File Carving
Auch bekannt als:Dateicarving · Datenrekonstruktion
File Carving: Wiederherstellung von Dateien aus Rohdaten anhand ihrer Signaturen, ohne Dateisystem-Metadaten. Das Verfahren gehört zum Kernwerkzeug der digitalen ForensikDigital ForensicsSichert und analysiert digitale Spuren zur Rekonstruktion sicherheitsrelevanter Ereignisse..
Funktionsweise und Einordnung
Carving ignoriert die Verwaltungsstrukturen des Dateisystems und sucht stattdessen im Datenstrom nach charakteristischen Kopf- und Endmarkierungen: PK\x03\x04 für ZIP, %PDF für PDF, \x89PNG mit IEND als Abschluss. Alles zwischen Anfangs- und Endsignatur wird als Datei extrahiert. Das funktioniert auf gelöschten Bereichen, unpartitioniertem Speicher, Speicherabbildern und Netzwerkmitschnitten gleichermaßen. Der klassische Fund ist eine vollständige Datei, die hinter dem regulären Ende einer anderen Datei angehängt wurde.
Bedeutung in der Praxis
Grenzen setzt die Fragmentierung: Liegt eine Datei nicht zusammenhängend, liefert einfaches Carving nur Bruchstücke. Ebenso erschweren komprimierte oder verschlüsselte Container die Signaturerkennung. Im Untersuchungsablauf steht Carving nach der Sicherung eines forensischen AbbildsForensic ImageBitgenaue Kopie eines Datenträgers zur beweissicheren Analyse. und ergänzt, aber ersetzt nicht die Auswertung der Dateisystem-Metadaten, aus denen sich Zeitstempel und Zugriffsverläufe ergeben.
Verwandte Begriffe
- Digital ForensicsDigital ForensicsSichert und analysiert digitale Spuren zur Rekonstruktion sicherheitsrelevanter Ereignisse.: Sichert und analysiert digitale Spuren zur Rekonstruktion sicherheitsrelevanter Ereignisse.
- Forensic ImageForensic ImageBitgenaue Kopie eines Datenträgers zur beweissicheren Analyse.: Bitgenaue Kopie eines Datenträgers zur beweissicheren Analyse.
- Evidence PreservationEvidence PreservationKontrollierte Sicherung und Erhaltung von Beweismitteln ohne Beeinträchtigung ihrer Integrität.: Kontrollierte Sicherung und Erhaltung von Beweismitteln ohne Beeinträchtigung ihrer Integrität.
- SteganografieSteganografieVerbergen von Informationen in unauffälligen Trägerdaten, sodass ihre Existenz nicht erkennbar ist.: Verbergen von Informationen in unauffälligen Trägerdaten, sodass ihre Existenz nicht erkennbar ist.