數(shù)字取證專家的一線圖像數(shù)據(jù)檢索

本文概述了取證專家和急救人員為何以及如何從提供圖像數(shù)據(jù)檢索的工具中受益。所審查的產(chǎn)品是用于數(shù)據(jù)檢索和映像裝入的一線工具，因為如果不先裝載映像，則無法檢索數(shù)據(jù)。此外，無論原始文件系統(tǒng)格式如何，能夠在任何操作系統(tǒng)下讀取此數(shù)據(jù)也具有額外的價值。

取證圖像是用于證據(jù)的硬盤驅(qū)動器或其他數(shù)字媒體的完整副本。取證映像通常包括文件、未分配的空間、可寬延空間和啟動記錄。取證數(shù)據(jù)，例如已刪除的文件、文件碎片或任何隱藏數(shù)據(jù)，可能會在 Slack 或未分配的空間中找到。如果使用清理軟件完全擦除驅(qū)動器上的任何信息痕跡，那么法醫(yī)檢查員不太可能成功檢索任何數(shù)據(jù)。

檢索信息的另一個困難是，如果將正在調(diào)查的數(shù)字媒體連接到常規(guī)操作系統(tǒng) （OS），它將受到不可逆轉(zhuǎn)的損壞。標(biāo)準(zhǔn)操作系統(tǒng)配置在檢測到后立即激活設(shè)備，掛載文件系統(tǒng)并更改其內(nèi)容，甚至不通知用戶。例如，Windows 可能會自動更改文件屬性中的時間戳、在回收站中創(chuàng)建隱藏文件夾或保存配置數(shù)據(jù)。因此，必須仔細(xì)選擇用于創(chuàng)建取證圖像及其后續(xù)深入分析的正確技術(shù)。

無論是從硬盤驅(qū)動器還是 SSD 安裝映像，都必須以完全相同的方式輕松映像。從 SSD 驅(qū)動器創(chuàng)建的映像仍將表示映像時所有數(shù)據(jù)的快照。

Paragon Software的圖像貼片機做的事情

從本質(zhì)上講，映像貼片器允許存儲，安裝和驗證各種格式的圖像的完整性。

Paragon軟件的當(dāng)前版本的映像貼片器允許您使用“塊貼片器”驅(qū)動程序和圖像MGM庫（處理圖像文件并提供讀/寫功能以訪問存儲在圖像上的數(shù)據(jù)）在OS Windows下將上述類型的映像作為標(biāo)準(zhǔn)塊設(shè)備（磁盤）進(jìn)行安裝。這是通過在系統(tǒng)中創(chuàng)建具有完全控制讀寫模式的虛擬磁盤/磁盤設(shè)備來實現(xiàn)的。因此，掛載的磁盤被標(biāo)準(zhǔn)Windows組件和Paragon軟件產(chǎn)品完美識別：適用于Windows的APFS，適用于Windows的Linux文件系統(tǒng)和適用于Windows的HFS+。

但是，為了解決取證問題，這可能還不夠，因為在將標(biāo)準(zhǔn)操作系統(tǒng)訪問請求映射到文件及其屬性到引擎的內(nèi)部函數(shù)以使用 UFS 文件系統(tǒng)的階段，丟失了有關(guān)文件系統(tǒng)的其他信息。數(shù)據(jù)（證據(jù)）可能隱藏或丟失的另一個最常見選項是磁盤上未使用的位置。這些位置可以通過映像貼載器在已安裝的塊設(shè)備上使用。

為了在不丟失映射數(shù)據(jù)的情況下提供有關(guān)文件系統(tǒng)的完整信息，Paragon 軟件集團(tuán)實施了以下架構(gòu)：

Image MGM 組件提供對圖像文件內(nèi)容和有關(guān)圖像的其他信息的軟件讀/寫訪問。該模塊還負(fù)責(zé)識別取證元數(shù)據(jù)及其映射，并檢查圖像的完整性。它不僅在Paragon軟件的映像貼片器中成功使用，而且在創(chuàng)建備份時也成功地用于硬盤管理器（另一種軟件工具）。

FDisk 庫旨在分析磁盤布局，并提供有關(guān)它的信息以及對磁盤各個分區(qū)的讀/寫訪問。該組件支持解析 MBR、GPT 和標(biāo)準(zhǔn) LVM，包括位于多個物理磁盤上。該庫已成功用于 Linux File Systems for Windows by Paragon Software、APFS for Windows by Paragon Software、ReFS for Windows by Paragon Software 和Storage SDK 產(chǎn)品。

UFS 是識別文件系統(tǒng)、解析其結(jié)構(gòu)并為其提供數(shù)據(jù)和元數(shù)據(jù)的主要組件。該庫為所有支持的文件系統(tǒng)（APFS，HFS +，EXT2，EXT3，EXT4，BtrFS，XFS，ReFS，NTFS，F(xiàn)AT等）提供單一接口。此接口還提供對文件系統(tǒng)獨特功能的訪問，例如，能夠掛載所需的 APFS 檢查點和子卷，以及在掛載加密卷時傳遞密碼。這樣，您可以訪問任何受支持和可識別文件系統(tǒng)的用戶數(shù)據(jù)和內(nèi)部數(shù)據(jù)。

GUI 和 CLI 為最終用戶提供了用于訪問所檢查文件系統(tǒng)的圖形和控制臺界面。例如，在 UFS 中裝載卷后，您可以訪問卷的序列號、有關(guān)可用和占用的集群的數(shù)據(jù)及其大小。對于文件系統(tǒng)對象（如文件和目錄），您可以訪問文件的數(shù)據(jù)和元數(shù)據(jù)。

安裝和驗證的法醫(yī)圖像可用作調(diào)查的證據(jù)。映像貼載器的主要功能是它能夠掛載虛擬映像，就好像您真正連接到用戶的計算機一樣。它允許您完全訪問磁盤的內(nèi)容，并將其他非取證工具連接到任何其他應(yīng)用程序或系統(tǒng)。當(dāng)映像包含操作系統(tǒng)無法識別的文件系統(tǒng)或其他技術(shù)時，這一點尤其重要。例如，Image Mounter 可以與 APFS for Windows 結(jié)合使用，并允許對 Windows 上的 APFS 宗卷進(jìn)行完全訪問。

跨平臺兼容性的文件系統(tǒng)鏈接技術(shù)

取證工具通常是為在特定操作系統(tǒng)中工作而開發(fā)的，例如Mac OSX的Macintosh證據(jù)收集和分析（MEGA）或用于Linux分區(qū)圖像分析的取證自動關(guān)聯(lián)引擎（FACE）。

但是，還有另一種方法。如果正在調(diào)查的卷或文件使用 Apple 或 Linux 操作系統(tǒng)格式化，該怎么辦？映像貼片程序與專有文件系統(tǒng)驅(qū)動程序的集成可在 Windows 操作系統(tǒng)下與 Linux 和 APFS 格式的驅(qū)動器實現(xiàn)流暢的高性能操作。

文件系統(tǒng)鏈接驅(qū)動程序和映像貼片器的串聯(lián)允許在PC上工作的取證專家直接在Windows PC上即時訪問和寫入APFS，extFS甚至ReFS格式的硬盤驅(qū)動器，固態(tài)驅(qū)動器或閃存驅(qū)動器。因此，消除了對每個操作系統(tǒng)的單獨工具的需求。

Image Mounter是一種工具，使數(shù)字取證專家能夠輕松安裝磁盤映像并訪問獲取的圖像。用于安裝取證圖像的工具可以用作獨立軟件，也可以用作集成到更復(fù)雜的數(shù)據(jù)分析解決方案中的組件。

審核編輯：郭婷