Forensic File Carver
Dosya sistemi üstverisine bağlı kalmadan büyük ikili kaynakları akış halinde tarayan; imza adaylarını bayt trie ile bulan ve mümkün olduğunda biçime özgü sınır doğrulaması yapan C# adli veri kazıma yazılımı.
Bu çalışma, silinmiş ya da dosya sistemi kaydı artık güvenilir olmayan veriyi ararken kullandığım yaklaşımı bağımsız bir araştırma yazılımı olarak ortaya koyuyor. Tarama çekirdeği, her dosya imzası için kaynağı yeniden dolaşmak yerine ortak önekleri bir bayt trie içinde topluyor. Büyük disk görüntülerinde bloklar arasında kalan imzaların kaybolmaması için okuma pencereleri örtüşüyor; kaynak bütünüyle belleğe alınmıyor.
Asıl ayrım imza bulunduktan sonra başlıyor. Bir dosya imzası tek başına “dosya kurtarıldı” demek için yeterli değil. RIFF uzunluğu, ZIP EOCD, SQLite sayfa bilgisi, TAR yapısı, PCAP blokları veya ISO-BMFF kutuları gibi biçimin kendi yapısal ipuçları kullanılabiliyorsa aday için sınır doğrulanıyor. Güvenilir bir bitiş çıkarılamıyorsa kayıt detected-only olarak bırakılıyor. Bu tercih, adli incelemede yanlış kesinlik üretmekten kaçınmak için bilinçli.
Aynı adli analiz hattında ses taşıyıcılarıyla ilgileniyorsanız Forensic Telephony WAVE Kod çözücü projesi tamamlayıcı bir örnektir. Algoritmanın gerekçesi ve veri kazıma sınırları Adli Bilişimde Veri Kazıma Algoritması makalesinde daha ayrıntılıdır.
Kaynak kod: GitHub Zenodo kaydı: Zenodo DOI: DOI
Dosya Kazımanın Adli İnceleme İçindeki Yeri
Bir carver yalnızca imza eşleştiren bir araç değildir; ürettiği bulgunun dosya sistemi, zaman çizgisi ve edinim zinciriyle birlikte yorumlanabilmesi gerekir. Delil muhafaza zinciri, incelenen ortamın hangi aşamalardan geçtiğini kayıt altına alırken adli zaman çizelgesi farklı kaynaklardan gelen zaman damgalarını olay sırasına yerleştirmeye yardımcı olur.
NTFS üzerinde dosya içeriği tek kanıt kaynağı değildir. Ana dosya tablosu dosya sistemi üstverisini, USN günlüğü değişiklik geçmişinin bir bölümünü, alternatif veri akışı ise ana dosya içeriğinden ayrı tutulabilen akışları temsil eder. Birim gölge kopyası, değiştirilmiş veya silinmiş bir dosyanın önceki sürümlerine ilişkin tarihsel izler sağlayabilen ayrı bir kaynak olabilir.
Dosya sistemi dışındaki kanıt kaynakları da aynı incelemenin parçasıdır. Registry hive dosyası sistem ve kullanıcı yapılandırmasının kalıcı izlerini taşırken, bellek adli analizi yalnız çalışma anında mevcut olabilecek süreç, anahtar veya bağlantı bilgisini hedefler. Ağ adli analizi ise dosya sistemindeki bulguları iletişim akışlarıyla ilişkilendirmeye yardımcı olur. Bu kaynakların her biri farklı zaman ve güvenilirlik sınırına sahip olduğundan carver çıktısını tek başına kesin olay kanıtı olarak değerlendirmem.
