Co naprawdę zawiera ekstrakcja pełnego systemu plików i dlaczego większość nigdy nie jest badana

Proszę zapytać kogoś spoza dziedziny, co jest na zajętym telefonie, a powie: wiadomości, zdjęcia i kontakty. Proszę zapytać analityka, a zawaha się, bo uczciwa odpowiedź brzmi, że nikt nie wie tego w całości, a dowiedzenie się jest pracą.

Ekstrakcja pełnego systemu plików jest kopią systemu plików urządzenia tak, jak widzi go system operacyjny. Nie wyselekcjonowanym eksportem, nie podzbiorem, który aplikacja zgadza się oddać przez interfejs kopii zapasowej. Całym drzewem.

Warto przejść przez to, co naprawdę tam jest, bo kształt danych wyjaśnia prawie wszystko o tym, dokąd idzie czas badania.

Cztery warstwy, w malejącej kolejności uwagi

Warstwa, o której myślą wszyscy. Wiadomości, dzienniki połączeń, kontakty, rolka aparatu. Jest naprawdę ważna, zwykle na niej obraca się sprawa i jest małym ułamkiem ekstrakcji pod względem wolumenu. Jest też częścią, którą każde narzędzie dekoduje dobrze, bo jest częścią, dla której każde narzędzie zbudowano najpierw.

Zapis aplikacji. Każda zainstalowana aplikacja trzyma własny stan: bazy wiadomości i ich metadanych, pamięci podręczne zdjęć profilowych, wersje robocze, historię powiadomień, historię wyszukiwania, ślady lokalizacji, stan synchronizacji. Telefon z sześćdziesięcioma aplikacjami ma ich sześćdziesiąt, w sześćdziesięciu układach, w kilku formatach, jedne wersjonowane, inne nie.

Ta warstwa jest tam, gdzie interesujący dowód siedzi coraz częściej, i tam, gdzie pokrycie jest najbardziej nierówne. Narzędzie analityka zdekoduje zapis aplikacji, które zaimplementował dostawca, a reszta jest listą katalogu.

Ślady systemowe. System operacyjny zapisuje o sobie zadziwiającą ilość w zwykłym toku pracy: które aplikacje działały i kiedy, do których sieci urządzenie dołączyło, kiedy je włączono, które konta są skonfigurowane, co ostatnio otwarto. Nic z tego nie projektowano jako dowodu. Duża część jest bardzo dobrym dowodem, bo trudno to wyselekcjonować i potwierdza albo zaprzecza relacji człowieka.

Osad. Pamięci podręczne miniatur, pliki tymczasowe, dzienniki zapisu wyprzedzającego, które wciąż trzymają wiersze usunięte z głównej bazy, przestrzeń nieprzydzielona z pozostałościami rekordów, które usunięto. To warstwa, w której odzyskuje się usuniętą treść, i także ta, w której analityk musi być najbardziej ostrożny, bo wiersz odzyskany i wiersz żywy mają różną wagę dowodową i nigdy nie wolno ich przedstawiać tak, jakby były tym samym.

Problem wolumenu nie jest naprawdę problemem wolumenu

Współczesny telefon z wyższej półki da ekstrakcję rzędu dziesiątek albo niskich setek gigabajtów. Ale magazyn jest tani, a czytanie szybkie, więc surowy rozmiar nie jest ograniczeniem.

Ograniczeniem jest to, że użyteczna treść jest rozproszona po dużej liczbie formatów, z których większość jest nieudokumentowana, kilka zmienia się między wydaniami aplikacji, która je zapisała, i żaden nie był projektowany do odczytu przez kogokolwiek poza samą aplikacją.

Dlatego pytanie, które ma znaczenie, nie brzmi, jak duża jest ekstrakcja. Brzmi, o jakiej jej części jakiekolwiek narzędzie ma zdanie. Cała reszta jest obecna, w zasadzie czytelna i w praktyce nieużywalna.

Dokąd idą godziny

Proszę popatrzeć, jak doświadczony analityk przechodzi przez ekstrakcję, a rozkład czasu nie jest taki, jakiego spodziewa się ktoś z zewnątrz.

Bardzo mało z tego jest czytaniem wiadomości. Duża część jest ustalaniem, które części ekstrakcji w ogóle warto czytać, a potem doprowadzeniem tych części do stanu, w którym czytanie ich jest możliwe. Otwarcie nieznanej bazy, ustalenie, co znaczą jej tabele, odkrycie, że znaczniki czasu są zapisane w nietypowej epoce, zrozumienie, że treść wiadomości jest w jednej tabeli, a uczestnik w innej, bez oczywistego złączenia. To jest ta praca.

Jest to także praca wymagająca umiejętności, która nie wytwarza niczego trwałego. Zrozumienie, które analityk buduje we wtorek o układzie zapisu jednej aplikacji, żyje w jego głowie albo w najlepszym razie w osobistym pliku notatek i musi je odbudować następna osoba, która spotka tę samą aplikację w innej służbie sześć miesięcy później.

Część, której nigdy się nie bada

Każde laboratorium ma nieformalną regułę, jak daleko iść. Rzadko jest spisana i zwykle jest rozsądna: badać to, co zdekodowało narzędzie, badać wszystko, o co śledczy konkretnie poprosił, a resztę odnotować jako nieanalizowaną.

Wynikiem jest spójne, niewidoczne zawężenie zakresu. Nie porażka staranności i nie coś, co oznaczyłby przegląd sprawy, bo raport dokładnie opisuje, co zbadano. Ale skutek w skali obciążenia sprawami jest taki, że duża część zajętych danych nigdy nie jest oglądana przez nikogo, a część ta jest największa dokładnie w aplikacjach, które dostawca uznał za komercyjnie nieinteresujące.

Co zmieniłoby obraz

Trzy rzeczy by to przesunęły, w kolejności tego, jak dużą różnicę robią.

Pierwsza to pokrycie, które nie zależy od harmonogramu wydań kogoś innego. Jeśli nieznaną aplikację da się uporządkować w dniu, w którym sprawa tego potrzebuje, nieformalna reguła zakresu przestaje za każdym razem usuwać te same kategorie dowodu.

Druga to wyszukiwanie, które działa na znaczeniu, a nie tylko na ciągach. Większość ekstrakcji jest nieczytelna, bo nikt nie ma powodu jej otworzyć. Pytanie zadane naraz przez całe zabezpieczenie znajduje ten powód.

Trzecia to weryfikacja na tyle tania, aby naprawdę ją wykonać. Analityk, który musi spędzić popołudnie na potwierdzaniu, skąd pochodzi ustalenie, potwierdzi mniej ustaleń. Ten, który może to zrobić jednym kliknięciem, potwierdzi je wszystkie, a tego sala sądowa ma prawo oczekiwać.

To ostatnie ma większe znaczenie, niż się wydaje. Przyspieszenie przeglądu dowodów jest użyteczne tylko wtedy, gdy nie czyni go zarazem płytszym, a jedyną obroną przed tym jest uczynienie sprawdzenia tak tanim, że pominięcie go niczego nie oszczędza.