Was eine vollständige Dateisystem-Extraktion tatsächlich enthält, und warum das meiste davon nie ausgewertet wird

Fragen Sie jemanden außerhalb des Fachs, was auf einem sichergestellten Telefon ist, und er wird Nachrichten, Fotos und Kontakte nennen. Fragen Sie einen Analysten, und er wird innehalten, denn die ehrliche Antwort lautet, dass niemand es vollständig weiß, und es herauszufinden die Arbeit ist.

Eine vollständige Dateisystem-Extraktion ist eine Kopie des Dateisystems des Geräts, so wie das Betriebssystem es sieht. Kein kuratierter Export, nicht die Teilmenge, die eine Anwendung über eine Sicherungsschnittstelle herauszugeben bereit ist. Der ganze Baum.

Es lohnt sich durchzugehen, was tatsächlich darin liegt, denn die Form der Daten erklärt fast alles darüber, wohin die Auswertungszeit geht.

Vier Schichten, in absteigender Reihenfolge der Aufmerksamkeit

Die Schicht, an die alle denken. Nachrichten, Anrufprotokolle, Kontakte, die Kamerarolle. Sie ist wirklich wichtig, der Fall dreht sich gewöhnlich um sie, und nach Volumen ist sie ein kleiner Teil der Extraktion. Sie ist auch der Teil, den jedes Werkzeug gut dekodiert, weil es der Teil ist, für den jedes Werkzeug zuerst gebaut wurde.

Anwendungsspeicher. Jede installierte Anwendung hält ihren eigenen Zustand: Datenbanken von Nachrichten und ihren Metadaten, Caches von Profilbildern, Entwürfe, den Benachrichtigungsverlauf, den Suchverlauf, Standortspuren, den Synchronisationszustand. Ein Telefon mit sechzig Anwendungen hat sechzig davon, in sechzig Anordnungen, in mehreren Formaten, manche versioniert und manche nicht.

Diese Schicht ist der Ort, an dem die interessanten Beweismittel zunehmend liegen, und der Ort, an dem die Abdeckung am ungleichmäßigsten ist. Das Werkzeug eines Analysten dekodiert den Speicher der Anwendungen, die der Hersteller umgesetzt hat, und der Rest ist eine Verzeichnisauflistung.

Systemspuren. Das Betriebssystem zeichnet im gewöhnlichen Lauf seiner Arbeit eine bemerkenswerte Menge über sich selbst auf: welche Anwendungen liefen und wann, welchen Netzwerken das Gerät beigetreten ist, wann es eingeschaltet wurde, welche Konten eingerichtet sind, was kürzlich geöffnet wurde. Nichts davon war als Beweismittel entworfen. Vieles davon ist sehr gutes Beweismaterial, weil es sich schwer kuratieren lässt und die menschliche Schilderung stützt oder ihr widerspricht.

Sediment. Caches von Vorschaubildern, temporäre Dateien, Write-Ahead-Logs, die noch Zeilen halten, die aus der Hauptdatenbank gelöscht wurden, nicht belegter Speicher mit den Resten von Datensätzen, die entfernt wurden. Das ist die Schicht, in der gelöschte Inhalte wiederhergestellt werden, und auch der Ort, an dem der Analyst am vorsichtigsten sein muss, denn eine wiederhergestellte Zeile und eine lebende Zeile haben unterschiedlichen Beweiswert und dürfen niemals so dargestellt werden, als wären sie dasselbe.

Das Volumenproblem ist nicht wirklich ein Volumenproblem

Ein modernes Flaggschiff-Telefon erzeugt eine Extraktion im Bereich von einigen zehn oder wenigen hundert Gigabyte. Speicher ist aber billig und das Lesen ist schnell, also ist die reine Größe nicht die Einschränkung.

Die Einschränkung ist, dass der nützliche Inhalt über eine große Zahl von Formaten verstreut ist, von denen die meisten undokumentiert sind, von denen mehrere sich zwischen den Versionen der Anwendung ändern, die sie geschrieben hat, und von denen keines dafür entworfen wurde, dass jemand außer der Anwendung selbst es liest.

Deshalb ist die bedeutsame Frage nicht, wie groß eine Extraktion ist. Es ist, zu welchem Anteil irgendein Werkzeug eine Auffassung davon hat. Alles andere ist vorhanden, grundsätzlich lesbar und in der Praxis unbrauchbar.

Wohin die Stunden gehen

Sehen Sie einem erfahrenen Analysten bei der Arbeit an einer Extraktion zu, und die Verteilung der Zeit ist nicht das, was jemand von außen erwartet.

Sehr wenig davon ist das Lesen von Nachrichten. Ein großer Teil ist herauszufinden, welche Teile der Extraktion es überhaupt wert sind, gelesen zu werden, und diese Teile dann in einen Zustand zu bringen, in dem das Lesen möglich ist. Eine unbekannte Datenbank öffnen, herausfinden, was ihre Tabellen bedeuten, entdecken, dass Zeitstempel in einer ungewöhnlichen Epoche gespeichert sind, feststellen, dass der Nachrichtentext in einer Tabelle liegt und der Teilnehmer in einer anderen, ohne einen offensichtlichen Join. Das ist die Arbeit.

Es ist auch fachliche Arbeit, die nichts Dauerhaftes hervorbringt. Das Verständnis, das ein Analyst am Dienstag über das Speicherlayout einer Anwendung aufbaut, lebt in seinem Kopf oder bestenfalls in einer persönlichen Notizdatei, und die nächste Person, die sechs Monate später in einer anderen Dienststelle auf dieselbe Anwendung trifft, muss es neu aufbauen.

Der Teil, der nie ausgewertet wird

Jedes Labor hat eine informelle Regel, wie weit man geht. Sie ist selten aufgeschrieben, und sie ist gewöhnlich vernünftig: auswerten, was das Werkzeug dekodiert hat, auswerten, worum der Ermittler ausdrücklich gebeten hat, und den Rest als nicht analysiert vermerken.

Das Ergebnis ist eine beständige, unsichtbare Verringerung des Umfangs. Kein Mangel an Sorgfalt, und nichts, was eine Fallprüfung markieren würde, denn der Bericht beschreibt zutreffend, was ausgewertet wurde. Über ein Fallaufkommen hinweg ist die Wirkung aber, dass ein großer Teil der sichergestellten Daten von niemandem angesehen wird, und der Anteil ist genau bei den Anwendungen am größten, die ein Hersteller kommerziell uninteressant fand.

Was das Bild ändern würde

Drei Dinge würden das verschieben, geordnet danach, wie viel Unterschied sie machen.

Das erste ist Abdeckung, die nicht vom Veröffentlichungsplan eines anderen abhängt. Wenn eine unbekannte Anwendung an dem Tag strukturiert werden kann, an dem der Fall sie braucht, hört die informelle Regel zum Umfang auf, jedes Mal dieselben Kategorien von Beweismitteln auszusortieren.

Das zweite ist Suche, die nach Bedeutung funktioniert und nicht nur nach Zeichenfolgen. Der größte Teil einer Extraktion bleibt ungelesen, weil niemand einen Grund hat, ihn zu öffnen. Eine Frage, die auf einmal über das ganze Asservat gestellt wird, findet den Grund.

Das dritte ist eine Prüfung, die billig genug ist, um tatsächlich stattzufinden. Ein Analyst, der einen Nachmittag damit verbringen muss zu bestätigen, woher ein Befund kam, wird weniger Befunde bestätigen. Einer, der es in einem Klick tun kann, wird sie alle bestätigen, und genau das darf ein Gericht erwarten.

Das letzte wiegt schwerer, als es klingt. Die Auswertung von Beweismitteln schneller zu machen, ist nur nützlich, wenn sie sie nicht zugleich oberflächlicher macht, und die einzige Abwehr dagegen ist, die Prüfung so billig zu machen, dass sie zu überspringen nichts spart.