Recuperação por assinatura (file carving)
O que é Recuperação por assinatura (file carving)?
Recuperação por assinatura (file carving)Técnica forense que recupera ficheiros de espaço não alocado ou dados brutos reconhecendo assinaturas, cabeçalhos e rodapés, sem depender dos metadados do sistema de ficheiros.
O carving reconstrói ficheiros apagados ou fragmentados diretamente de uma imagem de disco, dump de memória ou captura de rede, mesmo quando as entradas do sistema de ficheiros estão em falta ou corrompidas. As ferramentas identificam candidatos procurando magic bytes conhecidos (JPEG FFD8FFE0, PDF %PDF-) e leem até um rodapé reconhecido ou aplicam heurísticas de tamanho. Ferramentas habituais: PhotoRec, Scalpel, Foremost, bulk_extractor e Magnet AXIOM. Carvers avançados (SmartCarving) reagrupam ficheiros fragmentados com lógica sensível à estrutura. É essencial quando o adversário apaga artefactos ou o suporte foi formatado, mas os resultados devem ser validados devido aos frequentes falsos positivos.
● Exemplos
- 01
Recuperar imagens JPEG eliminadas de uma pen USB formatada com PhotoRec.
- 02
Carving de documentos Office a partir de um dump de memória com bulk_extractor.
● Perguntas frequentes
O que é Recuperação por assinatura (file carving)?
Técnica forense que recupera ficheiros de espaço não alocado ou dados brutos reconhecendo assinaturas, cabeçalhos e rodapés, sem depender dos metadados do sistema de ficheiros. Pertence à categoria Forense e resposta da cibersegurança.
O que significa Recuperação por assinatura (file carving)?
Técnica forense que recupera ficheiros de espaço não alocado ou dados brutos reconhecendo assinaturas, cabeçalhos e rodapés, sem depender dos metadados do sistema de ficheiros.
Como se defender contra Recuperação por assinatura (file carving)?
As defesas contra Recuperação por assinatura (file carving) costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.
Quais são outros nomes para Recuperação por assinatura (file carving)?
Nomes alternativos comuns: Data carving, Recuperação por assinatura.