Gelöscht, wiederhergestellt, Carving: zwei Angaben zu einer Datei im Auswertungsbericht
Ein forensischer Auswertungsbericht enthält zu einer Datei zwei voneinander unabhängige Angaben: in welchem Zustand sie sich im Dateisystem befand, und mit welchem Verfahren sie gefunden wurde.
Erstens der Zustand
Existiert im Dateisystem noch ein Eintrag zur Datei, sind Name, Pfad, Grösse, Zeitstempel und Benutzerkonto in der Regel lesbar. Man weiss, wo die Datei lag und in wessen Bereich.
Zweitens das Verfahren
Entweder wird eine bekannte Struktur ausgelesen, ein Dateisystem, eine Datenbank, ein Dateiformat. Oder es wird über Carving gesucht, also nach Signaturen im Rohdatenstrom, unabhängig von der Struktur.
Magnet Forensics schreibt in der Produktdokumentation zu AXIOM, über Carving gefundene Treffer seien häufig unvollständig und enthielten nur Teildaten.
Die zwei Angaben sind unabhängig voneinander
Laut derselben Dokumentation heisst Carving nicht zwingend, dass die Daten aus dem nicht zugewiesenen Speicherbereich stammen, und es heisst auch nicht, dass eine Person etwas gelöscht hat.
Cellebrite schreibt zu wiederhergestellten Datensätzen aus Datenbanken, sie könnten von einer Anwendung gelöscht worden sein, aber ebenso ältere Versionen noch vorhandener intakter Datensätze.
Der nicht zugewiesene Speicherbereich
Cellebrite und MSAB definieren ihn in ihren Glossaren gleich: der Bereich des Gerätespeichers ausserhalb des definierten Dateisystems, aus dem gelöschte Daten oder Fragmente wiederhergestellt werden können, solange sie nicht überschrieben sind.
Der Begriff kann zwei verschiedene Orte bezeichnen, den freien Bereich im Dateisystem und den freien Bereich innerhalb einer Datenbankdatei, also Freilisten, Write-Ahead-Log und Journale.
Was daraus folgt
Das ist eine grobe Übersicht. Wie diese Angaben benannt sind, welche Werte sie kennen und ob sie im erzeugten Bericht überhaupt erscheinen, hängt vom Werkzeug, von der Version und von den gewählten Einstellungen ab. Im Einzelfall ist das festzustellen und nicht anzunehmen.
Und weil im Bericht Angaben fehlen können, die in der Extraktion vorhanden sind: Fragen Sie nach der vollständigen, ungefilterten Sicherung.
Erstgespräch
Ob sich eine technische Überprüfung in einem konkreten Verfahren lohnt, lässt sich meist in zwanzig Minuten am Telefon einschätzen. Dieses Erstgespräch ist kostenlos, auch dann, wenn das Ergebnis lautet, dass sich eine Untersuchung nicht lohnt.
Grundlagen: Produktdokumentation von Magnet AXIOM zu Parsing und Carving sowie zur Deduplizierung; Beitrag von Cellebrite zum Database Viewer; Glossare von Cellebrite und MSAB zum nicht zugewiesenen Speicherbereich.