Detta papper undersöker användningen av ändamålsbyggda funktioner och kryptografisk hassel av små datablock för att identifiera data i sektorer, filfragment och hela filer. Den introducerar och definierar begreppet "en distinkt" disksektor som sannolikt inte kommer att existera på annat håll än som en kopia av originalet. Tekniker presenteras för förbättrad detektion av JPEG, MPEG och komprimerade data; för snabb klassificering av det rättstekniska innehållet i en enhet med hjälp av slumpmässig provtagning; och för snidning data baserat på sektor hash. 2010 års workshop för digital rättsmedicinsk forskning. Publicerad av Elsevier Ltd. Alla rättigheter förbehållna. Mycket av datorteknisk praxis har fokuserat på återvinning av filer från media och upprättandet av tidslinjer. I detta dokument presenteras forskning inom området analys av bulkdata, och särskilt inom kriminalteknik för små datablock. Det finns ett växande behov av automatiserade tekniker och verktyg som fungerar på bulkdata, och särskilt på bulkdata på blocknivå: Filsystem och filer kanske inte kan återvinnas på grund av skador, mediafel, partiell överskrivning eller användning av ett okänt filsystem. Det kan finnas otillräcklig tid för att läsa hela filsystemet, eller ett behov av att bearbeta data parallellt. Filens innehåll kan krypteras. Trädstrukturen i filsystem gör det svårt att parallellisera många typer av kriminaltekniska operationer. Alla dessa problem kan lösas genom användning av små block kriminalteknik. När enskilda filer inte kan återställas, kan små block tekniker användas för att analysera filfragment. När det inte finns tillräckligt med tid för att analysera hela disken, små block tekniker kan analysera ett statistiskt signifikant prov. Dessa tekniker gör också att en enda diskavbildning kan delas upp i flera bitar och bearbetas parallellt. Slutligen, eftersom varje block av en krypterad fil är distinkt, blocknivå tekniker kan användas för att spåra förflyttningen av krypterade filer inom en organisation, även när filerna själva inte kan dekrypteras, eftersom varje block av varje välkrypterad fil bör vara distinkt. I detta dokument introducerar vi en strategi för att utföra små block kriminalteknik. En del av detta arbete är baserat på block hash beräkningardthat är, beräkningen av kryptografisk hash på enskilda block av data, snarare än på hela filer. Andra arbeten grundar sig på analys av bulkdata vid granskning av datablock för specifika egenskaper eller egenskaper oberoende av filgränser. Även om vi diskuterar dessa tekniker i samband med filer, kan de tillämpas med samma giltighet som data från minnesbilder och från datornätverk på antingen nivån för IP-paket eller återmonterade TCP-strömmar.
REF utförde kriminalteknisk analys på block- och sektorsnivå.
Using purpose-built functions and block hashes to enable small block and sub-file forensics
{'venue': None, 'journal': 'Digital Investigation', 'mag_field_of_study': ['Computer Science']}