SF∕T 0105-2021 存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像技術(shù)規(guī)程

1、 ICS 35.240CCS L60SF中華人民共和國司法行政行業(yè)標(biāo)準(zhǔn)SF/T 01052021存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像技術(shù)規(guī)程Code of practice for forensic imaging of storage media2021-11-17發(fā)布2021-11-17實(shí)施 SF/T 01052021目次前言. II12345678范圍. 1規(guī)范性引用文件 . 1術(shù)語和定義 . 1縮略語 . 1儀器設(shè)備 . 2鏡像獲取程序 . 3過程要求 . 3記錄內(nèi)容 . 6參考文獻(xiàn) . 7I SF/T 01052021前言本文件按照GB/T 1.12020標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)

2、則的規(guī)定起草。II SF/T 01052021存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像技術(shù)規(guī)程12范圍本文件規(guī)定了存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像獲取的儀器設(shè)備、程序、過程要求和記錄內(nèi)容。本文件適用于司法鑒定/法庭科學(xué)領(lǐng)域中存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像的獲取和使用。規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GA/T 14762018法庭科學(xué)遠(yuǎn)程主機(jī)數(shù)據(jù)獲取技術(shù)規(guī)范3術(shù)語和定義下列術(shù)語和定義適用于本文件。源 source鏡像獲取過程的輸入數(shù)據(jù)、存儲(chǔ)介質(zhì)或電子設(shè)備。目標(biāo) target鏡像獲取過程

3、的輸出文件或存儲(chǔ)介質(zhì)。鏡像文件 image file從數(shù)據(jù)源復(fù)制生成的，可重新構(gòu)建數(shù)據(jù)源數(shù)據(jù)比特流的一個(gè)或一組目標(biāo)文件。壞塊 bad block存儲(chǔ)介質(zhì)中由物理故障導(dǎo)致的無法讀取的數(shù)據(jù)區(qū)域。合理填充 benign fill在鏡像獲取過程中，當(dāng)數(shù)據(jù)源特定數(shù)據(jù)區(qū)域無法讀取時(shí)，或目標(biāo)存儲(chǔ)介質(zhì)存在多余數(shù)據(jù)存儲(chǔ)區(qū)域時(shí)，向鏡像文件（3.3）或者目標(biāo)存儲(chǔ)介質(zhì)對(duì)應(yīng)的數(shù)據(jù)存儲(chǔ)區(qū)域填充指定數(shù)據(jù)的過程。注：填充的指定數(shù)據(jù)可以是二進(jìn)制全0、二進(jìn)制全1或者“BADBLOCK”等顯著標(biāo)示該數(shù)據(jù)不是來自數(shù)據(jù)源的文本內(nèi)容，以避免與其他數(shù)據(jù)產(chǎn)生混淆。在線鏡像獲取 live image acquisition在電子設(shè)備運(yùn)行狀態(tài)下

4、，以其中的存儲(chǔ)介質(zhì)、分區(qū)（卷）為源（3.1）的鏡像獲取過程。4縮略語下列縮略語適用于本文件。1 SF/T 01052021ATABIOSDCOFC高級(jí)技術(shù)附件（Advanced Technology Attachment）基本輸入輸出系統(tǒng)（Basic Input/Output System）設(shè)備配置覆蓋區(qū)（Device Configuration Overlay）光纖通道（Fiber Channel）HPAIDE主機(jī)保護(hù)區(qū)（Host Protected Area）集成磁盤電子接口（Integrated Drive Electronics）iSCSI基于因特網(wǎng)的小型計(jì)算機(jī)系統(tǒng)接口（Interne

5、t Small Computer System Interface）PCIe外設(shè)組件互連快線（Peripheral Component Interconnect Express）RAID獨(dú)立磁盤冗余陣列（Redundant Array of Independent Disks）SAS串行小型計(jì)算機(jī)系統(tǒng)接口（Serial Attached SCSI）SATASCSI串行高級(jí)技術(shù)附件（Serial Advanced Technology Attachment）小型計(jì)算機(jī)系統(tǒng)接口（Small Computer System Interface）S.M.A.R.T.自我監(jiān)測(cè)、分析及報(bào)告技術(shù)（Self-

6、Monitoring Analysis and Reporting Technology）TPMUSB可信平臺(tái)模塊（Trusted Platform Module）通用串行總線（Universal Serial Bus）5儀器設(shè)備硬件存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像獲取和使用所涉及的硬件設(shè)備包括但不限于：a)b)c)d)e)f)g)h)i)j)k)l)m)n)o)電子數(shù)據(jù)鑒定專用計(jì)算機(jī)；存儲(chǔ)介質(zhì)復(fù)制設(shè)備；存儲(chǔ)介質(zhì)只讀設(shè)備；多功能只讀讀卡器；存儲(chǔ)介質(zhì)診斷檢測(cè)設(shè)備；故障硬盤修復(fù)設(shè)備；光盤修復(fù)設(shè)備；免拆機(jī)硬盤復(fù)制工具；計(jì)算機(jī)繞密取證工具；存儲(chǔ)介質(zhì)轉(zhuǎn)接接口及數(shù)據(jù)線；分線器；系統(tǒng)引導(dǎo)盤；網(wǎng)絡(luò)設(shè)備；數(shù)碼照相機(jī)/物證翻拍儀

7、；數(shù)碼攝像機(jī)。軟件存儲(chǔ)介質(zhì)數(shù)據(jù)鏡像獲取和使用所涉及的軟件工具包括但不限于：a)b)只讀軟件；具備鏡像獲取功能的軟件；c) RAID陣列重組工具；d)e)f)g)h)i)完整性校驗(yàn)值計(jì)算工具；內(nèi)存獲取軟件；內(nèi)存數(shù)據(jù)分析軟件；鏡像文件格式轉(zhuǎn)換工具；鏡像掛載工具；屏幕錄像軟件。2 SF/T 010520216鏡像獲取程序常規(guī)鏡像獲取方式常規(guī)鏡像獲取方式一般遵循以下程序：a)b)c)d)e)將源存儲(chǔ)介質(zhì)從所在電子設(shè)備上斷開；準(zhǔn)備目標(biāo)存儲(chǔ)介質(zhì)并對(duì)其進(jìn)行清潔性檢查；將源存儲(chǔ)介質(zhì)及目標(biāo)存儲(chǔ)介質(zhì)連接至檢驗(yàn)設(shè)備，并采取只讀措施防止改變?cè)创鎯?chǔ)介質(zhì)數(shù)據(jù)；讀取源存儲(chǔ)介質(zhì)的數(shù)據(jù)，逐比特復(fù)制到鏡像文件或目標(biāo)存儲(chǔ)介質(zhì)；校驗(yàn)

8、鏡像文件或目標(biāo)存儲(chǔ)介質(zhì)的數(shù)據(jù)完整性。免拆機(jī)鏡像獲取方式不滿足常規(guī)鏡像獲取方式條件時(shí)，可選用以下方式進(jìn)行免拆機(jī)鏡像獲?。篴)b)c)d)在線鏡像獲取方式：使用電子設(shè)備運(yùn)行中的操作系統(tǒng)環(huán)境獲取鏡像；引導(dǎo)獲取方式：使用系統(tǒng)引導(dǎo)盤啟動(dòng)電子設(shè)備，掛載源存儲(chǔ)介質(zhì)和目標(biāo)存儲(chǔ)介質(zhì)后獲取鏡像；網(wǎng)絡(luò)獲取方式：通過網(wǎng)絡(luò)訪問或掛載源存儲(chǔ)介質(zhì)獲取鏡像；外部加載獲取方式：將源存儲(chǔ)介質(zhì)所在的電子設(shè)備作為外部存儲(chǔ)介質(zhì)連接至檢驗(yàn)設(shè)備獲取存儲(chǔ)介質(zhì)鏡像。示例：部分型號(hào)的蘋果計(jì)算機(jī)可在啟動(dòng)時(shí)設(shè)置為目標(biāo)磁盤模式，連接至另一臺(tái)蘋果計(jì)算機(jī)后獲取鏡像。7過程要求準(zhǔn)備階段7.1.1發(fā)現(xiàn)與識(shí)別存儲(chǔ)介質(zhì)7.1.1.1檢材為電子設(shè)備時(shí)，可通過以下一

9、種或多種方法發(fā)現(xiàn)與識(shí)別源存儲(chǔ)介質(zhì)：a)檢查電子設(shè)備上的存儲(chǔ)介質(zhì)接口，尋找內(nèi)置或外接的源存儲(chǔ)介質(zhì)。應(yīng)關(guān)注的接口包括但不限于以下類型：1) IDE接口；2) SATA接口及其衍生接口（MicroSATA、mSATA等）；3) SCSI接口；4) SAS接口；5) FC接口；6)火線（FireWire）接口（1394A、1394B）；7) USB接口（USB-A、USB-B、USB-C）及其衍生接口（mini-USB、Micro-USB等）；8) M.2接口；9) U.2接口；10) PCIe接口；11)雷靂（Thunderbolt）接口；12)廠商專有接口（如蘋果計(jì)算機(jī)固態(tài)硬盤接口）。通過BIOS

10、、操作系統(tǒng)和RAID控制器等界面檢查并識(shí)別連接至電子設(shè)備的存儲(chǔ)介質(zhì)；檢查并識(shí)別基于iSCSI協(xié)議的網(wǎng)絡(luò)存儲(chǔ)介質(zhì)。識(shí)別具有特定關(guān)聯(lián)性的存儲(chǔ)介質(zhì)組合形態(tài)（如RAID、混合存儲(chǔ)等）。b)c)7.1.1.27.1.2判斷存儲(chǔ)介質(zhì)狀態(tài)7.1.2.1可通過讀取S.M.A.R.T.信息、辨識(shí)存儲(chǔ)介質(zhì)運(yùn)轉(zhuǎn)聲音等方法，或通過制造商或第三方提供的存儲(chǔ)介質(zhì)診斷檢測(cè)工具初步判斷源存儲(chǔ)介質(zhì)狀態(tài)，狀態(tài)分類及分類原則如下：a)b)正常：沒有壞塊，或未檢測(cè)出異常；穩(wěn)定損壞：數(shù)據(jù)區(qū)域有壞塊，多次讀取時(shí)壞塊位置不變，且讀取過程中跳過壞塊不會(huì)降低性能；3 SF/T 01052021c)不穩(wěn)定損壞：數(shù)據(jù)區(qū)域有壞塊，多次讀取時(shí)壞塊位置

11、不穩(wěn)定，或讀取過程中會(huì)出現(xiàn)明顯性能下降、持續(xù)報(bào)錯(cuò)或異響；d)7.1.2.2況。無法讀?。喝繑?shù)據(jù)區(qū)域均無法讀取。包含源存儲(chǔ)介質(zhì)的電子設(shè)備處于運(yùn)行狀態(tài)時(shí)，如需斷開電源，應(yīng)先確認(rèn)源存儲(chǔ)介質(zhì)的加密情7.1.3選擇鏡像獲取方式7.1.3.1滿足以下全部條件時(shí)，適用常規(guī)鏡像獲取方式：源存儲(chǔ)介質(zhì)便于從所在電子設(shè)備移除或斷開；源存儲(chǔ)介質(zhì)具有通用數(shù)據(jù)接口；a)b)c)源存儲(chǔ)介質(zhì)具備只讀條件。7.1.3.2a)滿足以下一個(gè)或多個(gè)條件時(shí)，適用免拆機(jī)鏡像獲取方式：斷電或關(guān)機(jī)可能導(dǎo)致數(shù)據(jù)源無法訪問；b)源存儲(chǔ)介質(zhì)不便于拆卸；c)源存儲(chǔ)介質(zhì)加密，且不具備獨(dú)立解密條件（如受 TPM和 Apple T2等硬件加密芯片保護(hù)的

12、磁盤）；d)源存儲(chǔ)介質(zhì)具有特殊的數(shù)據(jù)接口或特殊的數(shù)據(jù)組成方式等，使用常規(guī)鏡像獲取方式無法獲得完整數(shù)據(jù)。7.1.4連接檢驗(yàn)設(shè)備7.1.4.1將存儲(chǔ)介質(zhì)從電子設(shè)備斷開前，宜記錄電子設(shè)備接口與存儲(chǔ)介質(zhì)的對(duì)應(yīng)關(guān)系。7.1.4.2宜選用存儲(chǔ)介質(zhì)原有接口連接至檢驗(yàn)設(shè)備。示例：安裝于USB接口硬盤盒內(nèi)的SATA接口硬盤宜選擇SATA接口連接。7.1.4.3對(duì)于存在多個(gè)接口的存儲(chǔ)介質(zhì)或電子設(shè)備，宜選用傳輸帶寬和穩(wěn)定性高的接口連接至檢驗(yàn)設(shè)備。7.1.4.4源存儲(chǔ)介質(zhì)或電子設(shè)備接口無法直接被檢驗(yàn)設(shè)備支持時(shí)，應(yīng)選用經(jīng)過穩(wěn)定性及兼容性驗(yàn)證的轉(zhuǎn)接接口及數(shù)據(jù)線進(jìn)行轉(zhuǎn)換。7.1.4.57.1.4.6使用分線器擴(kuò)展接口時(shí)，宜

13、選用獨(dú)立供電的分線器。具備只讀條件的，應(yīng)采取只讀措施，避免改變?cè)创鎯?chǔ)介質(zhì)數(shù)據(jù)；不具備只讀條件的，應(yīng)對(duì)鏡像獲取過程進(jìn)行錄像。7.1.4.7檢驗(yàn)設(shè)備運(yùn)行過程中應(yīng)確保全程持續(xù)穩(wěn)定供電，并關(guān)閉自動(dòng)休眠、屏幕保護(hù)程序等可能產(chǎn)生干擾的功能或程序。7.1.5確定鏡像目標(biāo)7.1.5.17.1.5.2鏡像獲取前，應(yīng)確保目標(biāo)存儲(chǔ)介質(zhì)或存儲(chǔ)目標(biāo)鏡像文件的位置有充足的可用空間。鏡像目標(biāo)的格式及壓縮、分段、加密等特性的選擇可根據(jù)鏡像源、存儲(chǔ)位置、檢驗(yàn)設(shè)備情況以及后續(xù)檢驗(yàn)要求確定。各類存儲(chǔ)介質(zhì)的鏡像獲取7.2.1磁介質(zhì)硬盤7.2.1.17.2.1.2若磁盤存在ATA加密，應(yīng)先移除加密。若檢驗(yàn)要求關(guān)注隱藏?cái)?shù)據(jù)，應(yīng)對(duì)隱藏區(qū)域

14、進(jìn)行處理（如移除HPA和DCO）。7.2.2固態(tài)硬盤宜采取避免或抑制TRIM指令的方式獲取鏡像，具體方法包括但不限于：a)b)c)禁用檢驗(yàn)設(shè)備自動(dòng)掛載分區(qū)（卷）的功能；使用具備禁用自動(dòng)掛載功能的引導(dǎo)盤以引導(dǎo)獲取方式獲取鏡像；使用工廠訪問模式(Factory Access Mode)獲取鏡像；4 SF/T 01052021d)執(zhí)行特定的系統(tǒng)命令。7.2.3 USB閃存盤7.2.3.17.2.3.2若讀取過程中遇到壞塊，應(yīng)斷電后重新加電，或重置USB閃存盤所連接的USB總線。不宜將源存儲(chǔ)介質(zhì)與目標(biāo)存儲(chǔ)介質(zhì)連接至同一USB分線器。7.2.4存儲(chǔ)卡連接至適配的只讀讀卡器，參照USB閃存盤獲取鏡像。7.

15、2.5光盤7.2.5.17.2.5.2非染料層刮花、磨損，或盤片不平整，影響讀取時(shí)，應(yīng)先進(jìn)行修復(fù)。對(duì)于多區(qū)段光盤，獲取鏡像時(shí)應(yīng)包含所有區(qū)段。7.2.6 RAIDRAID可采用以下方法之一獲取鏡像：a)b)c)對(duì)于已掛載狀態(tài)的RAID，以整個(gè)卷為源獲取鏡像；使用引導(dǎo)啟動(dòng)方式，加載RAID驅(qū)動(dòng)后，采取只讀措施獲取RAID卷鏡像；記錄磁盤排列順序、RAID類型和條帶大小等 RAID配置信息后，獲取RAID中的每個(gè)成員盤的鏡像。7.2.7混合存儲(chǔ)對(duì)于非RAID方式組成的混合存儲(chǔ)（如蘋果 Fusion Drive、微軟Storage Spaces和英特爾OptaneMemory等），可采用以下方式獲取鏡

16、像：a)b)采用免拆機(jī)獲取方式，以混合存儲(chǔ)中的卷為源獲取鏡像；分別獲取每個(gè)成員盤的鏡像，再對(duì)數(shù)據(jù)進(jìn)行重組。7.2.8小型存儲(chǔ)系統(tǒng)使用在線鏡像獲取方式時(shí)，在不影響數(shù)據(jù)可用性的情況下宜停用鏡像獲取過程中可能修改磁盤數(shù)據(jù)的服務(wù)（如數(shù)據(jù)庫）。7.2.9遠(yuǎn)程服務(wù)器7.2.9.1對(duì)于遠(yuǎn)程服務(wù)器中的源存儲(chǔ)介質(zhì)，可按照GA/T 14762018中的4.6要求，以網(wǎng)絡(luò)獲取方式獲取鏡像。7.2.9.2對(duì)于云端系統(tǒng)，可從云服務(wù)提供商的管理界面下載鏡像。加密存儲(chǔ)介質(zhì)處理若源存儲(chǔ)介質(zhì)存在全盤加密或部分加密，可采用以下一種或多種方法處理：a)對(duì)于運(yùn)行狀態(tài)的電子設(shè)備，將處于解密狀態(tài)的存儲(chǔ)介質(zhì)、分區(qū)（卷）作為鏡像源，進(jìn)行在線

17、鏡像獲??；b)對(duì)于運(yùn)行狀態(tài)的計(jì)算機(jī)設(shè)備，可獲取其物理內(nèi)存的鏡像后，分析、提取解密密鑰，也可通過系統(tǒng)命令或繞密工具導(dǎo)出解密密鑰；c)d)使用委托人提供的解密口令或解密密鑰；在其他存儲(chǔ)介質(zhì)、電子設(shè)備或紙質(zhì)材料上查找解密口令或解密密鑰。損壞存儲(chǔ)介質(zhì)處理7.4.1當(dāng)源存儲(chǔ)介質(zhì)存在磁頭故障、電路板故障、外電路故障、晶振損壞、電機(jī)故障或固件損壞等非數(shù)據(jù)存儲(chǔ)區(qū)硬件故障，造成存儲(chǔ)介質(zhì)的數(shù)據(jù)無法讀取時(shí)，宜先修復(fù)硬件故障，再獲取鏡像。7.4.2當(dāng)源存儲(chǔ)介質(zhì)存在磁盤或閃存芯片壞塊、盤片劃痕、磁頭讀數(shù)據(jù)性能弱或磁存儲(chǔ)信息弱等數(shù)據(jù)存儲(chǔ)區(qū)的硬件故障，造成存儲(chǔ)介質(zhì)穩(wěn)定損壞或不穩(wěn)定損壞時(shí)，可嘗試直接獲取鏡像。5 SF/T 0

18、10520217.4.3獲取穩(wěn)定損壞存儲(chǔ)介質(zhì)的鏡像時(shí)，可定位并跳過存儲(chǔ)介質(zhì)的損壞區(qū)域，對(duì)未損壞的數(shù)據(jù)區(qū)域進(jìn)行鏡像。7.4.4獲取不穩(wěn)定損壞存儲(chǔ)介質(zhì)的鏡像時(shí)，在綜合評(píng)估后可選用以下策略中的一種或多種方法定位存儲(chǔ)介質(zhì)的損壞區(qū)域，對(duì)未損壞的數(shù)據(jù)區(qū)域進(jìn)行鏡像：a)b)c)d)e)f)g)繞過BIOS和操作系統(tǒng)使用ATA指令讀??；禁用壞塊自動(dòng)重映射；逆向讀??；跳過定長(zhǎng)區(qū)域；硬件復(fù)位（如重新加電）；調(diào)整每次讀取的塊大小及超時(shí)時(shí)間；多次讀取。7.4.5對(duì)于數(shù)據(jù)區(qū)域不能完整讀取的存儲(chǔ)介質(zhì)，應(yīng)采用分段校驗(yàn)，確保可讀取數(shù)據(jù)區(qū)域的數(shù)據(jù)完整性；無法讀取的數(shù)據(jù)區(qū)域在鏡像中應(yīng)被合理填充。8記錄內(nèi)容存儲(chǔ)介質(zhì)鏡像獲取過程記錄宜包含以下內(nèi)容：a)b)c)d)e)f)案件信息（如案件編號(hào)和案件名稱等）；源存儲(chǔ)介質(zhì)或電子設(shè)備的品牌、型號(hào)及序列號(hào)等信息；源存儲(chǔ)介質(zhì)或電子設(shè)備送檢時(shí)的性狀；源存儲(chǔ)介質(zhì)或電子設(shè)備的照片；源存儲(chǔ)介質(zhì)或電子設(shè)備的唯一性標(biāo)識(shí)（如唯一性編號(hào)或資產(chǎn)標(biāo)簽等）；源存儲(chǔ)介質(zhì)所在電子設(shè)備內(nèi)部時(shí)鐘的時(shí)間；注：記錄時(shí)鐘時(shí)間時(shí)宜關(guān)注不同操作系統(tǒng)對(duì)硬件時(shí)鐘讀取方式的差異。g)h)i)j)k)l)m)n)o)p)鏡像