01Amaç ve kapsam
Özgün ortamın eksiksiz, hash ile doğrulanabilir ve başka bir inceleyicinin orijinali görmeden güvenebileceği kadar iyi belgelenmiş bir kopyasını üretmek.
Sabit diskler, katı hâl sürücüleri, USB ortamları, hafıza kartları ve sanal diskler. Mobil cihaz depolaması SOP-05 kapsamındadır.
02Ön koşullar
- Bu laboratuvarın ekipmanında test edilmiş donanım yazma engelleyici ya da doğrulanmış yazılım yazma engelleme yöntemi (bkz. SOP-10).
- Steril (silinmiş ve doğrulanmış) hedef ortam ya da doğrulanmış depolama birimi.
- Öğenin kabul kaydı ve inceleme için koruma satırı.
03Adımlar
Ortamı belgeleyin
Etiketleri fotoğraflayın; marka, model, seri numarası, beyan edilen kapasite, arabirim, jumper ya da anahtar konumlarını kaydedin. Cihazdan bildirilen sektör sayısını, sektör boyutunu ve ana bilgisayar korumalı ya da cihaz yapılandırma alanının varlığını sorgulayın; aracın bildirdiğini kaydedin.
KayıtEdinim kaydının cihaz tanımlama bölümü.
Yazma koruması üzerinden bağlayın
Ortamı yazma engelleyici üzerinden bağlayın; engelleyicinin yazma korumasının etkin olduğunu bildirdiğini doğrulayın. Asla cihazın kendi salt okunur anahtarına güvenmeyin.
KayıtEngelleyici modeli, donanım yazılımı ve durumu.
Biçim ve araç seçin
Talep raw gerektirmedikçe üst veri ve hash değerlerini gömen bir biçimi (E01/Ex01, AFF4) tercih edin. Araç adını, sürümünü ve seçilen hash algoritmalarını (en az SHA-256; talep eden bekliyorsa ek olarak MD5) kaydedin.
KayıtAraç, sürüm, biçim, sıkıştırma, parça boyutu.
Edinin
Edinimi başlatın; başlangıç zamanını (UTC) kaydedin. Her okuma hatasını sektör numaraları ve aracın ele alma biçimiyle (sıfır doldurma, yeniden deneme sayısı) not edin. Kesintiye uğratmayın; uğrarsa nedenini kaydedin ve yeni bir kayıtla yeniden başlatın.
KayıtBaşlangıç ve bitiş zamanları, hata listesi, edinim hash değeri.
Doğrulayın
İmaj verisinin hash değerini hesaplayın ve edinim hash değeriyle karşılaştırın. Raw imajlarda dosyanın hash değerini hesaplayın; E01/AFF4'te aracın doğrulamasını kullanın ve çıktısını kaydedin. Uyuşmazlık imajı geçersiz kılar; yeniden edinin.
KayıtDoğrulama hash değeri ve sonucu.
Şifreleme ve SSD özelliklerini ele alın
Şifreleme göstergelerini (BitLocker üst verisi, LUKS başlığı, FileVault) kaydedin. Kurtarma anahtarı hukuka uygun olarak mevcutsa kaynağını kaydedin ve imajda değil vaka dosyasında saklayın. SSD'ler için ortamın güç verildiğinde kendi içeriğini değiştirebileceğini not edin; sonraki kontrollerde kaynağın değil imajın hash değerini doğrulayın.
KayıtŞifreleme ve ortam notları.
Çalışma kopyalarını oluşturun ve hash değerini alın
Doğrulanmış imajı analiz deposuna kopyalayın; kopyanın hash değerini alıp karşılaştırın. İnceleme kopya üzerinde yapılır; ana imaj salt okunur saklanır.
KayıtHer kopya için dijital koruma kaydı.
04Üretilen kayıtlar
- Edinim kaydı (cihaz, araç, biçim, zamanlar, hatalar, hash değerleri, operatör)
- Doğrulama sonucu
- Ana ve çalışma kopyaları için dijital koruma kaydı
05Tuzaklar
- Bu işletim sistemi yapısında test edilmemiş bir yazılım yazma engelleyici, bağlama sırasında yazmaya izin verebilir.
- İmajlanan boyuttan büyük bir beyan edilen kapasite imajlanmamış bir alanı gösterir; kaydedin ve açıklayın.
- 'Doğrulamak' için kaynağı iki kez hash'lemek yalnızca kaynağın değişmediğini kanıtlar; imajın hash değeri alınmalıdır.
- Araç tarafından sıfırla doldurulan okuma hataları analizde gerçek sıfır gibi görünür; hata listesi imaja eşlik etmelidir.