Bagaimana cara memulihkan file yang dihapus

Di dua bagian pertama dari seri ini, kami menangkap gambar suara forensik dari hard drive atau perangkat penyimpanan lain dan gambar RAM. Dalam tutorial ini, kami akan memulihkan file apa pun yang dihapus oleh tersangka.

Di antara keterampilan paling mendasar yang diperlukan untuk penyelidik forensik, memulihkan file yang terhapus mungkin adalah yang paling dasar. Seperti yang Anda ketahui, file yang "dihapus" tetap berada di media penyimpanan hingga ditimpa. Menghapus file ini hanya membuat cluster tersedia untuk ditimpa. Ini berarti bahwa jika tersangka menghapus file bukti, hingga ditimpa oleh sistem file, mereka tetap tersedia untuk kami pulihkan.

Di lab ini, kami akan menggunakan The Sleuth Kit (TSK) open-source untuk mengidentifikasi dan memulihkan file yang dihapus. Sleuth Kit pertama kali dikembangkan untuk Linux, tetapi sekarang telah diporting untuk Windows, jadi kami akan menggunakannya dengan sistem pemeriksaan Windows kami. Antarmuka GUI dikembangkan untuk TSK bernama Autopsy yang akan kita gunakan dalam tutorial ini. Anda dapat mengunduh Autopsy di sini.

Setelah menginstal Autopsy kemudian memulainya, Anda akan disambut dengan layar yang mirip dengan di atas.

Klik " Buat Kasus Baru ".

Ketika Anda melakukannya, Anda akan disambut oleh jendela baru yang meminta Anda untuk memberi nama kasus baru Anda dan direktori apa yang Anda inginkan untuk menempatkan kasus Anda. Masukkan "Kasus Baru Ctf-file" dan letakkan di direktori dasar C: \ Kasus.

 Setelah menginstal Autopsy kemudian memulainya, Anda akan disambut dengan layar yang mirip dengan di atas.

Klik " Buat Kasus Baru ".

Ketika Anda melakukannya, Anda akan disambut oleh jendela baru yang meminta Anda untuk memberi nama kasus baru Anda dan direktori apa yang Anda inginkan untuk menempatkan kasus Anda. Masukkan "Kasus Baru Ctf-fie" dan letakkan di direktori dasar C: \ Kasus.

Sekarang, tekan Next .

Ini akan membuka jendela lain yang menanyakan nomor kasus dan nama pemeriksa. Berikan nomor kasus ctf-file01 dan nama atau inisial Anda untuk penguji.

Klik " Selesai ".

Selanjutnya, klik "Add New Data di pojok kiri atas. Ketika Anda melakukannya, jendela" Add Data Source "akan terbuka. Karena kita akan menggunakan file gambar yang dibuat pada modul sebelumnya, pilih" Image File "dan kemudian Browse untuk file gambar yang Anda buat di Modul 1. Saya menyimpan gambar saya di direktori c: \ gambar forensik. Milik Anda mungkin berbeda.

Sekarang, tambahkan gambar first.image.dd.ctf-file  kita dari tutorial pertama di seri ini.

Setelah menambahkan gambar klik next dan Autopsy akan mulai melakukan analisis terhadap gambar tersebut.

Sekarang, Anda akan melihat antarmuka seperti itu di bawah ini. Perhatikan bahwa "firstimage.dd.Ctf-file" Anda akan muncul sebagai sumber data Anda.

Jika kita memperluas "Jenis File" di objek explorer, Autopsy akan menampilkan semua jenis file dan jumlah file di setiap kategori. Di bawah ini Anda dapat melihat saya mengklik jenis file "Gambar" dan Autopsi akan menampilkan semua file Gambar

Sedikit lebih jauh di bawah objek explorer, kita bisa melihat Jenis File bernama "File yang Dihapus". Saat kita klik maka akan muncul semua file yang terhapus.

Saat kami mengklik file yang dihapus, kami dapat melakukan beberapa analisis di jendela kanan bawah. Di sana Anda akan melihat tab berlabel, Hex, Strings, File Metadata, Hasil dan Teks Terindeks. Dalam hal ini, klik pada tab "File Metadata" dan itu akan menampilkan metadata file termasuk nama, jenis, ukuran, diubah, diakses dan dibuat (MAC).

Sekarang, untuk memulihkan file yang terhapus, klik kanan pada file yang terhapus dan pilih "Ekspor". Ini akan membuka jendela seperti di bawah ini.

Lanjutkan dan simpan file yang dihapus ke sub-direktori Ekspor .

Untuk menemukan file yang diekspor / dihapus, navigasikan ke;

  C: \ Kasus \ Ctf-file\ Ekspor

Sekarang Anda dapat mengklik dua kali pada file itu untuk membukanya di aplikasi yang sesuai.

 

Kesimpulan

Tersangka akan sering mencoba untuk menutupi jejak mereka dengan menghapus file bukti kunci. Kami tahu sebagai penyelidik forensik bahwa hingga file tersebut ditimpa oleh sistem file, file tersebut dapat dipulihkan. Dengan alat seperti Autopsy dan hampir semua rangkaian forensik lainnya (Encase, ProDiscover, FTK, Oxygen, dll.), Pemulihan file yang dihapus ini sangatlah mudah.

Itulah cara dari saya , terimakash telah membaca artikel ini