Ce conține de fapt o extracție completă a sistemului de fișiere, și de ce cea mai mare parte nu este examinată niciodată

Întrebați pe cineva din afara domeniului ce este pe un telefon sechestrat și va spune mesaje, fotografii și contacte. Întrebați un analist și va face o pauză, pentru că răspunsul onest este că nimeni nu știe cu totul, iar a afla este treaba.

O extracție completă a sistemului de fișiere este o copie a sistemului de fișiere al dispozitivului, așa cum îl vede sistemul de operare. Nu un export curatoriat, nu submulțimea pe care o aplicație acceptă să o predea printr-o interfață de backup. Arborele întreg.

Merită parcurs ce se află de fapt acolo, pentru că forma datelor explică aproape totul despre locul unde se duce timpul de examinare.

Patru straturi, în ordinea descrescătoare a atenției

Stratul la care se gândește toată lumea. Mesaje, jurnale de apeluri, contacte, rola camerei. Este cu adevărat important, este ceea ce decide de obicei cazul, și este o fracțiune mică din extracție ca volum. Este și partea pe care fiecare instrument o decodează bine, pentru că este partea pentru care fiecare instrument a fost construit întâi.

Stocarea aplicațiilor. Fiecare aplicație instalată își păstrează propria stare: baze de date de mesaje și metadatele lor, cache-uri de fotografii de profil, ciorne, istoricul notificărilor, istoricul căutărilor, urme de locație, starea de sincronizare. Un telefon cu șaizeci de aplicații are șaizeci dintre acestea, în șaizeci de dispuneri, în mai multe formate, unele versionate și altele nu.

Acest strat este locul unde proba interesantă stă din ce în ce mai mult, și este locul unde acoperirea este cea mai neuniformă. Instrumentul unui analist va decoda stocarea aplicațiilor pe care furnizorul le-a implementat, iar restul este o listare de directoare.

Urme de sistem. Sistemul de operare consemnează o cantitate remarcabilă despre el însuși în cursul obișnuit al funcționării: ce aplicații au rulat și când, la ce rețele s-a conectat dispozitivul, când a fost pornit, ce conturi sunt configurate, ce a fost deschis recent. Nimic din acestea nu a fost conceput ca probă. O mare parte este o probă foarte bună, pentru că este greu de curatoriat și confirmă sau contrazice relatarea umană.

Sediment. Cache-uri de miniaturi, fișiere temporare, jurnale write-ahead care încă păstrează rânduri șterse din baza principală, spațiu nealocat cu resturile înregistrărilor care au fost înlăturate. Acesta este stratul în care este recuperat conținutul șters, și este și locul unde analistul trebuie să fie cel mai atent, pentru că un rând recuperat și un rând activ au o greutate probatorie diferită și nu trebuie prezentate niciodată ca și cum ar fi același lucru.

Problema volumului nu este cu adevărat o problemă de volum

Un telefon emblematic modern va produce o extracție de zeci sau de câteva sute mici de gigaocteți. Dar stocarea este ieftină și citirea este rapidă, așa că mărimea brută nu este constrângerea.

Constrângerea este că conținutul util este împrăștiat într-un număr mare de formate, cele mai multe nedocumentate, mai multe dintre ele schimbându-se între versiunile aplicației care le-a scris, și niciunul conceput pentru a fi citit de altcineva decât aplicația însăși.

De aceea întrebarea care contează nu este cât de mare este o extracție. Este ce proporție din ea are vreo opinie vreun instrument. Tot restul este prezent, lizibil în principiu și inutilizabil în practică.

Unde se duc orele

Priviți un analist experimentat lucrând printr-o extracție, și distribuția timpului nu este ceea ce așteaptă cineva din afară.

Foarte puțin din el este citirea mesajelor. O mare parte este a desluși care părți ale extracției merită citite, apoi a aduce acele părți într-o stare în care citirea lor este posibilă. A deschide o bază de date necunoscută, a desluși ce înseamnă tabelele ei, a descoperi că marcajele temporale sunt stocate într-o epocă neobișnuită, a realiza că corpul mesajului este într-un tabel și participantul în altul, fără o îmbinare evidentă. Aceasta este munca.

Este și o muncă calificată care nu produce nimic durabil. Înțelegerea pe care un analist o construiește marți despre dispunerea stocării unei aplicații trăiește în capul lui sau, în cel mai bun caz, într-un fișier personal de notițe, și trebuie reconstruită de persoana următoare care întâlnește aceeași aplicație, într-un alt serviciu, șase luni mai târziu.

Partea care nu este examinată niciodată

Fiecare laborator are o regulă informală despre cât de departe să meargă. Este rareori scrisă și este de obicei rațională: se examinează ce a decodat instrumentul, se examinează orice a cerut anume investigatorul, iar restul se notează ca neanalizat.

Rezultatul este o reducere de domeniu consecventă și invizibilă. Nu un eșec de diligență, și nu ceva ce o revizuire de caz ar semnala, pentru că raportul descrie exact ce a fost examinat. Dar efectul pe un volum de cazuri este că o fracțiune mare din datele sechestrate nu este privită de nimeni, iar fracțiunea este cea mai mare exact în aplicațiile pe care un furnizor le-a găsit neinteresante comercial.

Ce ar schimba tabloul

Trei lucruri ar mișca aceasta, în ordinea diferenței pe care o fac.

Primul este o acoperire care nu depinde de calendarul de versiuni al altcuiva. Dacă o aplicație necunoscută poate fi structurată în ziua în care cazul are nevoie de ea, regula informală de domeniu încetează să înlăture de fiecare dată aceleași categorii de probe.

Al doilea este o căutare care funcționează pe sens, nu numai pe șiruri. Cea mai mare parte a unei extracții este ilizibilă pentru că nimeni nu are un motiv să o deschidă. O întrebare pusă deodată pe tot sigiliul găsește motivul.

Al treilea este o verificare destul de ieftină încât să fie făcută cu adevărat. Un analist care trebuie să petreacă o după-amiază confirmând de unde a venit o constatare va confirma mai puține constatări. Unul care o poate face dintr-un clic le va confirma pe toate, ceea ce este ceea ce sala de judecată este îndreptățită să aștepte.

Ultimul contează mai mult decât pare. A face revizuirea probelor mai rapidă este util numai dacă nu o face totodată mai superficială, iar singura apărare împotriva acesteia este a face verificarea atât de ieftină încât a o sări nu economisește nimic.