Schijfkopieën en bestandssysteemforensiek

dd maakt onbewerkte schijfkopieën. dc3dd voegt voortgangsrapportage, hashing en gesplitste uitvoer toe — essentieel voor grote schijven. Gebruik bs=4096 voor betere prestaties. Controleer of de hash van de schijfkopie overeenkomt met de hash van het bewijsmateriaal om de integriteit aan te tonen.

FTK Imager biedt een grafische gebruikersinterface voor het maken van schijfkopieën in Windows. Het ondersteunt E01 (Expert Witness Format), dat de schijfkopie comprimeert en de hash, gegevens over de verwerving en notities van de onderzoeker in de bestandskop opslaat — de forensische standaard voor bewijsmateriaal.

FAT32 slaat bestandsmetagegevens op in mapvermeldingen en de toewijzingsketen in de bestandstoewijzingstabel. Verwijderde bestanden laten mapvermeldingen met een markering 0xE5 achter; de FAT-keten wordt op nul gezet, maar dataclusters kunnen blijven bestaan. Herstelhulpmiddelen gebruiken deze restanten.

NTFS slaat alle metagegevens op in de hoofd­bestandstabel (MFT). Elk MFT-record beschrijft een bestand. $LogFile registreert wijzigingen voor herstel na crashes. $UsnJrnl (wijzigingsjournaal) registreert elke bestandsbewerking — een schat aan informatie voor het reconstrueren van tijdlijnen, zelfs na verwijdering.

Autopsy en Sleuth Kit herstellen verwijderde bestanden door te zoeken naar intacte MFT-vermeldingen met gedealloceerde dataclusters en door bestandsreconstructie — het identificeren van magische bytes van bestanden (handtekeningen) in onbewerkte clustergegevens, ongeacht de metagegevens van het bestandssysteem.

Bestandsreconstructie herstelt bestanden op basis van kopteksten en voetteksten (magische bytes) uit niet-toegewezen ruimte. JPEG begint met FF D8 FF. PDF met 25 50 44 46. ZIP met 50 4B 03 04. Scalpel en PhotoRec zijn de belangrijkste hulpmiddelen voor bestandsreconstructie.

Autopsy genereert een tijdlijn op basis van MAC-tijden (Modified, Accessed, Changed) en vermeldingen in $UsnJrnl. Filter rond het vermoedelijke tijdstip van de inbreuk om te zien welke bestanden zijn gemaakt, gewijzigd of verwijderd — en reconstrueer zo de acties van de aanvaller chronologisch.

Het Windows-register registreert geïnstalleerde software, USB-apparaten (USBSTOR), recente documenten, de laatst ingelogde gebruiker en persistentie via run-sleutels. Registry Explorer en RegRipper halen registercomponenten uit schijfkopieën en parseren ze voor artefactanalyse.

Browsergeschiedenis, cookies, bestanden in de cache en formuliergegevens worden opgeslagen in SQLite-databases. Chrome gebruikt LevelDB. Het extraheren van deze artefacten brengt verkenningsactiviteiten van aanvallers, voorbereidingen voor gegevensonttrekking en webgebaseerde opdrachtkanalen aan het licht.

Schijfforensiek begint met het maken van forensisch verantwoorde schijfkopieën met schrijfblokkeringen en hashverificatie. De NTFS MFT, $UsnJrnl, registercomponenten, databases van webbrowsers en het terugvinden van bestanden in niet-toegewezen ruimte maken samen de reconstructie mogelijk van activiteiten van aanvallers op gecompromitteerde systemen.