نحت الملفات

استخراج الملفات هو عملية إعادة تجميع ملفات الكمبيوتر من أجزاء في غياب بيانات تعريف نظام الملفات .

يُستخدم هذا الأسلوب في مجال الأدلة الجنائية الرقمية واستعادة البيانات. ويُستخدم عادةً في وسائط التخزين التي تحتوي على نظام ملفات تالف أو في مساحات التخزين المُدرجة على أنها خالية في نظام الملفات الحالي.

تحتوي جميع أنظمة الملفات على بيانات وصفية تُحدد بنية نظام الملفات نفسه. وتشمل هذه البيانات، كحد أدنى، تسلسل المجلدات والملفات، مع أسماء لكل منها. كما يُسجل نظام الملفات المواقع الفعلية على جهاز التخزين حيث يُخزن كل ملف. وكما هو موضح أدناه، قد يكون الملف مُجزأً إلى أجزاء في عناوين فعلية مختلفة.

استخراج الملفات هو عملية محاولة استعادة الملفات بدون بياناتها الوصفية. يتم ذلك بتحليل البيانات الخام وتحديد نوعها (نص، ملف تنفيذي، صورة PNG، ملف MP3، إلخ). يمكن القيام بذلك بطرق مختلفة، لكن أبسطها البحث عن توقيع الملف أو "الأرقام السحرية" التي تُشير إلى بداية و/أو نهاية نوع ملف معين. ^{[ 1 ]} على سبيل المثال، تحتوي كل ملفات Java class على القيمة السداسية العشرية في أول أربعة بايتات . تحتوي بعض الملفات أيضًا على تذييلات، مما يُسهّل تحديد نهاية الملف.CA FE BA BE

تعتمد معظم أنظمة الملفات، مثل عائلة FAT ونظام الملفات السريع في يونكس ، على مفهوم المجموعات ذات الحجم المتساوي والثابت. على سبيل المثال، قد يُقسّم نظام ملفات FAT32  إلى مجموعات ، كل منها بحجم 4 كيلوبايت. أي ملف أصغر من 4  كيلوبايت يُخزّن في مجموعة واحدة، ولا يوجد أكثر من ملف واحد في كل مجموعة. أما الملفات التي يزيد حجمها عن 4  كيلوبايت، فتُوزّع على مجموعات متعددة. أحيانًا تكون هذه المجموعات متجاورة، بينما في أحيان أخرى تكون متناثرة على مجموعتين أو أكثر، تُسمى أجزاءً ، حيث يحتوي كل جزء على عدد من المجموعات المتجاورة التي تُخزّن جزءًا من بيانات الملف. من البديهي أن الملفات الكبيرة أكثر عرضة للتجزئة.

أفاد سيمسون غارفينكل ^{[ 2 ]} بإحصائيات التجزئة التي جُمعت من أكثر من 350 قرصًا تحتوي على أنظمة ملفات FAT و NTFS و UFS . وأوضح أنه على الرغم من انخفاض معدل التجزئة في القرص العادي، إلا أن معدل تجزئة الملفات ذات الأهمية الجنائية، مثل البريد الإلكتروني وصور JPEG ومستندات Word ، مرتفع نسبيًا. وُجد أن معدل تجزئة ملفات JPEG يبلغ 16%، ومستندات Word 17%، وملفات AVI 22%، وملفات PST ( Microsoft Outlook ) 58% (نسبة الملفات التي تُجزأ إلى جزأين أو أكثر). وقدّم بال، وشانموغاسوندارام، وميمون ^{[ 3 ]} خوارزمية فعّالة تعتمد على أسلوب استدلالي جشع وتقليم ألفا-بيتا لإعادة تجميع الصور المجزأة. كما قدّم بال، وسينكار، وميمون ^{[ 4 ]} اختبار الفرضيات المتسلسل كآلية فعّالة للكشف عن نقاط التجزئة. قدم ريتشارد وروسيف ^{[ 5 ]} برنامج Scalpel، وهو أداة مفتوحة المصدر لقص الملفات ^{[ 6 ]} موجودة منذ عام 2005 وتعتمد في البداية على برنامج Foremost. ^{[ 7 ]}

يُعدّ استخراج الملفات مهمة بالغة التعقيد، إذ ينطوي على عدد هائل من الاحتمالات. ولتسهيل هذه المهمة ، تعتمد برامج استخراج الملفات عادةً على النماذج والأساليب الاستدلالية بشكل مكثف. وهذا ضروري ليس فقط لتقليل وقت التنفيذ، بل أيضاً لضمان دقة النتائج. وتستخدم أحدث خوارزميات استخراج الملفات تقنيات إحصائية، مثل اختبار الفرضيات المتسلسل، لتحديد نقاط التجزئة.

في معظم الحالات، عند حذف ملف، يُزال سجله من بيانات تعريف نظام الملفات، لكن البيانات الفعلية تبقى على القرص. يمكن استخدام تقنية استخراج الملفات لاستعادة البيانات من القرص الصلب في حال إزالة بيانات التعريف أو تلفها. قد تنجح هذه العملية حتى بعد تهيئة القرص أو إعادة تقسيمه.

يمكن استخراج الملفات باستخدام برامج مجانية أو تجارية، وغالبًا ما يتم ذلك بالتزامن مع فحوصات الطب الشرعي الرقمي أو بالتوازي مع جهود استعادة البيانات الأخرى (مثل إصلاح الأجهزة) التي تقوم بها شركات استعادة البيانات . ^{[ 8 ]} في حين أن الهدف الأساسي من استعادة البيانات هو استعادة محتوى الملف، فإن خبراء الطب الشرعي الرقمي يهتمون أيضًا بالبيانات الوصفية، مثل مالك الملف، ومكان تخزينه، وتاريخ آخر تعديل له. ^{[ 9 ]} وبالتالي، فبينما يمكن لخبير الطب الشرعي استخدام استخراج الملفات لإثبات أن ملفًا ما كان مخزنًا على قرص صلب، فقد يحتاج إلى البحث عن أدلة أخرى لإثبات من قام بتخزينه.

يمكن استخراج لقطات من الذاكرة المؤقتة (RAM) لأجهزة الكمبيوتر. يُستخدم استخراج تفريغات الذاكرة بشكل روتيني في الأدلة الجنائية الرقمية، مما يسمح للمحققين بالوصول إلى الأدلة المؤقتة. تشمل هذه الأدلة المؤقتة الصور وصفحات الويب والمستندات والمحادثات والاتصالات التي تم الوصول إليها مؤخرًا عبر الشبكات الاجتماعية. على سبيل المثال، يمكن استخدام LiME ^{[ 10 ]} مع Volatility ^{[ 11 ]} لإنجاز هذه المهمة. في حال استخدام وحدة تخزين مشفرة ( TrueCrypt ، BitLocker ، PGP Disk )، يمكن استخراج المفاتيح الثنائية للحاويات المشفرة واستخدامها لتركيب هذه الوحدات فورًا. يؤدي ذلك إلى تجزئة محتوى الذاكرة المؤقتة. طورت شركة Belkasoft خوارزمية استخراج خاصة لتمكين استخراج مجموعات الذاكرة المجزأة (BelkaCarving).

• استعادة البيانات
• اكتشاف الأخطاء وتصحيحها
• علم آثار البيانات
• فورموست (برمجيات)
• تسجيل الصور
• استعادة ملفاتي
• IsoBuster