تصوير الأقراص والتحليل الجنائي لأنظمة الملفات

ينشئ التصوير الجنائي نسخة مطابقة بتًا ببت من وسائط التخزين مع الحفاظ على سلامة الأدلة. يجب عدم تعديل الدليل الأصلي مطلقًا؛ اعملوا من نسخة محمية ضد الكتابة. احسبوا تجزئة الأصل والنسخة للتحقق من التطابق التام.

تمنع أدوات منع الكتابة المادية أوامر الكتابة من الوصول فعليًا إلى محركات الأدلة. وتمنع أدوات منع الكتابة البرمجية (dc3dd وFTK Imager) عمليات الكتابة على مستوى نظام التشغيل. استخدموا دائمًا أداة لمنع الكتابة قبل توصيل محركات الأدلة، لمنع تعديل الأدلة عن طريق الخطأ.

ينشئ dd صورًا خامًا للأقراص. ويضيف dc3dd عرض التقدم، وحساب التجزئة، وتقسيم المخرجات — وهي ميزات أساسية لمحركات الأقراص الكبيرة. استخدموا bs=4096 لتحسين الأداء. تحققوا من تطابق تجزئة الصورة مع تجزئة الدليل لإثبات السلامة.

يوفر FTK Imager واجهة رسومية لتصوير أقراص Windows. وهو يدعم E01 (Expert Witness Format)، الذي يضغط الصورة ويخزن التجزئة وتفاصيل الاكتساب وملاحظات الفاحص في رأس الملف — وهو المعيار الجنائي للأدلة.

يخزّن FAT32 البيانات الوصفية للملفات في إدخالات الأدلة، وسلسلة التخصيص في File Allocation Table. تترك الملفات المحذوفة إدخالات أدلة تحمل العلامة 0xE5؛ وتُصفَّر سلسلة FAT، لكن قد تبقى عناقيد البيانات. وتستخدم أدوات الاسترداد هذه البقايا.

يخزّن NTFS جميع البيانات الوصفية في Master File Table (MFT). ويصف كل سجل في MFT ملفًا. ويسجل $LogFile التغييرات لاسترداد النظام بعد التعطل. أما $UsnJrnl (سجل التغييرات) فيسجل كل عملية ملف — وهو كنز ثمين لإعادة بناء الخط الزمني حتى بعد الحذف.

يسترد Autopsy وSleuth Kit الملفات المحذوفة عبر البحث عن إدخالات MFT السليمة ذات عناقيد البيانات التي أُزيل تخصيصها، وعبر نحت الملفات — أي تحديد بايتات سحرية للملفات (التواقيع) في بيانات العناقيد الخام، بغض النظر عن البيانات الوصفية لنظام الملفات.

يسترد نحت الملفات الملفاتَ استنادًا إلى الرؤوس والتذييلات (البايتات السحرية) من المساحة غير المخصصة. يبدأ JPEG بالبايتات FF D8 FF، وPDF بالبايتات 25 50 44 46، وZIP بالبايتات 50 4B 03 04. ويُعد Scalpel وPhotoRec أداتي النحت الأساسيتين.

ينشئ Autopsy خطًا زمنيًا من أوقات MAC (Modified وAccessed وChanged) وإدخالات $UsnJrnl. رشّحوا الأحداث المحيطة بوقت الاختراق المشتبه به لمعرفة الملفات التي أُنشئت أو عُدّلت أو حُذفت، وإعادة بناء إجراءات المهاجمين ترتيبًا زمنيًا.

يسجل Windows Registry البرامج المثبتة، وأجهزة USB (USBSTOR)، والمستندات الحديثة، وآخر مستخدم سجّل الدخول، واستمرارية التشغيل عبر مفاتيح run. يستخرج Registry Explorer وRegRipper خلايا السجل من صور الأقراص ويحللانها لتحليل الآثار.

يُخزّن سجل المتصفح وملفات تعريف الارتباط والملفات المخزنة مؤقتًا وبيانات النماذج في قواعد بيانات SQLite. ويستخدم Chrome تقنية LevelDB. ويكشف استخراج هذه الآثار أنشطة استطلاع المهاجم، وتجهيز البيانات للإخراج، وقنوات الأوامر المستندة إلى الويب.

لماذا يجب استخدام حاجب كتابة عند فحص أقراص الأدلة؟

يبدأ التحليل الجنائي للأقراص بإنشاء صورة سليمة جنائيًا باستخدام حواجب الكتابة والتحقق من التجزئة. تتيح كل من NTFS MFT و$UsnJrnl وخلايا سجل Windows وقواعد بيانات المتصفحات واستعادة الملفات من المساحة غير المخصصة إعادة بناء نشاط المهاجم على الأنظمة المخترقة.