هو عمليّة جمع أكبر قدر للمعلومات والأدلّة من أجهزة الأشخاص المشتبه بهم للوصول الى الملفات المخفيّة واسترجاع الملفّات الّتي تم حذفها مسبقاً يتضمّن ذلك معرفة المواقع التي قام المشتبه به بفتحها واستخراج كلمات مرور الحسابات المخزّنة بالنظام.
التحقيق الجنائي الرقمي هو قسم لا يستهان به من الهاكر, الدخول به يتطلّب معرفة قويّة بعدّة أمور بدءً من كيفية عمل القرص الصلب وأنظمة الملفات المختلفة
وكيف تقوم هذه الأنظمة بتخزين وأرشفة الملفّات, فك التشفير وكسر الخوارزميات, انتهاءً بمعرفة الأمور المتقدّمة والمنخفضة المستوى بأنظمة التشغيل وكيف يمكننا الوصول لمعلومات تفيدنا في تعقّب المشتبه به ومعرفة الأمور التي نفّذها على النظام.
قد يسأل شخص كيف يمكن استرجاع الملف بعد حذفه؟ لقد قمت بحذفه وافراغ سلّة المحذوفات أيضاً!
مهمّة التعامل مع الهارد هي وظيفة نظام التشغيل الذي تستخدمه وهذا الأمر يختلف بحسب نوع نظام الملفات المستخدم. حذفك للملف من النظام ليس بالضرورة يعني أنّه حذف من الهارد, قد يظهر النظام أنه حذف الملف وأزال اسمه من مستعرض الملفات لكن فعليّاً محتوياته مازالت موجودة ولم يتم الكتابة فوقها بعد ويمكن بقليل من الجهد عن طريق استخدام برامج وأدوات مختلفة استرجاع الملفّات التي قمت بحذفها. لأوضّح الفكرة أكثر لنفرض أنك تملك هارد بسعة250 GB وقمت باستخدامه بشكل شبه كامل ثم قررت حذف 150 GB من الملفّات المخزّنة عليه, ماهي المدّة التي استغرقها نظام التشغيل لحذفهم؟ بضع ثوان صحيح؟ لماذا يستهلك نسخ 150 GB الى الهارد أضعاف أضعاف ذلك؟ ببساطة لأنك عندما حذفت الملفات حتى بعد افراغ سلّة المحذوفات النظام أزال أرشفتهم فقط ولم يقم بازالة محتوياتهم من الهارد وعندما تقوم بتعبئة الهارد مرّة أخرى سيتم الكتابة مكان الأماكن السابقة.
ماذا لو تم فرمتة FORMATAGE الهارد كاملاً؟ هل من الممكن استعادة الملفات المحذوفة؟
فرمتة الهارد بشكل سريع تستغرق ثوان فقط! وفعليّاً هي لاتقوم بحذف شيء من الهارد بل تقوم باعداد جداول جديدة للأرشفة حسب نظام الملفات الذي اخترته وهذا يعني أننا نستطيع استرجاع الملفّات أيضاً حتى بعد الفرمتة, الا اذا استخدمت أدوات تقوم بـ “تصفير” الهارد أو كتابة معلومات عشوائية على كامل مساحة الهارد ثم فرمتته من جديدة, بهذه الحالة فقط لم يعد هنالك مجال لاستعادة المعلومات لأنها لم تعد موجودة أساساً. في التحقيق الجنائي بالدول المتقدّمة (لا أعلم ان كان هذا الاختصاص موجود عربياً؟) غالباً يتم عمل نسخة طبق الأصل من الهارد باستخدام جهاز مخصص لهذه العمليّة
(الجهاز ينسخ كل byte من الهارد وليس الملفات التي يظهرها نظام التشغيل فقط) ثم يتم استخدام برامج وأدوات خاصّة لمعرفة محتويات الهارد بشكل كامل واسترجاع الملفات التي تمّ حذفها سابقاً, لا يتم التعامل مع الهارد الأصلي بشكل مباشر ولا يتم العمل على نظام التشغيل المنصّب الّا من النسخة المأخوذة لكي لا يتم تغيير أي شيء أو تخريب الأدلّة والمعلومات الموجودة فيه.
ليس من الضروري استخدام الطريقة السابقة دائماً ففي الوقت الحالي أصبح بامكاننا استخدام احدى توزيعات نظام لينوكس للعمل من LiveCD واستخراج المعلومات التي نحتاجها وتخزينها على ذاكرة USB دون الحاجة لتشغيل النظام المنصّب بالجهاز أو تعديل أي شيء بالهارد لأن أنظمة التشغيل التي تعمل من LiveCD أكبر خطأ في التحقيق الجنائي الرقمي هو تشغيل النظام المنصّب على الجهاز والعمل عليه مباشرة دون أخذ نسخة كاملة للهارد فاذا كان المتهم يملك خبرة برمجية بسيطة يستطيع برمجة برنامج يقوم بحذف الملفات بشكل تلقائي عند بدء التشغيل في حال لم تدخل كلمة مرور معيّنة أو توقف عمل البرنامج بعد بضع ثوان من بدء التشغيل مثلاً كذلك الأمر مع كلمات المرور فيمكن للمهاجم استخدام برنامج يقوم بفعل معيّن في حال أدخلت كلمة مرور خاطئة أو في حال أدخلت كلمة مرور مكشوفة! مخصصة لهذا الغرض
Aucun commentaire:
Enregistrer un commentaire