การแกะสลักไฟล์คืออะไร?

การแกะสลักไฟล์เป็นเทคนิคที่ใช้ในนิติวิทยาศาสตร์คอมพิวเตอร์เพื่อแยกไฟล์หรือข้อมูลที่จัดรูปแบบจากดิสก์ไดรฟ์หรืออุปกรณ์จัดเก็บข้อมูลอื่น ๆ โดยไม่ต้องใช้ระบบไฟล์ที่สร้างไฟล์มีหลายวิธีและอัลกอริทึมที่สามารถใช้งานได้ แต่กระบวนการนั้นเกี่ยวข้องกับการสแกนผ่านข้อมูลที่มีอยู่ในอุปกรณ์จัดเก็บข้อมูลและไม่ทางใดก็ทางหนึ่งตรวจสอบเพื่อดูว่าข้อมูลนั้นเป็นไฟล์หรือมีอยู่ข้อมูลที่มีความสำคัญบางอย่างที่กำหนดไว้ล่วงหน้าระบบไฟล์ไม่มีอยู่ในระหว่างกระบวนการแกะสลักไฟล์ดังนั้นข้อมูลทั้งหมดในดิสก์จะต้องได้รับการประเมินสำหรับบริบทของมันซึ่งหมายความว่ากระบวนการอาจใช้เวลานานและขึ้นอยู่กับสถานะของอุปกรณ์จัดเก็บข้อมูลสามารถมีได้อัตราความสำเร็จต่ำมันยากอย่างไม่น่าเชื่อ แต่เป็นไปได้ที่จะแกะสลักไฟล์จากไดรฟ์ที่มีการกระจายตัวของไฟล์จำนวนมากผลลัพธ์สุดท้ายของการแกะสลักไฟล์ที่ประสบความสำเร็จคือการสร้างไฟล์ใหม่ในลักษณะที่เนื้อหามีอยู่อย่างเต็มที่แม้ว่าผลลัพธ์ที่ยอมรับได้ในบางสถานการณ์อาจเป็นไฟล์ที่สร้างขึ้นใหม่บางส่วนหากมีการกู้คืนข้อมูลที่เกี่ยวข้องมากพอ

ในบางกรณีไม่ว่าจะผ่านความล้มเหลวของฮาร์ดแวร์ความผิดพลาดของมนุษย์หรือการโจมตีที่เป็นอันตรายระบบไฟล์ของอุปกรณ์จัดเก็บข้อมูลและข้อมูลทั้งหมดที่สามารถลบได้ดิสก์อาจยังคงมีข้อมูลทั้งหมดที่มีอยู่ก่อนหน้านี้ แต่ขึ้นอยู่กับว่าข้อมูลถูกลบออกไปอย่างไร แต่ในกระแสไบต์ที่ไม่ได้จัดระเบียบกลไกหนึ่งที่ทำให้การแกะสลักไฟล์เป็นไปได้คือเมื่อระบบไฟล์จำนวนมากลบไฟล์ออกจากไดรฟ์พวกเขาจะไม่ลบข้อมูล แต่แทนที่จะทำเครื่องหมายพื้นที่ของดิสก์ว่าเป็นไฟล์ใหม่ข้อมูลเก่ายังคงอยู่จนกว่าพวกเขาจะถูกเขียนทับและแม้ในกรณีนั้นยังมีโอกาสที่จะสามารถกู้คืนได้

เทคนิคพื้นฐานที่ใช้ในการแกะสลักไฟล์เกี่ยวข้องกับการก้าวผ่านบล็อกข้อมูลบนดิสก์ที่กำลังมองหาลายเซ็นไฟล์ข้อมูลเหล่านี้เป็นชิ้นส่วนของข้อมูลที่บ่งบอกถึงจุดเริ่มต้นของไฟล์ประเภทใดประเภทหนึ่งตัวอย่างหนึ่งคือจุดเริ่มต้นของไฟล์รูปภาพที่อาจมีความกว้างและความสูงของภาพและข้อมูลจานสีบางส่วนหากพบบล็อกของข้อมูลที่ตรงกับส่วนหัวของประเภทไฟล์จากนั้นจึงพยายามตีความข้อมูลตามส่วนหัวเพื่อดูว่าจริง ๆ แล้วเป็นข้อมูลไฟล์หรือไม่หากประสบความสำเร็จสิ่งนี้อาจนำไปสู่การสร้างไฟล์ต้นฉบับใหม่

ภาวะแทรกซ้อนที่เกิดขึ้นในการแกะสลักไฟล์เกี่ยวข้องกับไฟล์ที่มีการแยกส่วนซึ่งหมายความว่าไฟล์จะถูกเก็บไว้ที่ตำแหน่งทางกายภาพสองตำแหน่งหรือมากกว่าบนดิสก์เทคนิคบางอย่างไม่พยายามสร้างไฟล์ประเภทนี้ขึ้นใหม่วิธีอื่น ๆ ใช้ความรู้ที่มีอยู่ของระบบไฟล์เพื่อพยายามประมาณว่าส่วนอื่น ๆ ของไฟล์อาจอยู่ที่ใดแม้ว่ากระบวนการนี้จะยากมาก