أداة Data Carving

تقوم هذه الأداة بتحليل بيانات ثنائية خامة لتحديد Artefacts للملفات القابلة للاسترداد دون الاعتماد على بيانات وصف النظام. تستخدم محركاً قائمًا على التوقيعات مع أنماط رأس وتذييل ومؤشرات بنيوية لتحديد الملفات وإعادة بنائها ضمن المساحة غير المخصصة أو المناطق التي تم فيها تجاوزها جزئيا. تسعى سير العمل الأساسية لاكتشاف نقاط التوقيع، توسيع الحدود والتحقق من صحة الكتل المستعادة باستخدام قيم تحقق أو صيغ معروفة. تدعم مجموعات توقيعات قابلة للتكوين، حفر يعتمد على أنواع MIME، والتعامل مع التجزئة لتجميع ملفات متعددة الأجزاء. يتم الإبلاغ عن Artefacts المستعادة مع الحجم والنوع وبيانات المكان، ويمكن تصديرها لمزيد من التحليل. المستفيدون: محللو الفحص الجنائي الرقمي، فرق الاستجابة للحوادث والمهندسون المختصون باستعادة البيانات الذين يعملون مع صور القرص، memory dumps أو لقطات الذاكرة. يمكن دمج الأداة في سير عمل أوسع حيث تكون فهارس نظام الملفات مفقودة أو غير موثوقة، مما يسهل جمع الأدلة واستعادة البيانات مع مخرجات قابلة للتوثيق. القيمة الفريدة تكمن في الجمع بين الكشف المدفوع بالتوقيعات، إعادة البناء الحساسة للتجزئة وقوائم Artefact القابلة للتصدير التي تحافظ على الأصل. الوظائف الأساسية تشمل إدارة قاعدة بيانات التوقيعات، استنتاج الحدود، إصلاح الرؤوس الجزئية، والمعالجة اللاحقة الاختيارية لاستنتاج أنواع الملفات من المحتوى. حالات الاستخدام تشمل حفر المستندات المحذوفة من صورة القرص، إعادة بناء البريد الإلكتروني أو الحمَلات من الأرشيف، وعزل شرائح الوسائط القابلة للاسترداد لإعداد التقارير. تركز الأداة على دقة-domain والإخراجات الجنائية القوية على حساب الاعتبارات الخاصة بواجهة المستخدم، لضمان قابلية التكرار والتتبع في التحقيقات.