Forenzička analiza diska
Forenzička analiza diska je postupak kojim se prikupljaju, pregledavaju i tumače podaci s računala ili drugog uređaja za pohranu, uz brižno očuvanje njihove izvornosti. Cilj je doći do pouzdanih saznanja o tome što se na uređaju događalo, a da pritom ništa na disku ne bude izmijenjeno. Za one koji žele detaljnije zaći u temu, korisni su i opsežniji vodiči poput Digitalna forenzika za administratore i sigurnosne timove te Forenzička analiza u sustavima: cjelovit i praktičan vodič.
Koraci procesa
Analiza se odvija u nekoliko faza koje se nadovezuju jedna na drugu:
- Preuzimanje podataka – s diska se izrađuje potpuna kopija, uključujući i dijelove koji na prvi pogled nisu vidljivi (poput izbrisanih datoteka). Više o samom postupku preuzimanja i praćenju rukovanja dokazima može se pronaći u vodiču Digital Forensics – Evidence Acquisition and Chain of Custody.
- Pregled – kopija se detaljno pregledava kako bi se pronašli relevantni sadržaji i tragovi aktivnosti.
- Analiza – prikupljeni podaci se povezuju i tumače kako bi se dobila cjelovita slika događaja.
- Izvještaj – nalazi se sažimaju u razumljiv dokument, pisan tako da ga mogu pratiti i osobe bez tehničkog predznanja.
Svaki od ovih koraka nadovezuje se na prethodni, pa je važno da se rade pažljivo i redom.
Zašto je original nedodirljiv
Tijekom cijelog postupka radi se isključivo na kopiji diska, dok se original čuva netaknut. Na taj se način sprječava da bilo kakva greška ili slučajna izmjena utječe na izvorne podatke. Upravo zato se koriste posebni uređaji i postupci koji onemogućuju bilo kakvo pisanje na originalni medij dok se kopija izrađuje.
Praćenje tijeka rada s dokazima
Kako bi rezultati analize bili pouzdani, bilježi se tko je, kada i na koji način rukovao diskom – od trenutka preuzimanja do predaje konačnog izvještaja. Ta evidencija pomaže dokazati da s podacima nitko nije neovlašteno manipulirao. Praktične smjernice za takvo dokumentiranje mogu se pronaći i u tekstu o alatima za dijagnostiku diskova – checklisti za IT stručnjake.
Kada je disk fizički oštećen
Ponekad problem nije samo u podacima, nego i u samom uređaju – disk može proizvoditi neuobičajene zvukove, pregrijavati se ili ga sustav uopće ne prepoznaje. Detaljniji pregled znakova na koje treba obratiti pozornost dostupan je u tekstu Kako prepoznati da je disk pokvaren. U takvim je slučajevima najbolje odmah prestati koristiti disk i prepustiti ga stručnjacima koji rade u posebno zaštićenim laboratorijskim uvjetima, uz inženjerski pristup provjeri i dijagnostici nositelja podataka – kao što je opisano i u tekstu Ekspertiza tvrdog diska: inženjerski pristup verifikaciji nositelja podataka. Samostalni pokušaji popravka mogu dodatno oštetiti uređaj i trajno ugroziti podatke.
Završni izvještaj
Na kraju postupka nastaje izvještaj koji jasno i razumljivo opisuje što je pronađeno, kojim je putem do toga došlo te koja su eventualna ograničenja analize – primjerice, ako neki podaci nisu bili dostupni ili su nepovratno izgubljeni.
Kada je potrebna stručna pomoć
Kod fizički oštećenih diskova ili slučajeva u kojima je važna pouzdanost nalaza, najbolje je obratiti se iskusnom laboratoriju s odgovarajućom opremom i dugogodišnjim iskustvom u ovom području. Datarecovery (InfoLAB) djeluje od 1993. godine i raspolaže čistim prostorima namijenjenim radu s oštećenim diskovima, čime se osigurava siguran i pouzdan oporavak podataka. Za širu sliku o samom procesu oporavka podataka preporučujemo i Kompletan vodič za oporavak podataka na tvrdim diskovima.
Često postavljana pitanja
Što je potpuna kopija diska i zašto je važna?
To je preslik cijelog diska, uključujući i dijelove koji na prvi pogled nisu vidljivi, poput izbrisanih podataka. Za razliku od obične kopije koja prenosi samo vidljive datoteke, ovakva kopija čuva sve tragove potrebne za pouzdanu analizu.
Može li se analiza raditi izravno na originalnom disku?
Ne. Analiza se uvijek provodi na kopiji, dok original ostaje netaknut. Svako korištenje originalnog diska bez odgovarajuće zaštite može promijeniti podatke na njemu i time umanjiti njegovu vrijednost kao dokaza.
Koji se alati obično koriste?
Analitičari se najčešće koriste programima koji omogućuju pregled sadržaja diska, oporavak izbrisanih datoteka te slaganje kronološkog niza događaja na temelju različitih tragova pronađenih na uređaju.
Što učiniti ako je disk fizički oštećen?
Disk treba odmah isključiti iz napajanja i prepustiti ga stručnjacima koji rade u posebno zaštićenim laboratorijskim uvjetima. Vlastiti pokušaji popravka mogu dodatno oštetiti uređaj i onemogućiti oporavak podataka.
Što se sve bilježi tijekom postupka?
Bilježi se osnovna identifikacija diska, vrijeme preuzimanja, potvrda da podaci nisu izmijenjeni te podaci o svakoj osobi koja je s diskom rukovala, zajedno s kratkim opisom svake provedene radnje.
