Proposta de método para aumento de desempenho na duplicação forense de discos rígidos

Abstract

O crescimento no tamanho dos discos rígidos demanda um tempo cada vez maior na análise forense dos dados. Uma das etapas da análise forense é a de preservação da evidência digital, sendo que a duplicação forense é a técnica usada para garantir essa preservação. Este trabalho objetiva verificar se o desempenho do processo de duplicação forense pode ser otimizado, com o uso de um método que forneça o cenário de melhor desempenho, baseado no desempenho de ferramentas conhecidas. Os cenários testados incluem a variação do sistema de arquivo destino, do tamanho de setores por bloco e da natureza dos dados de origem. Foram utilizadas as ferramentas LinEn, FTKImager e EWFAcquire, para gravação de imagens no formato E01, e as ferramentas DC3DD e DCFLDD, para o formato RAW. Os resultados mostram que dados de origem muito heterogêneos e o número de setores por bloco não influenciam no desempenho da duplicação forense na criação de imagens em formato RAW. O sistema de arquivos FAT32 apresentou um melhor desempenho para este formato. Para o formato E01, o uso do sistema de arquivos FAT32 e de 512 setores por bloco garantiu um melhor desempenho. Entretanto, quando o formato da imagem for o E01 comprimido, dados heterogêneos influenciam negativamente o desempenho. A partir destes resultados, a aplicação dos passos adicionais propostos apontou para a melhor configuração a ser usada para obter um melhor desempenho na duplicação forense. __________________________________________________________________________________ ABSTRACT

The increase in size of the hard disk drive requires a time increasing the forensic analysis of data. One of the stages of forensics is the preservation of digital evidence, and forensic duplication is a technique used to ensure that preservation. This work aims to check if the performance of forensic duplication process can be optimized, through a proposed method that points to the best performance scenario, based on the performance of known tools. The scenarios tested include the variation of the destination file system, the size of sectors per block of the destination image file and the nature of the source data. Were used the tools Linen, FTKImager and EWFAcquire for images in E01 format, and the tools DC3DD and DCFLDD for images in RAW format. The results show that very heterogeneous source data and the number of sectors per block does not influence the performance of forensic duplication for images with RAW format. Also, for the RAW format, the FAT32 file system showed a better performance. For the E01 format, using the FAT32 file system and 512 sectors per block ensured a better performance. However, when the image format used was the compressed E01, heterogeneous data negatively influenced the overall performance. From these results, the application of the proposed additional steps pointed to settings to use for acquiring a better performance in forensic duplication.