Создание образов дисков и криминалистика файловых систем

Криминалистическое создание образа — это побитовое копирование носителя данных с сохранением целостности доказательств. Исходный носитель с доказательствами нельзя изменять ни при каких обстоятельствах — работайте с копией, защищенной от записи. Вычислите хеши исходного носителя и копии, чтобы подтвердить их полное совпадение.

Аппаратные блокировщики записи физически не позволяют командам записи достигать накопителей с доказательствами. Программные блокировщики записи (dc3dd, FTK Imager) предотвращают запись на уровне OS. Всегда используйте блокировщик записи перед подключением накопителей с доказательствами, чтобы не допустить их случайного изменения.

dd создает необработанные образы дисков. dc3dd добавляет отображение хода выполнения, вычисление хешей и разделение вывода, что особенно важно для больших дисков. Используйте bs=4096 для повышения производительности. Убедитесь, что хеш образа совпадает с хешем доказательств, чтобы подтвердить целостность.

FTK Imager предоставляет GUI для создания образов дисков Windows. Он поддерживает E01 (формат Expert Witness), который сжимает образ и сохраняет хеш, сведения о получении данных и заметки эксперта в заголовке файла — это криминалистический стандарт для доказательств.

FAT32 хранит метаданные файлов в записях каталогов, а цепочку размещения — в таблице размещения файлов. Удаленные файлы оставляют записи каталогов с маркером 0xE5; цепочка FAT обнуляется, но кластеры данных могут сохраняться. Средства восстановления используют эти остатки.

NTFS хранит все метаданные в Master File Table (MFT). Каждая запись MFT описывает файл. $LogFile записывает изменения для восстановления после сбоев. $UsnJrnl (журнал изменений) регистрирует каждую операцию с файлами — это настоящий кладезь данных для восстановления временной шкалы даже после удаления.

Autopsy и Sleuth Kit восстанавливают удаленные файлы, сканируя сохранившиеся записи MFT с освобожденными кластерами данных, а также выполняя карвинг файлов — поиск магических байтов файлов (сигнатур) в необработанных данных кластеров независимо от метаданных файловой системы.

Карвинг файлов восстанавливает файлы по заголовкам и концевым фрагментам (магическим байтам) из нераспределенного пространства. JPEG начинается с FF D8 FF. PDF — с 25 50 44 46. ZIP — с 50 4B 03 04. Scalpel и PhotoRec являются основными инструментами карвинга.

Autopsy создает временную шкалу на основе временных меток MAC (изменения, доступа и смены атрибутов) и записей $UsnJrnl. Отфильтруйте события в окрестности предполагаемого времени взлома, чтобы увидеть, какие файлы были созданы, изменены или удалены, и восстановить действия злоумышленника в хронологическом порядке.

Реестр Windows содержит сведения об установленном программном обеспечении, USB-устройствах (USBSTOR), недавно открытых документах, последнем вошедшем пользователе и закреплении через ключи запуска. Registry Explorer и RegRipper извлекают и разбирают кусты реестра из образов дисков для анализа артефактов.

История браузера, файлы cookie, кэшированные файлы и данные форм хранятся в базах данных SQLite. Chrome использует LevelDB. Извлечение этих артефактов позволяет обнаружить разведывательную активность злоумышленника, подготовку к выводу данных и веб-каналы командного управления.

Почему при исследовании дисков с доказательствами необходимо использовать блокиратор записи?

Компьютерная криминалистика дисков начинается с создания криминалистически корректной копии с использованием блокираторов записи и проверки хеш-сумм. MFT NTFS, $UsnJrnl, кусты реестра, базы данных браузеров и извлечение файлов из нераспределённого пространства в совокупности позволяют восстановить действия злоумышленника в скомпрометированных системах.