การสร้างอิมเมจดิสก์และนิติวิทยาศาสตร์ระบบไฟล์

การสร้างอิมเมจทางนิติวิทยาศาสตร์คือการสร้างสำเนาสื่อจัดเก็บข้อมูลทีละบิต โดยรักษาความถูกต้องของหลักฐานไว้ หลักฐานต้นฉบับต้องไม่ถูกแก้ไขไม่ว่าในกรณีใด ให้ทำงานจากสำเนาที่ป้องกันการเขียน และคำนวณแฮชของต้นฉบับกับสำเนาเพื่อตรวจสอบว่าเหมือนกันทุกประการ

อุปกรณ์ป้องกันการเขียนแบบฮาร์ดแวร์จะป้องกันคำสั่งเขียนไม่ให้ไปถึงไดรฟ์หลักฐานทางกายภาพ ส่วนอุปกรณ์ป้องกันการเขียนแบบซอฟต์แวร์ เช่น dc3dd และ FTK Imager จะป้องกันการเขียนในระดับ OS ควรใช้อุปกรณ์ป้องกันการเขียนทุกครั้งก่อนเชื่อมต่อไดรฟ์หลักฐาน เพื่อป้องกันการแก้ไขหลักฐานโดยไม่ตั้งใจ

dd สร้างอิมเมจดิสก์ดิบ ส่วน dc3dd เพิ่มการรายงานความคืบหน้า การคำนวณแฮช และการแบ่งผลลัพธ์ ซึ่งจำเป็นสำหรับไดรฟ์ขนาดใหญ่ ใช้ bs=4096 เพื่อประสิทธิภาพ และตรวจสอบว่าแฮชของอิมเมจตรงกับแฮชของหลักฐานเพื่อแสดงความถูกต้องครบถ้วน

FTK Imager มีส่วนติดต่อผู้ใช้แบบกราฟิก (GUI) สำหรับการสร้างอิมเมจดิสก์บน Windows รองรับ E01 (รูปแบบหลักฐานพยานผู้เชี่ยวชาญ) ซึ่งบีบอัดอิมเมจและจัดเก็บแฮช รายละเอียดการเก็บหลักฐาน และบันทึกของผู้ตรวจสอบไว้ในส่วนหัวไฟล์ ทำให้เป็นมาตรฐานทางนิติวิทยาศาสตร์สำหรับหลักฐาน

FAT32 จัดเก็บข้อมูลเมตาของไฟล์ไว้ในรายการไดเรกทอรี และจัดเก็บห่วงโซ่การจัดสรรไว้ในตารางการจัดสรรไฟล์ ไฟล์ที่ถูกลบจะทิ้งรายการไดเรกทอรีที่มีเครื่องหมาย 0xE5 ไว้ ส่วนห่วงโซ่ FAT จะถูกทำให้เป็นศูนย์ แต่คลัสเตอร์ข้อมูลอาจยังคงอยู่ เครื่องมือกู้คืนใช้ร่องรอยที่เหลือเหล่านี้

NTFS จัดเก็บข้อมูลเมตาทั้งหมดไว้ในตารางไฟล์หลัก (MFT) ระเบียน MFT แต่ละรายการจะอธิบายไฟล์หนึ่งไฟล์ $LogFile บันทึกการเปลี่ยนแปลงเพื่อใช้กู้คืนหลังระบบขัดข้อง ส่วน $UsnJrnl ซึ่งเป็นบันทึกการเปลี่ยนแปลง จะบันทึกการดำเนินการกับไฟล์ทุกครั้ง จึงเป็นแหล่งข้อมูลสำคัญสำหรับการสร้างลำดับเวลาใหม่ แม้ไฟล์จะถูกลบไปแล้ว

Autopsy และ Sleuth Kit กู้คืนไฟล์ที่ถูกลบโดยค้นหาระเบียน MFT ที่ยังสมบูรณ์ซึ่งมีคลัสเตอร์ข้อมูลที่ไม่ได้จัดสรรแล้ว และใช้การสกัดไฟล์ด้วยการระบุไบต์มหัศจรรย์ของไฟล์ หรือรูปแบบประจำไฟล์ ในข้อมูลคลัสเตอร์ดิบโดยไม่ขึ้นกับข้อมูลเมตาของระบบไฟล์

การสกัดไฟล์กู้คืนไฟล์จากพื้นที่ที่ไม่ได้จัดสรรโดยอาศัยส่วนหัวและส่วนท้าย หรือไบต์มหัศจรรย์ JPEG เริ่มต้นด้วย FF D8 FF, PDF เริ่มต้นด้วย 25 50 44 46 และ ZIP เริ่มต้นด้วย 50 4B 03 04 Scalpel และ PhotoRec เป็นเครื่องมือหลักสำหรับการสกัดไฟล์

Autopsy สร้างลำดับเวลาจากเวลา MAC ได้แก่ เวลาที่แก้ไข เข้าถึง และเปลี่ยนแปลง และจากรายการ $UsnJrnl ให้กรองข้อมูลโดยเน้นช่วงเวลาที่สงสัยว่าเกิดการเจาะระบบ เพื่อดูว่าไฟล์ใดถูกสร้าง แก้ไข หรือลบ แล้วสร้างลำดับการกระทำของผู้โจมตีขึ้นใหม่ตามเวลา

รีจิสทรีของ Windows บันทึกซอฟต์แวร์ที่ติดตั้ง อุปกรณ์ USB (USBSTOR) เอกสารล่าสุด ผู้ใช้ที่เข้าสู่ระบบล่าสุด และการคงอยู่ผ่านคีย์ run Registry Explorer และ RegRipper จะแยกและวิเคราะห์กลุ่มรีจิสทรีจากอิมเมจดิสก์เพื่อวิเคราะห์ร่องรอย

ประวัติเบราว์เซอร์ คุกกี้ ไฟล์แคช และข้อมูลแบบฟอร์มจัดเก็บอยู่ในฐานข้อมูล SQLite Chrome ใช้ LevelDB การแยกร่องรอยเหล่านี้ช่วยเปิดเผยกิจกรรมสำรวจข้อมูลของผู้โจมตี การเตรียมข้อมูลสำหรับนำออก และช่องทางคำสั่งผ่านเว็บ

นิติวิทยาศาสตร์ดิสก์เริ่มต้นด้วยการสร้างอิมเมจที่ถูกต้องตามหลักนิติวิทยาศาสตร์โดยใช้อุปกรณ์ป้องกันการเขียนและการตรวจสอบแฮช NTFS MFT, $UsnJrnl, กลุ่มข้อมูลรีจิสทรี ฐานข้อมูลเบราว์เซอร์ และการกู้คืนไฟล์จากพื้นที่ที่ยังไม่ได้จัดสรร ล้วนช่วยให้สร้างกิจกรรมของผู้โจมตีบนระบบที่ถูกบุกรุกขึ้นใหม่ได้