ماذا ستتعلم في هذه الغرفة؟

• فهم مفهوم تقنية File Carving وتطبيقاتها الجنائية عند تلف نظام الملفات أو فرمتة القرص.

• استخراج الملفات المحذوفة مباشرة من القطاعات التخزينية المباشرة دون الاعتماد على الفهارس أو جداول نظام الملفات.

• استخدام أدوات التحقيق الشهيرة PhotoRec و Foremost لاستعادة البيانات.

• التعامل مع مشكلة تشتت الملفات (Fragmentation) وتقييم أثرها على جودة الملفات المسترجعة.

محتوى الدرس:

عند حظر أو حذف الملفات أو عند فرمتة وسائط التخزين، تُحذف الإشارات والبيانات الوصفية الخاصة بها من جدول نظام الملفات (مثل MFT أو FAT)، ولكن تبقى محتويات الملف المادية موجودة في المساحات غير المخصصة (Unallocated Space). هنا يأتي دور تقنية File Carving لمسح القرص قطاعاً بقطاع واستخراج الملفات بناءً على تواقيعها الرقمية.

1. مفهوم تقنية File Carving: هي عملية البحث المباشر في القطاعات الخام (Raw Sectors) للقرص للتعرف على بداية الملفات ونهايتها باستخدام الـ Magic Bytes (Header & Footer)، وتجميع البايتات المحصورة بينهما لإعادة بناء الملف دون الحاجة لجدول نظام الملفات.

2. الأداة الأولى: Foremost:

• المفهوم: أداة سطر أوامر مفتوحة المصدر طُورت في الأصل بواسطة مكتب التحقيقات الخاص بالقوات الجوية الأمريكية (AFOSI).

• طريقة العمل: تعتمد على ملف إعدادات (foremost.conf) يتضمن التواقيع الرقمية للرأس والذيل لمختلف صيغ الملفات.

• الأمر الأساسي: foremost -t jpeg,pdf,zip -i evidence.dd -o /home/analyst/output

3. الأداة الثانية: PhotoRec:

• المفهوم: أداة قوية وشهيرة تعتمد على واجهة نصية تفاعلية (Text-based UI) وتدعم استرجاع أكثر من 480 صيغة ملفات مختلفة.

• المميزات: تتجاهل نظام الملفات تماماً مما يجعلها تعمل بكفاءة حتى لو كان القرص معطوباً بالكامل أو تم إعادة تهيئته (Formatted Drive).

4. التحديات الجنائية (Carving Challenges):

• تشتت الملفات (Fragmentation): إذا كانت أجزاء الملف غير متتالية على القرص، فإن الأدوات التقليدية تسترجع ملفات معطوبة أو متداخلة.

• فقدان أسماء الملفات ومساراتها: نظراً لعدم الاعتماد على جداول نظام الملفات، تقوم أدوات الـ Carving بتوليد أسماء عشوائية للملفات المسترجعة (مثل f0012344.jpg).