Co extrakce Full File System skutečně obsahuje a proč se většina z ní nikdy nezkoumá

Zeptejte se někoho mimo obor, co je na zajištěném telefonu, a řekne zprávy, fotografie a kontakty. Zeptejte se analytika a zaváhá, protože poctivá odpověď je, že to nikdo zcela neví a zjistit to je ta práce.

Extrakce Full File System je kopie souborového systému zařízení tak, jak ho vidí operační systém. Ne export sestavený výběrem, ne podmnožina, kterou aplikace souhlasí vydat přes rozhraní zálohy. Celý strom.

Stojí za to projít, co v ní skutečně je, protože podoba dat vysvětluje téměř vše o tom, kam jde čas zkoumání.

Čtyři vrstvy, v sestupném pořadí pozornosti

Vrstva, na kterou myslí každý. Zprávy, výpisy hovorů, kontakty, složka fotoaparátu. Je skutečně důležitá, obvykle na ní případ stojí a objemem je to malý zlomek extrakce. Je to také část, kterou každý nástroj dekóduje dobře, protože je to část, pro kterou byl každý nástroj postaven jako první.

Úložiště aplikací. Každá nainstalovaná aplikace si drží vlastní stav: databáze zpráv a jejich metadat, mezipaměti profilových obrázků, koncepty, historii oznámení, historii hledání, stopy polohy, stav synchronizace. Telefon s šedesáti aplikacemi jich má šedesát, v šedesáti uspořádáních, v několika formátech, některé verzované a některé ne.

V této vrstvě stále častěji sedí zajímavý důkaz a právě zde je pokrytí nejnerovnoměrnější. Nástroj analytika dekóduje úložiště aplikací, které dodavatel implementoval, a zbytek je výpis adresáře.

Systémové stopy. Operační systém o sobě v běžném chodu zaznamenává pozoruhodné množství: které aplikace běžely a kdy, ke kterým sítím se zařízení připojilo, kdy bylo zapnuto, které účty jsou nastavené, co bylo nedávno otevřeno. Nic z toho nebylo navrženo jako důkaz. Mnoho z toho je velmi dobrý důkaz, protože je obtížné to záměrně sestavit a potvrzuje to, nebo vyvrací lidské vylíčení.

Nános. Mezipaměti miniatur, dočasné soubory, žurnály předběžného zápisu, které stále drží řádky smazané z hlavní databáze, nepřidělený prostor se zbytky záznamů, které byly odstraněny. V této vrstvě se obnovuje smazaný obsah a právě zde musí být analytik nejopatrnější, protože obnovený řádek a živý řádek mají různou důkazní váhu a nikdy se nesmějí předkládat, jako by byly totéž.

Problém objemu není ve skutečnosti problém objemu

Moderní vlajkový telefon vytvoří extrakci v desítkách nebo nízkých stovkách gigabajtů. Úložiště je však levné a čtení je rychlé, takže surová velikost není omezení.

Omezením je, že užitečný obsah je rozptýlen přes velký počet formátů, z nichž většina je nedokumentovaná, několik se mění mezi vydáními aplikace, která je zapsala, a žádný nebyl navržen k tomu, aby ho četl někdo jiný než aplikace sama.

Proto smysluplná otázka není, jak velká extrakce je. Je to, jaký podíl z ní má kterýkoli nástroj názor. Vše ostatní je přítomné, v principu čitelné a v praxi nepoužitelné.

Kam jdou hodiny

Sledujte zkušeného analytika, jak prochází extrakci, a rozložení času není to, které čeká člověk zvenčí.

Velmi málo z něj je čtení zpráv. Velká část je zjišťování, které části extrakce vůbec stojí za čtení, a poté uvedení těchto částí do stavu, ve kterém je čtení možné. Otevřít neznámou databázi, odvodit, co její tabulky znamenají, zjistit, že časové značky jsou uloženy v neobvyklé epoše, uvědomit si, že tělo zprávy je v jedné tabulce a účastník v jiné, bez zřejmého spojení. To je ta práce.

Je to také kvalifikovaná práce, která nevytváří nic trvalého. Porozumění, které analytik v úterý sestaví o uspořádání úložiště jedné aplikace, žije v jeho hlavě, nebo v nejlepším případě v osobním souboru poznámek, a musí ho znovu sestavit další osoba, která se se stejnou aplikací setká v jiné službě o šest měsíců později.

Část, která se nikdy nezkoumá

Každá laboratoř má nepsané pravidlo o tom, jak daleko jít. Zřídka je sepsané a obvykle je rozumné: zkoumejte, co nástroj dekódoval, zkoumejte cokoli, na co se vyšetřovatel výslovně ptal, a zbytek poznamenejte jako neanalyzovaný.

Výsledkem je soustavné, neviditelné zúžení rozsahu. Ne selhání pečlivosti a ne něco, co by označil přezkum případu, protože zpráva přesně popisuje, co bylo zkoumáno. Účinek napříč objemem případů však je, že velký zlomek zajištěných dat nikdo neprohlédne a zlomek je největší právě u aplikací, které dodavatel shledal komerčně nezajímavými.

Co by obraz změnilo

Tři věci by s tím pohnuly, v pořadí podle toho, jak velký rozdíl udělají.

První je pokrytí, které nezávisí na plánu vydání někoho jiného. Pokud lze neznámou aplikaci strukturovat v den, kdy ji případ potřebuje, nepsané pravidlo rozsahu přestane pokaždé odstraňovat tytéž kategorie důkazů.

Druhé je hledání, které pracuje podle významu, ne jen podle řetězců. Většina extrakce je nečitelná, protože nikdo nemá důvod ji otevřít. Otázka položená napříč celou pečetí najednou ten důvod najde.

Třetí je ověření dost levné na to, aby se skutečně provedlo. Analytik, který musí strávit odpoledne potvrzováním, odkud zjištění pochází, potvrdí méně zjištění. Ten, kdo to dokáže jedním kliknutím, potvrdí všechna, což je to, co soudní síň smí očekávat.

To poslední záleží víc, než to zní. Zrychlit přezkum důkazů je užitečné jen tehdy, pokud ho zároveň neučiní povrchnějším, a jediná obrana proti tomu je učinit kontrolu tak levnou, že její přeskočení nic neušetří.