الفرق بين الاستنساخ الجنائي والنسخ العادي:دليل المحقق الرقمي

    تنويه أمني وإخلاء مسؤولية: هذا المقال مخصص لأغراض التعليم، التوعية الرقمية، والدفاع السيبراني فقط. إن استخدام هذه الأدوات أو الاستراتيجيات خارج إطار مصرح به يُعد مخالفة للقانون. نحن نهدف إلى تمكين الأفراد والمؤسسات من فهم آليات التهديد لحماية أنفسهم.

الاستنساخ الجنائي (Forensic Imaging) مقابل النسخ المنطقي والاستكشافي (Logical Copying & Cloning): التفكيك الهندسي وآليات التحليل العميقة

في أدبيات الاستجابة للحوادث والتحقيق الجنائي الرقمي (DFIR)، يُشكل التمييز بين الاستنساخ الجنائي ذي النمط القطاعي (Bit-Stream / Sector-by-Sector Forensic Imaging) وبين النسخ المنطقي أو النسخ الاحتياطي للهيكل (Logical Copying & Volume Cloning) الحد الفاصل بين تقرير جنائي معتمد قضائياً وبين تقرير يُستبعد فوراً بقرار من المحكمة تحت بند عدم اكتمال الدليل (Incomplete Evidence) أو التحريف العرضي للبنية التحتية للمعلومات (Unintentional Artifact Alteration).

يتناول هذا التقرير الهندسي الشامل التفكيك التقني لمنطق عمل كلا الأسلوبين على مستوى المنطق العادي والسطحي (High-Level OS Data Structures) وعلى مستوى القطاعات والطبقات المنخفضة (Low-Level Storage Architecture)، مع استعراض شامل للبنى الهيكلية المخفية التي تضيع أثناء عمليات النسخ العادي، والأوامر السطرية (CLI Tools) اللازمة لاستخلاص واستنساخ هذه البيانات وفق المعايير الجنائية المعتمدة دولياً.

1. المعمارية المنطقية للنسخ العادي (Logical Copy / Disk Cloning)

التفكيك التقني لمستوى التشغيل (High-Level OS Interfacing)

عندما يعتمد المحقق المبتدئ على أدوات نظام التشغيل الاعتيادية (مثل Copy-Paste, rsync, xcopy) أو أدوات النسخ الاحتياطي التجاري (مثل Acronis أو Ghost) بنمط النسخ المنطقي، فإنه يتفاعل حتماً مع واجهة برمجة تطبيقات نظام الملفات (File System API) وليس مع وسيط التخزين الفيزيائي بشكل مباشر.

[Logical Copy / Cloning Flow]
               │
               ▼
┌──────────────────────────────┐
│ Operating System Kernel API  │
└──────────────┬───────────────┘
               │
               ▼
┌──────────────────────────────┐
│ File System Driver (NTFS/EXT4)│  <--- ignores Unallocated Space / Slack Space
└──────────────┬───────────────┘
               │
               ▼
┌──────────────────────────────┐
│ Only Allocated Clusters Read │  <--- Reads active Pointer table only ($MFT / Inodes)
└──────────────┬───────────────┘
               │
               ▼
    [Incomplete Data Output]

ما الذي يحدث خلف الكواليس أثناء النسخ المنطقي؟

استعلام برمجيات الإدخال/الإخراج (I/O Queries): يطلب نظام التشغيل من مسرد جدول الملفات (مثل جدول $MFT في NTFS أو جدول Inodes في ext4) معرفة العناوين التي تشير إلى الملفات المخصصة النشطة (Allocated Files) فقط.
تجاهل المساحات غير المخصصة: يتم تجاوز جميع المجموعات (Clusters) أو القطاعات (Sectors) المتروكة بدون مؤشر نشط، مما يعني إهمال كافة البيانات المحذوفة التي لم تتأثر بالكتابة العكسية بعد.
التأثير المباشر على طوابع الزمن (Timestamps Modification): عند نقل ملف بطريقة منطقية، يقوم نظام التشغيل بإنشاء سمات ملف جديدة (File Attributes) على قرص الوجهة. يؤدي ذلك إلى تحديث طابع وقت الاستحداث (Creation Time – $STD_INFO) وطابع وقت الوصول الآخر (Last Accessed Time) لتعكس لحظة إجراء عملية النسخ، مما يتسبب في ظاهرة تلوث التاريخ الجنائي (Timestamp Tampering) وتخريب الخط الزمني للأحداث (MACB Timeline Reconstruction).

2. الهندسة العميقة للاستنساخ الجنائي (Forensic Bit-Stream Imaging)

التفكيك التقني لمستوى المكونات الفيزيائية (Low-Level Block Access)

يتجاوز الاستنساخ الجنائي برامج ومحركات نظام التشغيل (OS Drivers/APIs). حيث تعتمد الأدوات الجنائية على القراءة المباشرة للكتل الفيزيائية (Raw Block Level I/O) لتمرير أوامر القراءة مباشرة إلى متحكم القرص (Disk Controller) بدءاً من اللوجيستي القطاعي صفر (Logical Block Address 0 – LBA 0) وصولاً إلى آخر قطاع فيزيائي مسجل على الشريحة أو القرص.

[Forensic Bit-Stream Imaging Flow]
               │
               ▼
┌──────────────────────────────┐
│ Hardware Write-Blocker (USB) │  <--- Intercepts and blocks Write Commands (ATA/NVMe)
└──────────────┬───────────────┘
               │
               ▼
┌──────────────────────────────┐
│ Direct Controller / LBA Read │  <--- Reads LBA 0 to LBA N (Linear Sector Sweep)
└──────────────┬───────────────┘
               │
               ▼
┌──────────────────────────────┐
│ Raw Bytes & Meta Structure   │  <--- Includes Allocated, Unallocated, Volume Slack
└──────────────┬───────────────┘
               │
               ▼
    [Complete Bit-Stream Image]

الأجزاء الحيوية التي يستخرجها الاستنساخ الجنائي حصراً

  [Physical Storage / Sector Array]
  ┌────────────────────────────────────────────────────────────────────────┐
  │ [Partition Table / MBR / GPT]  <-- Master Boot Record / LBA 0          │
  ├────────────────────────────────────────────────────────────────────────┤
  │ [Allocated Cluster 1] [Allocated Cluster 2]  <-- Visible Active Files  │
  ├────────────────────────────────────────────────────────────────────────┤
  │ [File Slack Space]  <-- Residual memory buffer bytes inside sector     │
  ├────────────────────────────────────────────────────────────────────────┤
  │ [Unallocated Space] <-- Deleted Files, Unreferenced Registry Artifacts │
  ├────────────────────────────────────────────────────────────────────────┤
  │ [Volume Slack / Unpartitioned] <-- Hidden space past last partition    │
  └────────────────────────────────────────────────────────────────────────┘

أ. المساحة غير المخصصة (Unallocated Space)

عندما يقوم المستخدم بحذف ملف عبر نظام التشغيل، لا يتم مسح محتويات البايتات الفعلية من القطاعات؛ بل يتم ببساطة تغيير حالة المؤشر الخاص بالملف داخل جدول النظام (مثل تغيير حالة المرجع داخل سمة $INODE_ALLOCATION أو $MFT Record من In-Use إلى Free).

في النسخ العادي: تُعتبر هذه المساحات فارغة وتُهمل.
في الاستنساخ الجنائي: يتم قراءة كل قطاع في المساحة غير المخصصة كاملاً، مما يتيح للمحقق استخدام تقنيات تنقيب البيانات (File Carving) مثل استخراج ملفات القضايا المحذوفة بناءً على الهيدرات والروافع (File Headers and Footers / Magic Bytes).

ب. مساحة الفجوات والتخزين المتبقي (File Slack & Volume Slack)

File Slack Space: تتكون التجمعات (Clusters) في أنظمة الملفات من مجموعة قطاعات (غالباً 4096 بايت للـ Cluster). إذا كان حجم الملف المراد كتابته 1000 بايت فقط، فإن نظام التشغيل يخصص له Cluster كاملاً (4096 بايت)، ويتبقى 3096 بايت غير مستغلة وتسمى Slack Space. هذه المساحة المتبقية قد تحتوي على بقايا بيانات قديمة تم سحبها من الذاكرة العشوائية (RAM Slack) أو بيانات ملفات سابقة تم مسحها جزئياً.
Volume Slack Space: هي القطاعات الفيزيائية المتبقية بين نهاية آخر تقسيم منطقي (Partition Boundary) والنهاية الفيزيائية الفعلية للقرص الصلب. تستخدم بعض البرمجيات الخبيثة والجهات المهاجمة هذه المساحة لإخفاء أدوات الهجوم أو مساحات التخزين السرية (Volume Slack Hiding) بعيداً عن عين نظام التشغيل.

ج. الملفات الهيكلية والنظامية المخفية (Hidden System Artifacts)

يشمل الاستنساخ الجنائي كافة الهياكل غير المعروضة للمستخدم، مثل:

ملف السبات (Hibernation File – hiberfil.sys): تفريغ كامل للذاكرة العشوائية RAM لحظة دخول الجهاز في حالة السبات، ويحتوي على مفاتيح تشفير، كلمات مرور، وسجلات محادثات سابقة.
ملف الصفحات التبادلية (Pagefile / Swapfile – pagefile.sys): امتداد للذاكرة العشوائية على القرص التخزيني، ويحتوي على أجزاء غير مسحوبة من البرامج التنفيذية والمحتويات المفتوحة.
سجلات التغييرات والـ Transaction Logs: مثل ملفات $LogFile و$UsnJrnl في NTFS والتي تسجل كل عملية تعديل أو نقل تم على نظام الملفات.

3. التحليل المقارن العميق (Forensic & Technical Comparison)

يقارن الجدول التالي الفروقات التقنية والدلائل الإجرائية بين الأسلوبين:

وجه المقارنة التقني	النسخ المنطقي والاستكشافي (Logical Cloning)	الاستنساخ الجنائي (Forensic Imaging)
مستوى القراءة (Read Abstraction)	مستوى نظام التشغيل الواجهي (OS File API Level).	مستوى الكتل والقطاعات الفيزيائية (Low-Level LBA Sector Read).
استخراج المحذوفات (Deleted Recovery)	مستحيل (يستثني المساحات غير المخصصة).	مدعوم بالكامل (يقرأ $Unallocated و Volume/File Slack).
تأثير طوابع الزمن (Timestamps)	يغير طوابع Access/Creation للملفات المنقولة.	يحافظ على كل Bit وعلى هيكلية MACB دون أدنى تغيير.
التحقق من السلامة (Integrity)	يعتمد على فحص حجم الملفات أو الـ Hashes الفردية.	يعتمد على خوارزميات Hash مدمجة ومتقاطعة لجميع القطاعات (Full Volume Hash Verification).
دعم حواجز الكتابة (Write Blocker)	غير إجباري وغالباً يُنفذ عبر واجهات تتأثر بالكتابة.	يتطلب وجود حاجب كتابة مادي (Hardware Write-Blocker) معتمد.
القابولية القضائية (Admissibility)	ضعيفة ومحل طعن مستمر لاستثنائها أدلة وتعديلها للميتا-بيانات.	معيار قياسي ذهبي متوافق مع ISO/IEC 27037 ومعايير NIST.
مخرجات العملية (Output Formats)	مجلدات ملفات، صيغ ضغط مثل `.zip` أو `.vhd`.	صيغ جنائية متخصصة مثل `.E01` (Expert Witness), `.RAW/.DD`, `.AFF`.

💻

هل تود احتراف تحليل الأدلة الرقمية وكشف ملابسات الاختراقات؟

تعلم أحدث منهجيات التحقيق الجنائي في أنظمة التشغيل، تتبع الآثار الخفية، واستخراج الأدلة الثبوتية باحترافية عالية.

🚀 انضم اليوم إلى دورة التحقيق الجنائي الرقمي وابدأ بناء خبرتك العملية في تحليل الأدلة.

سجل الآن في الدورة

4. التشريح الهيكلي لصيغة Expert Witness Format (E01)

تُعتبر صيغة E01 (Expert Witness Format) المعيار الصناعي المفضل عالمياً في التحقيقات الجنائية الرقمية بالمقارنة مع الصيغ الخام (RAW/DD). فيما يلي الهيكل الداخلي لصيغة E01 الذي يضمن حماية الدليل وتأكيده:

┌─────────────────────────────────────────────────────────────┐
│                    E01 FILE ARCHITECTURE                    │
├─────────────────────────────────────────────────────────────┤
│ HEADER BLOCK:                                               │
│  - Case Number, Evidence ID, Examiner Name                  │
│  - Acquisition Date & Time, Source Device Model/Serial      │
│  - System Environment Notes                                 │
├─────────────────────────────────────────────────────────────┤
│ DATA CHUNKS (64 Sectors / Block):                           │
│  ┌───────────────────────────────────────────────────────┐  │
│  │ Chunk 1 Data (Compressed or Uncompressed)             │  │
│  │ Chunk 1 CRC32 Checksum                                │  │
│  ├───────────────────────────────────────────────────────┤  │
│  │ Chunk 2 Data (Compressed or Uncompressed)             │  │
│  │ Chunk 2 CRC32 Checksum                                │  │
│  ├───────────────────────────────────────────────────────┤  │
│  │ ...                                                   │  │
│  └───────────────────────────────────────────────────────┘  │
├─────────────────────────────────────────────────────────────┤
│ FOOTER / VERIFICATION BLOCK:                                │
│  - Full Evidence Image Hash (MD5 & SHA-1)                   │
│  - Total Sector Count & Block Alignment Map                 │
└─────────────────────────────────────────────────────────────┘

الأسباب الجنائية لتفضيل صيغة E01

التوثيق الذاتي (Embedded Metadata): يُدمج ملف الترويسة (Header) رقم القضية، اسم المحقق، الوصف الجنائي، وسلسلة الحيازة مباشرة داخل ملف الصورة دون الحاجة لملفات نصية خارجية قابلة للتعديل أو الضياع.
التحقق من السلامة على مستوى الكتل (Block-Level Verification): تُقسم صيغة E01 البيانات إلى كتل صغيرة (Chunks)، وتلحق بكل كتلة بصمة CRC32 Checksum. في حال حدوث تلف جزئي في وسيط التخزين الذي يحفظ الصورة الجنائية، يتم تحديد الكتلة التالفة بدقة دون خسارة بقية الصورة الجنائية بالكامل.
الضغط التكيفي (Adaptive Compression): تسمح E01 بضغط القطاعات الفارغة دون التعديل في بنيتها، مما يقلل الحجم الإجمالي لصورة الأقراص الكبيرة (مثل أقراص 2TB+) مع الاحتفاظ بإمكانية استعادة الصورة الخام الأصلية عند إلغاء الضغط.
التكامل التلقائي للبصمة (Embedded Final Hash): يُحفظ الـ Hash النهائى الخاص بالقرص الأصلي داخل الترويسة السفلية (Footer) مع قفل الملف لتجنب أي إمكانية للتلاعب دون كسر البصمة التشاركية.

5. التطبيقات العملية والأوامر السطرية (Practical Hands-On CLI)

تُبرز الممارسات التالية كيفية تنفيّذ الاستنساخ الجنائي ومقارنته بالأمر السطري على محطات التحقيق المتقدمة.

أ. إنشاء صورة جنائية خام (RAW/DD) وحساب البصمة لحظياً باستخدام `dc3dd`

تتميز أداة dc3dd الجنائية بالقدرة على حساب الـ Hash للقرص المصدر أثناء عملية القراءة والنسخ، وتوليد تقرير جنائي موثق.

Bash

# تنفيذ الاستنساخ الجنائي لقرص التخزين المصدر (/dev/sdb) إلى ملف صورة raw
# مع حساب بصمة SHA-256 و MD5 على الهواء مباشرة وإنشاء سجل أحداث تنفيذي
dc3dd if=/dev/sdb of=/forensics/evidences/CASE_2026_ITEM1.raw \
      hash=sha256 hash=md5 \
      log=/forensics/evidences/acquisition_CASE_2026.log \
      rec=off status=on

ب. إنشاء صورة جنائية بصيغة E01 باستخدام `ftkimager` عبر CLI

الأداة الميدانية الأكثر اعتماداً لإنشاء ملفات E01 مقسمة ومضغطية جنائياً:

Bash

# إنشاء صورة E01 مقسمة إلى أجزاء بحجم 2000 ميجابايت مع التوثيق الكامل والضغط
ftkimager /dev/sdb /forensics/evidences/CASE_2026_DRIVE_A --e01 \
          --e01-fragment-size 2000M \
          --e01-compress 6 \
          --case-number "2026-DFIR-9081" \
          --evidence-number "EVD-01-SDB" \
          --examiner "Senior_Investigator" \
          --description "Investigative Acquisition of Suspect Drive" \
          --verify

ج. مطابقة وتدقيق سلامة البصمة (Hash Verification Execution)

بعد اكتمال الاستنساخ، يُنفذ المحقق عملية مطابقة بين بصمة المصدر الفيزيائي (المأخوذة عبر حاجب الكتابة) وبصمة ملف الصورة المستخرج:

Bash

# 1. استخراج الـ SHA-256 الخاص بملف الصورة الجنائية
sha256sum /forensics/evidences/CASE_2026_ITEM1.raw > /forensics/evidences/image_hash.sha256

# 2. قراءة الـ Hash المسجل في التقرير الجنائي ومطابقته
cat /forensics/evidences/acquisition_CASE_2026.log | grep -i "sha256"

# 3. استخدام أمر المقارنة الشرطي للتأكد
cmp -b /forensics/evidences/image_hash.sha256 /forensics/evidences/source_hash.sha256 && echo "EVIDENCE INTEGRITY VERIFIED: MATCH" || echo "CRITICAL ERROR: HASH MISMATCH!"

6. سيناريو تفاعلي عملي (Incident Response Case Study)

السيناريو

أثناء الاستجابة لحادثة اختراق وتشفير بيانات (Ransomware Attack) داخل مؤسسة صحية، حاول الفني المبتدئ نسخ مجلدات النظام المصاب يدوياً على قرص خارجي لحفظ الأدلة. وعند تحليل النسخة المنقولة يدوياً، تبين اختفاء الأداة التي استخدمها المهاجم لإسقاط الحماية (Dropper) بالكامل.

خطوات التدخل والإنقاذ الجنائي (Forensic Intervention Flow)

1.التأمين الفوري وتثبيت حالة القرص:منع أي عمليات كتابة وإيقاف التلوث.

تم إيقاف الجهاز فورياً وفصل قرص التخزين المصاب.
توصيل القرص المصاب بمحطة الفحص الجنائي عبر حاجب كتابة مادي (Tableau T8u Forensic USB 3.0 Bridge).
التحقق المادي من تفعيل خيار الحماية ضد الكتابة (Write-Block LED: RED/ACTIVE).

2.إجراء الاستنساخ الجنائي ذي النمط القطاعي: سحب القطاعات كاملة دون استثناء.

تشغيل أداة ftkimager لخلق صورة جنائية كاملة بصيغة E01:

Bash

ftkimager /dev/sdc /evidence/Ransomware_Drive.E01 --e01 --verify

توثيق قيم الـ Hash المزدوجة (MD5 و SHA-256) وإيداع القرص الأصلي داخل الخزنة المصفحة للتحرز عليه.

3.التحليل العميق واستعادة الأدلة المخفية (Carving):تطبيق التنقيب الجنائي واستخراج المحذوفات.

تم تحميل الصورة الجنائية Ransomware_Drive.E01 داخل بيئة معزولة شبكياً (Air-Gapped).
إجراء عملية تنقيب البيانات (File Carving) على المساحة غير المخصصة (Unallocated Space) باستخدام أداة Scalpel أو Bulk_Extractor:

Bash

# تنقيب عن الملفات التنفيذية المحذوفة (PE Files) في المساحة غير المخصصة
bulk_extractor -o /analysis/output_extracted/ -E wordlist /evidence/Ransomware_Drive.E01
scalpel -c scalpel.conf -o /analysis/carved_files/ /evidence/Ransomware_Drive.E01

النتيجة الجنائية: تم العثور على أداة الهجوم (الـ Dropper Executable) مخزنة داخل قطاعات المساحة غير المخصصة، والتي حُذفت تلقائياً بواسطة البرمجية الخبيثة فور تنفيذ التشفير لمسح آثارها. كان النسخ المنطقي التقليدي سينسخ الملفات المشفرة فقط ويتجاهل هذا الدليل المفصلي تماماً.

7. الخلاصة والممارسات التشغيلية (Executive Forensic Takeaways)

تُثبت الممارسة الميدانية أن الاستنساخ الجنائي ليس مجرد خيار تقني متقدم، بل هو الركيزة الإجرائية الأولى لتأسيس حرز رقمي سليم.

النسخ العادي (Logical Copy) أداة أمنية مخصصة للنسخ الاحتياطي وإدارة الأنظمة، واستخدامها في بيئة الجنايات يعتبر خطأً جسيماً يتسبب في ضياع الأدلة المحذوفة وتغيير الميتا-بيانات.
الاستنساخ الجنائي (Forensic Imaging) هو العملية الوحيدة التي تضمن الحفاظ على النسخة المطابقة للبتات (Bit-Stream Copy)، وتضمن استعادة الأدلة المخفية داخل الـ Unallocated Space والـ Slack Space.
الاعتماد الدائم على صيغة E01 يمنح التحقيق موثوقية عالية بفضل الترويسات الموثقة، والتجميع الخانات المقسمة بحماية CRC32، والـ Hashes المدمجة التي تحجب أي ادعاء بالتلاعب من قبل أطراف الدفاع.