Що насправді містить вилучення Full File System і чому більшу його частину ніколи не досліджують

Запитайте когось поза галуззю, що є на вилученому телефоні, і Вам скажуть: повідомлення, світлини і контакти. Запитайте аналітика, і він зупиниться, бо чесна відповідь у тому, що ніхто не знає до кінця, і з’ясувати це і є робота.

Вилучення Full File System — це копія файлової системи пристрою такою, якою її бачить операційна система. Не відібраний експорт і не підмножина, яку застосунок згоден віддати через інтерфейс резервної копії. Усе дерево.

Варто пройтися тим, що там насправді є, бо форма даних пояснює майже все про те, куди йде час дослідження.

Чотири шари, у спадному порядку уваги

Шар, про який думають усі. Повідомлення, журнали дзвінків, контакти, знімки камери. Він справді важливий, саме на ньому зазвичай тримається справа, і за обсягом це невелика частка вилучення. Це також частина, яку кожен інструмент декодує добре, бо саме для неї кожен інструмент спершу і будували.

Сховище застосунків. Кожен установлений застосунок тримає власний стан: бази даних повідомлень і їхніх метаданих, кеші зображень профілів, чернетки, історію сповіщень, історію пошуку, сліди розташування, стан синхронізації. Телефон із шістдесятьма застосунками має шістдесят таких сховищ, у шістдесяти розкладках, у кількох форматах, деякі з версіями, деякі без.

Саме в цьому шарі дедалі більше лежить цікавий доказ, і саме тут покриття найнерівніше. Інструмент аналітика декодує сховище тих застосунків, які впровадив постачальник, а решта — список каталогу.

Системні сліди. Операційна система записує вражаючу кількість про саму себе у звичайному ході роботи: які застосунки працювали і коли, до яких мереж пристрій приєднувався, коли його вмикали, які облікові записи налаштовано, що нещодавно відкривали. Ніщо з цього не було задумано як доказ. Багато з цього є дуже добрим доказом, бо його важко свідомо дібрати, і воно підтверджує або суперечить розповіді людини.

Осад. Кеші мініатюр, тимчасові файли, журнали випереджувального запису, які все ще тримають рядки, видалені з головної бази, нерозподілений простір із рештками записів, які було видалено. Це шар, де відновлюють видалений вміст, і також той, де аналітик має бути найобережнішим, бо відновлений рядок і чинний рядок мають різну доказову вагу і їх ніколи не можна подавати так, ніби вони одне й те саме.

Проблема обсягу насправді не є проблемою обсягу

Сучасний флагманський телефон дасть вилучення в десятки або нижчі сотні гігабайтів. Але сховище дешеве, а читання швидке, тож сирий розмір не є обмеженням.

Обмеження в тому, що корисний вміст розкидано по великій кількості форматів, більшість із яких недокументована, кілька змінюються між випусками застосунку, який їх записав, і жоден не призначено для читання кимось, окрім самого застосунку.

Саме тому змістовне запитання не в тому, якого розміру вилучення. А в тому, про яку його частку будь-який інструмент має думку. Усе інше присутнє, читабельне в принципі і непридатне на практиці.

Куди йдуть години

Подивіться, як досвідчений аналітик проходить вилучення, і розподіл часу не такий, якого очікує людина ззовні.

Дуже мало з цього є читанням повідомлень. Велика частина — це з’ясувати, які частини вилучення взагалі варто читати, а потім довести ці частини до стану, в якому їх можна прочитати. Відкрити незнайому базу даних, з’ясувати, що означають її таблиці, виявити, що мітки часу зберігаються в незвичній епосі, зрозуміти, що текст повідомлення в одній таблиці, а учасник в іншій, без очевидного з’єднання. Ось у чому робота.

Це також кваліфікована робота, яка не створює нічого тривкого. Розуміння, яке аналітик вибудовує про розкладку сховища одного застосунку у вівторок, живе в його голові або в кращому разі в особистому файлі нотаток, і його доводиться відбудовувати наступній людині, яка зустріне той самий застосунок в іншій службі за шість місяців.

Частина, яку ніколи не досліджують

У кожної лабораторії є неформальне правило, як далеко заходити. Його рідко записують, і зазвичай воно розважливе: досліджувати те, що декодував інструмент, досліджувати все, про що слідчий конкретно попросив, і решту позначити як не проаналізовану.

Наслідок — стале, невидиме звуження обсягу. Не брак сумлінності і не те, що позначила б перевірка справи, бо звіт точно описує, що було досліджено. Але наслідок на всьому навантаженні справами такий, що велику частку вилучених даних ніколи ніхто не переглядає, і частка найбільша саме в тих застосунках, які постачальник визнав комерційно нецікавими.

Що змінило б картину

Три речі зрушили б це, у порядку того, яку різницю вони дають.

Перше — покриття, яке не залежить від чужого графіка випусків. Якщо незнайомий застосунок можна структурувати того дня, коли справа цього потребує, неформальне правило обсягу перестає щоразу прибирати ті самі категорії доказів.

Друге — пошук, який працює за змістом, а не лише за рядками. Більша частина вилучення нечитабельна, бо ніхто не має причини його відкрити. Запитання, поставлене до всього речового доказу одразу, цю причину знаходить.

Третє — перевірка, достатньо дешева, щоб її справді виконати. Аналітик, який має витратити пообіддя на те, щоб підтвердити, звідки взялася знахідка, підтвердить менше знахідок. Той, хто може зробити це одним клацанням, підтвердить їх усі, і саме цього зала суду має право очікувати.

Це останнє важить більше, ніж здається. Прискорення перегляду доказів корисне лише якщо воно не робить його і поверхневішим, а єдиний захист від цього — зробити перевірку настільки дешевою, що пропуск нічого не заощаджує.