Recuperação de dados e data carving
A recuperação de dados busca localizar arquivos e vestígios ainda disponíveis em uma mídia ou conjunto de dados acessível. O trabalho pode envolver a análise do sistema de arquivos, de estruturas remanescentes e de imagens forenses, conforme as condições do material.
Data carving é uma técnica que busca reconhecer e recuperar conteúdo a partir de padrões e estruturas dos arquivos, inclusive em áreas não alocadas de uma imagem de armazenamento. Pode auxiliar na localização de arquivos excluídos ou fragmentos quando os registros normais do sistema de arquivos não estão disponíveis.
Arquivos recuperados por carving podem não conservar o nome, o caminho ou os registros de datas do sistema de arquivos. O conteúdo precisa ser examinado e relacionado a outros elementos antes de sustentar conclusões sobre sua origem ou utilização.
A viabilidade depende de fatores como sobrescrita, fragmentação, criptografia, condições da mídia e mecanismos de descarte de dados, como TRIM. Em dispositivos móveis modernos, o acesso e a recuperação também dependem do aparelho, do sistema e da extração disponível.
Aplicações
- Busca de arquivos excluídos.
- Identificação de fragmentos.
- Exame de mídias e imagens forenses.
- Análise de vestígios pertinentes a uma investigação técnica.