Введение 4
1. Постановка задачи 6
2. Обзор теневой копии 7
2.1. Хронология 7
2.2. Общие сведения 8
2.3. Существующие решения 10
3. Разбор и анализ формата теневой копии 13
3.1. Хранение данных 13
3.2. Структура формата 14
3.2.1. Местоположение 14
3.2.2. Внутреннее устройство 16
3.2.3. Извлекаемая информация 20
4. Разработка компонента поддержки и анализа теневой копии 21
5. Обзор тост уведомления 24
6. Разбор и анализ тост уведомления 25
6.1. Хранение данных 25
6.2. Структура 25
6.2.1. Местоположение 25
6.2.2. Внутреннее устройство 25
6.2.3. Извлекаемая информация 26
7. Разработка компонента поддержки и анализа тост уведомления 28
Заключение 29
Список литературы 30
В современном мире с целью полного и всестороннего расследования обстоятельств совершенных преступлений и противоправных деяний зачастую прибегают к помощи компьютерного криминалистического анализа [2].
Электронные вычислительные машины (ЭВМ): компьютеры, ноутбуки, смартфоны и т.д., - а также устройства хранения информации: жесткие диски, флеш накопители и т.д., - имеющиеся у подозреваемого, в соответствии с судебным постановлением подвергаются различным видам исследований [18] в том числе, с помощью специализированных инструментов для проведения компьютерной экспертизы.
Объектами компьютерной экспертизы является совокупность хранимых на устройстве файлов, которые могут содержать интересующие данные (артефакты), и могут быть предъявлены в суде [7].
Содержащаяся в объектах исследования информация может подтвердить или опровергнуть причастность подозреваемого к совершенному деянию, а также выявить наличие у злоумышленника предметов, являющихся уликами преступления.
Файлы, представляющие непосредственный интерес для компьютерной экспертизы, можно разделить на две категории: файлы операционной системы и приложений. Во время работы операционной системы файлы первой категории постоянно модифицируются, так как в системе происходят некоторые действия, влияющие на данные файлы. К действиям, приводящим к модификации, относятся такие, как удаление или изменения файлов, установка сторонних программных продуктов, подключение или отключение внешних ЭВМ и т.д..
Одним из системных файлов является появившийся в последних версиях операционных систем Windows уведомление Toast Notification, также называемое тост уведомление (Тост). Тост представляет из себя оповещение, уведомление или событие, которое произошло в определенный момент времени с приложением или сервисом, к примеру, уведомление о получении новых сообщений в социальных сетях или в почтовых сервисах. Данные уведомления отображаются в системной области, называемой Центр Уведомлений (Action Center) [22].
В расследуемых делах, когда часть данных была удалена подозреваемым, специалист в области компьютерной экспертизы может применить различные способы восстановления утерянной информации. В тех ситуациях, когда восстановление информации не принесло желаемого результата или когда интересующие данные были перезаписаны, эксперт проводит поиск резервных копий данных или предыдущих версий утерянной информации, чтобы проанализировать их взамен отсутствующих или перезаписанных данных.
Одной из технологий резервного копирования, встроенной в современные операционные системы семейства Windows, является технология Microsoft Volume Shadow Copy Service [16], основанная на формате логического раздела Volume Shadow Copy, также называемой теневой копией (ТК). Теневая копия представляет из себя копию логического раздела на определенный момент времени в прошлом. Теневые копии могут быть полными, дифференциальными или инкрементальными [21] копиями логического раздела. Теневые копии также могут быть копиями любого логического раздела вне зависимости от файловой системы, установленной на данном разделе.
В рамках данной работы были получены следующие результаты:
• Исследована структура формата теневой копии
— Определены местоположение и внутренние элементы
— Установлена новая информация, пригодная для извлечения, и, как следствие, выявлены различные состояния теневых копий
— Выделена криминалистически значимая извлекаемая информация
• Исследована структура тост уведомления
— Определены местоположение и внутренние элементы
— Выделена криминалистически значимая извлекаемая информация
• Разработаны компоненты анализа тост уведомления и формата теневой копии, которые были интегрированы в продукт цифровой криминалистики
Дальнейшие пути развития:
• Восстановление содержимого логического раздела на момент создания теневой копии в тех случаях, когда дескриптор метаинформации и дескриптор измененных блоков данных находятся на разных логических разделах
• Реализовать восстановление не всего содержимого логического раздела на момент создания теневой копии, а лишь тех файлов и директорий, что подверглись изменениями.
