Informática Forense · Linux

Recuperação forense de ficheiros apagados no sistema de ficheiros ext4 – Possibilidades e limites da reconstrução

Ao apagar um ficheiro no sistema de ficheiros ext4, normalmente apenas a entrada correspondente no diretório e a referência do inode são removidas inicialmente, enquanto os blocos de dados propriamente ditos podem permanecer até serem sobrescritos. Em princípio, isto abre possibilidades para a reconstrução forense.

Pedido de informação sem compromisso

No entanto, as perspetivas reais de sucesso dependem de vários fatores, entre os quais o tempo decorrido desde a eliminação, a atividade de gravação do sistema, o modo de registo e a eventual utilização do SSD-TRIM.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Analisamos restos de inodes, entradas do diário e blocos de dados não sobrescritos para reconstruir ficheiros apagados, na medida do tecnicamente possível, documentando de forma transparente as limitações existentes.

Áreas de aplicação típicas

•Recuperação de dados empresariais apagados acidentalmente
•Investigação de tentativas deliberadas de extinção antes da preservação de provas
•Reconstrução de ficheiros de registo e de configuração apagados
•Apoio nas investigações de resposta a incidentes
•Resposta a incidentes em sistemas Linux
•Pareceres judiciais e extrajudiciais

É assim que funciona a recuperação de ficheiros ext4 apagados

Após a cópia de segurança, verifica-se, em primeiro lugar, se ainda existem resíduos relevantes de inodes e do diário. Em seguida, identificam-se os blocos de dados que não foram sobrescritos e, na medida do possível, atribuem-se aos ficheiros originais. O sucesso deste processo é sempre avaliado em função do SSD-TRIM, da configuração do diário e do tempo decorrido.

Por que razão a recuperação é relevante do ponto de vista forense?

Os ficheiros apagados podem conter provas decisivas, especialmente quando a eliminação foi feita de forma deliberada com o objetivo de ocultar informações. A sua reconstrução é, por isso, uma componente essencial de muitas investigações forenses.

Ninguém pode, com seriedade, garantir o sucesso antes de o suporte de dados ter sido analisado do ponto de vista técnico. Em particular, no caso dos SSDs com a função TRIM ativa, os conteúdos apagados podem perder-se irremediavelmente mesmo num curto espaço de tempo.

Perguntas frequentes

É sempre possível recuperar ficheiros apagados no sistema de ficheiros ext4?+
Não. As possibilidades dependem da configuração do registo, da atividade de gravação, do SSD-TRIM e do tempo decorrido desde a eliminação.
Do ponto de vista técnico, o que acontece quando se apaga um ficheiro no sistema de ficheiros ext4?+
Normalmente, a entrada do diretório e a referência do inode são removidas em primeiro lugar, enquanto os blocos de dados podem permanecer até serem sobrescritos.
O SSD-TRIM reduz as hipóteses de sucesso?+
Sim, a função TRIM pode fazer com que os blocos de dados marcados como apagados sejam efetivamente esvaziados fisicamente em breve, o que dificulta ou impede a sua recuperação.

🔗 Temas relacionados

LanCologne – Análise Forense do Linux em Colónia

Precisa de uma análise forense profissional sobre a „recuperação forense de ficheiros apagados no sistema de ficheiros ext4"? A LanCologne presta-lhe apoio na obtenção de provas digitais com validade judicial, bem como na análise rastreável de artefactos relevantes do Linux.

Entre em contacto connosco agora