Entry № 364
磁盘取证
磁盘取证 是什么?
磁盘取证对硬盘、SSD、U 盘等非易失性存储介质进行分析,恢复并解释文件系统、应用与操作系统层面的痕迹。
磁盘取证是数字取证的传统核心分支,基于存储设备的逐位镜像,通过文件系统(NTFS、APFS、ext4、FAT)、日志、元数据、剩余空间与未分配空间重建用户与系统活动。调查人员检查 MFT、USN 日志、$LogFile、Prefetch、跳转列表、快捷方式、浏览器记录、Windows 事件日志与 ShellBag 来构建时间线。Autopsy/Sleuth Kit、EnCase、X-Ways、FTK 与 Plaso/log2timeline 等工具用于自动解析和时间线生成。现代挑战包括全盘加密(BitLocker、FileVault、LUKS)、SSD TRIM/垃圾回收以及云同步内容,均依据 NIST SP 800-86 与 ISO/IEC 27037 处理。
● 示例
- 01
使用 Autopsy 从 NTFS 未分配空间恢复被删除的文档。
- 02
解析 Prefetch 与 ShimCache 以确认恶意二进制曾被执行。
● 常见问题
磁盘取证 是什么?
对硬盘、SSD、U 盘等非易失性存储介质进行分析,恢复并解释文件系统、应用与操作系统层面的痕迹。 它属于网络安全的 取证与应急响应 分类。
磁盘取证 是什么意思?
对硬盘、SSD、U 盘等非易失性存储介质进行分析,恢复并解释文件系统、应用与操作系统层面的痕迹。
如何防御 磁盘取证?
针对 磁盘取证 的防御通常结合技术控制与运营实践,详见上方完整定义。
磁盘取证 还有哪些其他名称?
常见的别称包括: 存储取证, 硬盘取证。