Mit tartalmaz valójában egy teljes fájlrendszer-kinyerés, és miért marad a nagy része vizsgálatlan

Kérdezzen meg egy szakmán kívül állót, mi van egy lefoglalt telefonon, és azt mondja: üzenetek, fényképek és kapcsolatok. Kérdezzen meg egy vizsgálót, és megtorpan, mert az őszinte válasz az, hogy senki sem tudja teljesen, és a kiderítése a munka.

A teljes fájlrendszer-kinyerés az eszköz fájlrendszerének másolata, ahogyan az operációs rendszer látja. Nem válogatott export, nem az a részhalmaz, amelyet egy alkalmazás egy mentési felületen át hajlandó átadni. Az egész fa.

Érdemes végigmenni azon, mi van benne valójában, mert az adat formája szinte mindent megmagyaráz arról, hová megy a vizsgálati idő.

Négy réteg, a figyelem csökkenő sorrendjében

Az a réteg, amelyre mindenki gondol. Üzenetek, hívásnaplók, kapcsolatok, a kameratekercs. Valóban fontos, rendszerint ezen múlik az ügy, és térfogat szerint a kinyerés kis hányada. Ez az a rész is, amelyet minden eszköz jól dekódol, mert erre épült először minden eszköz.

Alkalmazástárolás. Minden telepített alkalmazás a saját állapotát őrzi: üzenetek és metaadataik adatbázisait, profilképek gyorsítótárait, piszkozatokat, értesítési előzményeket, keresési előzményeket, helyszínmorzsákat, szinkronállapotot. Egy hatvan alkalmazást hordozó telefonon hatvan ilyen van, hatvan elrendezésben, több formátumban, egyesek verziókezeltek, mások nem.

Ebben a rétegben ül egyre inkább az érdekes bizonyíték, és itt a lefedettség a legegyenetlenebb. A vizsgáló eszköze azoknak az alkalmazásoknak a tárolását dekódolja, amelyeket a szállító megvalósított, a többi pedig könyvtárlista.

Rendszernyomok. Az operációs rendszer a szokásos működés során figyelemre méltó mennyiséget rögzít önmagáról: mely alkalmazások futottak és mikor, mely hálózatokhoz csatlakozott az eszköz, mikor kapcsolták be, mely fiókok vannak beállítva, mit nyitottak meg nemrég. Semmit sem bizonyítéknak terveztek. Sok belőle nagyon jó bizonyíték, mert nehéz megválogatni, és megerősíti vagy cáfolja az emberi beszámolót.

Üledék. Bélyegkép-gyorsítótárak, ideiglenes fájlok, előreírási naplók, amelyek még tartják a fő adatbázisból törölt sorokat, nem lefoglalt tér az eltávolított rekordok maradványaival. Ebben a rétegben állítják vissza a törölt tartalmat, és itt kell a vizsgálónak a legóvatosabbnak lennie, mert egy visszaállított sornak és egy élő sornak más a bizonyító súlya, és soha nem szabad úgy bemutatni őket, mintha ugyanazok volnának.

A mennyiség problémája valójában nem mennyiségi probléma

Egy modern csúcstelefon tíz vagy a százasok alsó tartományába eső gigabájtos kinyerést ad. A tárolás azonban olcsó, az olvasás pedig gyors, így a nyers méret nem a korlát.

A korlát az, hogy a hasznos tartalom nagyszámú formátum között szóródik szét, amelyek többsége dokumentálatlan, több közülük változik az őket író alkalmazás kiadásai között, és egyiket sem arra tervezték, hogy az alkalmazáson kívül bárki olvassa.

Ezért a lényegi kérdés nem az, mekkora egy kinyerés. Hanem az, hogy mekkora hányadáról van bármely eszköznek véleménye. Minden más jelen van, elvben olvasható, és a gyakorlatban használhatatlan.

Hová mennek az órák

Nézze meg, ahogy egy tapasztalt vizsgáló végigmegy egy kinyerésen: az idő eloszlása nem az, amit egy kívülálló vár.

Nagyon kevés belőle az üzenetek olvasása. Nagy része annak a kiderítése, a kinyerés mely részeit érdemes egyáltalán olvasni, majd annak elérése, hogy ezek a részek olyan állapotba kerüljenek, amelyben az olvasásuk lehetséges. Ismeretlen adatbázis megnyitása, annak kiderítése, mit jelentenek a táblái, annak felfedezése, hogy az időbélyegeket szokatlan időalapban tárolják, annak felismerése, hogy az üzenet törzse az egyik táblában van, a résztvevő pedig egy másikban, nyilvánvaló összekapcsolás nélkül. Ez a munka.

Ez szakképzett munka is, amely semmi tartósat nem hoz létre. Az a megértés, amelyet egy vizsgáló kedden felépít egy alkalmazás tárolási elrendezéséről, a fejében él, vagy legfeljebb egy személyes jegyzetfájlban, és a következő embernek újra fel kell építenie, aki hat hónappal később egy másik szolgálatban találkozik ugyanazzal az alkalmazással.

Az a rész, amelyet soha nem vizsgálnak meg

Minden laboratóriumnak van egy informális szabálya arról, meddig menjen. Ritkán van leírva, és rendszerint ésszerű: vizsgálja meg, amit az eszköz dekódolt, vizsgálja meg mindazt, amiről a nyomozó kifejezetten kérdezett, és a többit jegyezze fel nem elemzettként.

Az eredmény a hatókör következetes, láthatatlan szűkítése. Nem a gondosság hiánya, és nem olyasmi, amit egy ügyfelülvizsgálat megjelölne, mert a jelentés pontosan leírja, mit vizsgáltak meg. Egy ügyteher egészén azonban az a hatása, hogy a lefoglalt adat nagy hányadát senki sem nézi meg soha, és a hányad pontosan azokban az alkalmazásokban a legnagyobb, amelyeket egy szállító kereskedelmileg érdektelennek talált.

Mi változtatná meg a képet

Három dolog mozdítaná el ezt, aszerint, mekkora különbséget jelentenek.

Az első a lefedettség, amely nem függ valaki más kiadási ütemtervétől. Ha egy ismeretlen alkalmazás azon a napon strukturálható, amikor az ügynek szüksége van rá, az informális hatóköri szabály többé nem veszi el minden alkalommal ugyanazokat a bizonyítékkategóriákat.

A második olyan keresés, amely jelentés szerint működik, nem csak karakterláncok szerint. A kinyerés nagy része olvashatatlan, mert senkinek nincs oka megnyitni. Egy kérdés, amelyet egyszerre az egész pecsétre tesznek fel, megtalálja az okot.

A harmadik az ellenőrzés, amely elég olcsó ahhoz, hogy ténylegesen elvégezzék. Az a vizsgáló, akinek egy délutánt kell töltenie annak megerősítésével, honnan származik egy megállapítás, kevesebb megállapítást erősít meg. Aki egy kattintással megteheti, mindet megerősíti, és erre jogosult számítani a tárgyalóterem.

Ez az utolsó többet számít, mint amennyinek hangzik. A bizonyíték átnézésének felgyorsítása csak akkor hasznos, ha nem teszi sekélyebbé is, és az egyetlen védelem ez ellen az, hogy az ellenőrzést olyan olcsóvá tesszük, hogy a kihagyása semmit sem takarít meg.