SFT 0105-2021 存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像技術(shù)規(guī)程-PDF解密

SFCodeofpracticeforforensicimagingofstoragemediaI II 1 1 1 1 2 3 3 6 71存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像技術(shù)規(guī)程本文件適用于司法鑒定/法庭科學(xué)領(lǐng)域中存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像的獲GA/T1476—2018法庭科學(xué)遠(yuǎn)程主機(jī)數(shù)據(jù)獲取3.23.3從數(shù)據(jù)源復(fù)制生成的，可重新構(gòu)建數(shù)據(jù)源數(shù)據(jù)比特流的一個(gè)或一組3.4存儲(chǔ)介質(zhì)中由物理故障導(dǎo)致的無法讀取的數(shù)據(jù)3.53.64縮略語2ATA高級(jí)技術(shù)附件（AdvancedTechnologyAttachmenBIOS基本輸入輸出系統(tǒng)（BasicInput/OutputSystem）DCO設(shè)備配置覆蓋區(qū)（DeviceConfigurationOveFC光纖通道（FiberChanHPA主機(jī)保護(hù)區(qū)（HostProtectedAreIDE集成磁盤電子接口（IntegratediSCSI基于因特網(wǎng)的小型計(jì)算機(jī)系統(tǒng)接口（InterPCIe外設(shè)組件互連快線（PeripheralComponentInterconnectExpresRAID獨(dú)立磁盤冗余陣列（RedundantArrayofIndependentDiSAS串行小型計(jì)算機(jī)系統(tǒng)接口（SerialAttacSATA串行高級(jí)技術(shù)附件（SerialAdvancedTechnologyAttacSCSI小型計(jì)算機(jī)系統(tǒng)接口（SmallComputerSystemInteTPM可信平臺(tái)模塊（TrustedPlatformMUSB通用串行總線（UniversalSerialB5儀器設(shè)備存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像獲取和使用所涉及的硬件設(shè)備包括但不限b)存儲(chǔ)介質(zhì)復(fù)制設(shè)備；h)免拆機(jī)硬盤復(fù)制工具；n)數(shù)碼照相機(jī)/物證翻拍儀；5.2軟件存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像獲取和使用所涉及的軟件工具包括但不限b)具備鏡像獲取功能的軟件；36.1常規(guī)鏡像獲取方式a)將源存儲(chǔ)介質(zhì)從所在電子設(shè)備上斷開；b)準(zhǔn)備目標(biāo)存儲(chǔ)介質(zhì)并對(duì)其進(jìn)行清潔性檢查；6.2免拆機(jī)鏡像獲取方式不滿足常規(guī)鏡像獲取方式條件時(shí)，可選用以下方式進(jìn)行免拆d)外部加載獲取方式：將源存儲(chǔ)介質(zhì)所在的電子設(shè)備作為外部存儲(chǔ)介質(zhì)連接至檢驗(yàn)7.1準(zhǔn)備階段）；6)火線（FireWire）接口（1394A、7)USB接口（USB-A、USB-B、USB-C）及其衍4d)無法讀?。喝繑?shù)據(jù)區(qū)域均無法讀7.1.2.2包含源存儲(chǔ)介質(zhì)的電子設(shè)備處于運(yùn)行狀態(tài)時(shí)，如需斷開電源，應(yīng)先確認(rèn)源存儲(chǔ)介質(zhì)的加密情7.1.3.1滿足以下全部條件時(shí)，適用常規(guī)鏡像獲a)斷電或關(guān)機(jī)可能導(dǎo)致數(shù)據(jù)源無法訪問；d)源存儲(chǔ)介質(zhì)具有特殊的數(shù)據(jù)接口或特殊的數(shù)據(jù)組成方式等，使用常規(guī)鏡像獲取方7.1.4.2宜選用存儲(chǔ)介質(zhì)原有接口連接至檢7.1.4.5使用分線器擴(kuò)展接口時(shí)，宜選用獨(dú)立供電的7.1.4.7檢驗(yàn)設(shè)備運(yùn)行過程中應(yīng)確保全程持續(xù)穩(wěn)定供電，并關(guān)閉自動(dòng)休眠、屏幕保護(hù)程序等可能產(chǎn)生7.1.5.1鏡像獲取前，應(yīng)確保目標(biāo)存儲(chǔ)介質(zhì)或存儲(chǔ)目標(biāo)鏡像文件的位置有充足的可用空7.1.5.2鏡像目標(biāo)的格式及壓縮、分段、加密等特性的選擇可根據(jù)鏡像源、存儲(chǔ)位置、檢驗(yàn)設(shè)備情況7.2各類存儲(chǔ)介質(zhì)的鏡像獲取7.2.1.2若檢驗(yàn)要求關(guān)注隱藏?cái)?shù)據(jù)，應(yīng)對(duì)隱a)禁用檢驗(yàn)設(shè)備自動(dòng)掛載分區(qū)（卷）的功能；b)使用具備禁用自動(dòng)掛載功能的引導(dǎo)盤以引導(dǎo)獲取方式獲取鏡像；c)使用工廠訪問模式(FactoryAccessMode)獲取57.2.3.2不宜將源存儲(chǔ)介質(zhì)與目標(biāo)7.2.5.1非染料層刮花、磨損，或盤片不平整，影響讀取時(shí)，應(yīng)先進(jìn)行7.2.5.2對(duì)于多區(qū)段光盤，獲取鏡像時(shí)應(yīng)包含a)對(duì)于已掛載狀態(tài)的RAID，以整個(gè)對(duì)于非RAID方式組成的混合存儲(chǔ)（如蘋果FusionDrive、微軟StorageSpaces和英特爾Optane使用在線鏡像獲取方式時(shí)，在不影響數(shù)據(jù)可用性的情況下宜停用鏡像獲取過程7.3加密存儲(chǔ)介質(zhì)處理c)使用委托人提供的解密口令或解密d)在其他存儲(chǔ)介質(zhì)、電子設(shè)備或紙質(zhì)材料上查找解密口令或解密密鑰。7.4損壞存儲(chǔ)介質(zhì)處理7.4.1當(dāng)源存儲(chǔ)介質(zhì)存在磁頭故障、電路板故障、外電路故障、晶振損壞、電機(jī)故障或固件損壞等非7.4.2當(dāng)源存儲(chǔ)介質(zhì)存在磁盤或閃存芯片壞塊、盤片劃痕、磁頭讀數(shù)據(jù)性能弱或磁存儲(chǔ)信息弱等數(shù)據(jù)67.4.3獲取穩(wěn)定損壞存儲(chǔ)介質(zhì)的鏡像時(shí)，可定位并跳過存儲(chǔ)介質(zhì)的損壞區(qū)域，對(duì)未損壞的數(shù)據(jù)區(qū)域進(jìn)7.4.4獲取不穩(wěn)定損壞存儲(chǔ)介質(zhì)的鏡像時(shí)，在綜合評(píng)估后可選用以下策略中的一種或多種方法定位存b)禁用壞塊自動(dòng)重映射；）；a)案件信息（如案件編號(hào)和案件名稱等b)源存儲(chǔ)介質(zhì)或電子設(shè)備的品牌、型號(hào)及序列號(hào)等信息；c)源存儲(chǔ)介質(zhì)或電子設(shè)備送檢時(shí)的性e)源存儲(chǔ)