Совместное использование программно

Совместное использование программно-аппаратного комплекса РС3000 и Encase
v6.10/v4.20 при проведении СКТЭ
ГУ Омская лаборатория судебной экспертизы Минюста России
Коржов Ф.В. kfv@lse.omsk.ru
Периодически пред экспертами возникает вопрос о получении информации с накопителя
на жестких магнитных дисках имеющего по каким-то причинам неустойчивое чтение: наличие
бэд блоков (как единичных, таки серии), проблемы с контролером и т.д. Получение штатными
средствами информации с такого накопителя порой невозможно – так как зачастую накопитель
либо завешивает процесс клонирования, либо программа, не вычитав плохой, пропускает его.
В таких ситуациях неоценимую помощь оказывает программно-аппаратный комплекс РС3000,
который как раз и предназначен для ремонта/диагностики и извлечения информации в
подобных случаях. Вкратце лишь скажу, что он позволяет создать полную (сектор в сектор)
или частичную копию данных в файлы образов с неисправного носителя на любой другой
исправный носитель, при этом вычитывание информации возможно в различных режимах (как
вперед, так и назад по поверхности, регулируется количество повторов чтения плохих секторов,
прыжки и возвраты с чтением в обратном направлении и т.д.).
Для получения образа в «Data Extractor»’е создаем новую задачу (рис.1) – указываем
каталог для работы программы.
Рис.1
Выбираем устройство для работы, т.е. накопитель с которого буде происходить
считывание информации (рис. 2).
Рис. 2
После указания режима работы программы с накопителем он подключается и мы видим
разделы данного накопителя (рис.3).
Рис. 3
Для создания образа данного накопителя в файл необходимо кликнув правой кнопкой на
устройстве выбрать пункт «Создать Image в файл». Программа выведет запрос о том с какого
по какой LBA будет произведено копировании информации (рисунок не приводил – но по
умолчания установлено с 0 по конечный) и об имени создаваемого образа (рис.5).
Рис. 4
Рис. 5
Далее, полученный образ можно исследовать в программе Encase. Для начала я приведу
пример подключения к версии 6.10. Запускаем Encase – создаем новую задачу. Выбираем пункт
File->Add Raw Image. (Странно, но в версии 6.8 его у меня нет, а в 6.7 и 6.10 есть.)
Рис. 6
В появившемся окне выбираем «disk» и в разделе «Component Files» указываем на
созданный в РС3000 образ (рис. 7). Программа сама определит существующие разделы, их
размер и файловую систему.
Рис. 7
Образ подключен – можно с ним работать (рис. 8), если необходимо, то его для
экономии места можно пережать в нативный формат Encase с компрессией.
Рис. 8
Если используется версия 4.20, то процедура немного будет отличаться. Для начала так
же создаем задачу и выбираем пункт «File->Add Raw Image» (рис 9) и в появившемся окне
выбираем опцию «Disk» с указание пути на образ.
Рис. 9
Рис. 10
Образ подключается, но Encase почему-то не видит разделов (очевидно, какие-то
проблемы при работе с образами), вместо них он видит «Unused Disk Area» (рис 11).
Рис. 11
Для добавления раздела, необходимо на нижней вкладке перейти в режим «Disk».
Выделите «Unused Disk Space» и выбрать 63 сектор ( в текстовой панели в правом нижнем углу
экрана будет стоять «MSWIN4.1» для FAT32 или «NTFS» для NTFS.»). На нем кликнуть правой
кнопкой и выбрать пункт «Add Partition» (рис.12) - по идее должна появиться первый
логический раздел накопителя, но это по идее. Раздел появляется, но как правило пустой (рис.
13).
Рис. 12
Рис. 13
Можно продолжить восстанавливать разделы – но результат будет такой же. Вместо
этого необходимо кликнув в области выбрать пункт «Remove user defined partitions….»(рис. 14).
После чего у данной версии наступает «просветление» и она начинает видеть все разделы
нормально, далее с ними уже можно штатно работать (рис.15).
Сравнение HASH значения образа диска полученного Encase 6.10 с применением Fast
Block с HASH суммой образа полученного с применением РС3000 и подключенного к Encase
показывает полное их совпадение.
Рис. 14
Рис. 15