614373427

Załącznik. Dobre praktyki - badanie dysku twardego (Dokument opracowany przez Sekcję Informatyki Sądowej Polskiego Towarzystwa Informatycznego, rekomendowany przez Pracownię Badań Komputerów Laboratorium Kryminalistycznego Komendy Wojewódzkiej Policji w Łodzi, wersja 0.3. z 14 grudnia 2009 r.)

Rozpoczęcie badań.

1.    Podczas pracy z dyskiem używaj zabezpieczeń przed elektrycznością statyczną (mata uziemiająca, opaski na ręce).

2.    Wykonaj dokumentację fotograficzną oraz opisową zapewniającą jednoznaczną identyfikację dostarczonego do badań materiału dowodowego. Uwzględnij widoczne uszkodzenia dysku: wgniecenia, otwory itd. Jeśli stan uszkodzeń wskazuje na to, żc uruchomienie dysku mogłoby doprowadzić do jego zniszczenia rozważ wymianę obudowy i elektroniki dysku.

3.    Podłącz dysk za pośrednictwem urządzeń sprzętowych uniemożliwiających modyfikację analizowanych danych tzw. writc-blockerów.

4.    Wykonaj kopię bitową dysku^A na inny nośnik, a następnie kopię tejże kopii. Podczas wykonywania kopii oblicz sumę kontrolą SHA1 lub/i MD5. Jeśli to konieczne wykonaj w analogiczny sposób kopie partycji i dysków logicznych.

^A Komentarz: należy wykonać przede wszystkim kopię bitową dysku (całego nośnika), a nie pojedynczych partycji czy dysków logicznych (te mogą być wykonane w dalszej kolejności). Kopie partycji i dysków logicznych należy wykonać bez montowania systemów plików znajdujących się na dyskach logicznych (w tablicach opisujących alokację plików i katalogów na dyskach mogą być fałszywe informacje o zawartości poszczególnych klastrów np. fałszywe bad sec-tonf, w których ukrywają się kody wirusów itd.).

201