アンタイ・フォレンジック伝道者の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

2.Unallocated Clusters

まずはファイル名の痕跡を探す。ファイルシステムによってファイル名の文字コードが異なるので、その点を考慮してパターン検索を行う。
ファイル名はないけど、ファイルが存在していた痕跡を探したい場合には、該当ファイル内のデータをバイナリパターンで検索するとか。
ファイル名が変更されていた可能性を考慮した場合に、タイムスタンプ値を探してみるというのも案としてはありか?ファイルの名前は変ってもタイムスタンプがそのままであれば、ナノ秒単位まで一致するケースは少ない?ZIPとかから展開したりすると丸められるのでそうでもない?、探したいファイルのオリジナルが確認できる場合に限定。
$FILE_NAMEの構造を使ってファイルサイズを探すパターンを作成してみてもよいかも?やったことないけどノイズがかなり多くなりそうな気もしますね。