Witness Image |
| Розширення файлів | .afd | .e01, .e02, .e03 та ін. | .s01, .s02, .s03 та ін. |
| Тип | Криміналістичний контейнер образу диска | Криміналістичний контейнер образу диска | Криміналістичний контейнер образу диска |
| Основне призначення | Зберігання та аналіз forensic-образів накопичувачів | Створення та аналіз криміналістичних копій дисків | Створення та аналіз криміналістичних образів |
| Побітова копія носія | Так | Так, для bitstream-образу | Так |
| Стиснення | Підтримується | Підтримується | Підтримується |
| Сегментація образу | Можлива залежно від реалізації | Так, образ може складатися з декількох сегментів | Так |
| Метадані | Може зберігати службову інформацію про образ | Зберігає метадані та інформацію про дослідження | Підтримує службову інформацію про образ |
| Контроль цілісності | Підтримується механізмами формату | Використовуються контрольні суми та хешування | Підтримуються механізми контролю цілісності |
| Відновлення видалених файлів | Можливе за наявності відповідних даних в образі | Можливе, включно з аналізом нерозподіленого простору | Можливе |
| Робота з файловою системою | Залежить від програми аналізу | Залежить від програми аналізу | Залежить від програми аналізу |
| Популярність у forensic-інструментах | Відносно поширений формат AFF | Дуже широко підтримується | Підтримується низкою спеціалізованих forensic-програм |
| Типове використання | Цифрова криміналістика, дослідження доказів | Криміналістичне дослідження дисків та цифрових доказів | Криміналістичне дослідження образів дисків |
| Особливість | Відкритий формат, орієнтований на forensic-застосування | Один із найпоширеніших форматів forensic-образів | Формат, пов’язаний із SMART/Expert Witness |
| Основна перевага | Гнучкість і орієнтація на forensic-аналіз | Широка сумісність, стиснення, метадані та контроль цілісності | Стиснення та збереження forensic-структури образу |
Формат E01
Формат E01 є одним із найпоширеніших стандартів цифрової криміналістики та судових експертиз. Він створює точну копію накопичувача та зберігає службові дані для перевірки цілісності: номер справи, ім’я експерта, дату створення, опис носія й контрольні суми. Завдяки цьому E01 широко використовують у цифровій криміналістиці, розслідуванні кіберінцидентів і роботі з цифровими доказами.
Щоб створити образ у форматі E01, відкрийте Exterro FTK Imager. У меню File оберіть Create Disk Image.
У вікні вибору джерела вкажіть Physical Drive, оскільки ми створюємо копію фізичного накопичувача.
Далі, оберіть підключену флешку або інший носій, з якого потрібно зробити образ.
Після цього відкриється вікно налаштувань.
Натисніть Add і в списку форматів оберіть E01 або Expert Witness Format. Саме цей варіант використовується для створення образу у форматі E01.
На наступному етапі заповніть службові поля: номер справи, номер доказу, опис пристрою, ім’я експерта та примітки. Ця інформація буде збережена всередині образу та допоможе підтвердити його походження під час подальшого аналізу.
Далі, вкажіть папку, у яку буде збережено файл, і задайте ім’я образу.
За потреби налаштуйте параметр Image Fragment Size. Якщо потрібно отримати один суцільний файл, встановіть значення 0. Якщо образ потрібно розділити на частини, вкажіть розмір фрагмента в мегабайтах.
Після налаштування E01 не запускайте копіювання одразу, якщо потрібно створити ще один образ у іншому форматі. Натисніть Add ще раз і перейдіть до створення S01.
Формат S01
S01 розроблений для створення та зберігання цифрових доказів у програмному комплексі SMART. Він створює точну копію накопичувача зі службовими даними для підтвердження незмінності інформації. Формат використовують у цифрових експертизах, розслідуванні інцидентів, корпоративних перевірках і зберіганні цифрових доказів. Хоча формат S01 менш поширений, проте залишається сумісним із багатьма інструментами цифрової криміналістики.
Щоб додати образ у форматі S01, у списку доступних форматів оберіть Smart. Цей варіант використовується для створення Smart Disk Image у форматі S01.
Далі, заповніть інформаційні поля про досліджуваний носій: номер справи, номер доказу, опис пристрою, ім’я експерта та примітки. Після цього вкажіть папку призначення та задайте ім’я файлу.
Після налаштування S01 можна додати ще один формат. Тепер розглянемо AFD, який відрізняється від попередніх способом зберігання даних.
Формат AFD
AFD – це формат образів дисків, який використовується в рішеннях Exterro для зберігання та аналізу цифрових доказів. На відміну від E01 і S01, AFD зберігає дані як набір файлів в окремій папці, що зручно для великих обсягів інформації. Формат підтримує стиснення, службові метадані та довгострокове зберігання цифрових доказів: документів, листів, фото, відео, історії браузера, повідомлень, баз даних, журналів системи й видалених файлів.
Щоб додати образ у форматі AFD, у вікні налаштування образів натисніть Add і виберіть AFF або AFF Directory Image, залежно від того, як цей варіант позначений у вашій версії програми.
Після вибору формату заповніть службову інформацію про накопичувач: номер справи, номер доказу, опис пристрою, ім’я експерта та примітки. Далі, вкажіть папку призначення.
Після цього натисніть Finish і запустіть процес створення образів. Дочекайтеся завершення копіювання та перевірки.
Після цього ці образи можна додати до Hetman Partition Recovery для подальшого аналізу, перегляду знайдених даних і відновлення файлів на інший фізичний носій.
Як відновити дані з Forensic образу
Монтування образів
Монтування криміналістичних образів у Hetman Partition Recovery виконується дуже просто. Програма підтримує формати AFD, E01 та S01 і показує такі образи як звичайні фізичні диски з розділами, файловою системою та доступними файлами.
Для підключення файлу відкрийте меню монтування в Hetman Partition Recovery та виберіть потрібний тип:
- Для AFD оберіть AFF Directory Images і вкажіть папку з його компонентами.
- Для E01 додайте файл Expert Witness Format.
- Для S01 виберіть Smart Disk Image та вкажіть каталог, у якому збережені відповідні файли.
Hetman Partition Recovery підтримує як стиснені, так і нестиснені образи цих форматів, тому додаткових налаштувань для їх підключення не потрібно. Після додавання образу програма автоматично відобразить його у списку накопичувачів як окремий диск. Переконайтеся, що доступні потрібні розділи та файлова система.
Відновлення даних з форензік-образів
Після цього, оберіть розділ, з якого потрібно відновити дані, та запустіть аналіз. Для цього доступні два режими сканування – Швидкий аналіз та Повний аналіз:
- Використовуйте Швидкий аналіз, якщо файлова система залишилася неушкодженою, структура розділів не змінювалася, а потрібно знайти видалені файли зі збереженням початкової структури папок.
- Використовуйте Повний аналіз, якщо розділ було відформатовано, файлову систему пошкоджено, структуру розділів змінено або потрібно знайти файли за сигнатурами. У цьому режимі програма виконує глибоке сканування носія та шукає дані за відомими файловими шаблонами.
Після завершення аналізу перегляньте знайдені файли. Обов’язково скористайтеся функцією Попередній перегляд, щоб переконатися, що потрібні документи, фотографії, відео або інші файли відкриваються коректно.
Якщо потрібні дані знайдено, натисніть Відновити та збережіть файли на інший фізичний носій.
Не зберігайте відновлені дані всередину того самого образу або на диск, з якого виконується відновлення.
Висновок
Forensic-образи AFD, E01 та S01 дають змогу зберігати точні копії накопичувачів і проводити їх дослідження без необхідності працювати безпосередньо з оригінальним носієм. Однак у разі видалення файлів, пошкодження файлової системи або втрати структури розділів звичайного підключення образу може бути недостатньо для отримання доступу до необхідної інформації.
Для відновлення даних важливо правильно визначити формат образу, його структуру та стан, після чого виконати аналіз доступних розділів, файлових систем і нерозподіленого простору. Спеціалізоване програмне забезпечення для відновлення даних може знайти як існуючі файли, так і видалені дані, якщо їхній вміст ще не був перезаписаний.
Під час роботи з цифровими доказами особливо важливо не змінювати вихідний forensic-образ. Рекомендується працювати з його копією, а результати відновлення зберігати на іншому фізичному носії. Такий підхід знижує ризик втрати інформації та дозволяє зберегти оригінальний образ для подальшого аналізу.
Таким чином, відновлення даних з AFD, E01 та S01 можливе навіть у складних випадках, якщо образ не пошкоджений критично, а необхідні дані фізично залишилися в ньому. Правильний вибір інструментів і послідовний аналіз forensic-образу дозволяють ефективно повернути доступ до втрачених, видалених або прихованих файлів.
