Когато говорим за възстановяване на данни от стандартен компютър, процесът най-често разчита на намирането и поправянето на файловата таблица (индексът на диска). Но какво се случва, когато този индекс е безвъзвратно унищожен след форматиране, или когато устройството – като DVR системите за видеонаблюдение – изобщо не използва стандартна файлова система?
Тук приключват възможностите на масовия софтуер от интернет и започва територията на дигиталната криминалистика (Digital Forensics). За да спасим вашите критични видео доказателства или изтрити бази данни, ние слизаме на най-ниското възможно ниво – това на суровите нули и единици (RAW Data).
В тази статия ще повдигнем завесата над двата най-сложни и мощни метода в нашата лаборатория: Де-мултиплексирането и Carving-а.
Проблемът с „плетеницата“ от данни: Как записва един DVR?
За да разберете защо тези процеси са необходими, трябва да визуализирате как работи една система за видеонаблюдение. Ако имате 8 охранителни камери, хард дискът не създава 8 отделни видео файла. Вместо това, DVR контролерът записва информацията в реално време като един непрекъснат поток.
Той взема малък блок данни (фрейм) от Камера 1, веднага след него записва блок от Камера 2, после от Камера 3 и така нататък. Този процес на сплитане на различни потоци в една обща пътека се нарича мултиплексиране (Multiplexing). Суровите данни върху диска приличат на здраво сплетено въже от 8 различни нишки.
Ако файловата система (която знае как да разплете това въже) бъде форматирана или изтрита, видео плейърите виждат само една нечетима бъркотия. Ако се опитате да възпроизведете този суров поток, ще видите хаотично прескачане на кадри от различни камери в рамките на една секунда, често придружени от зелени екрани и артефакти.
Стъпка 1: Де-мултиплексиране (De-multiplexing)
За да спасим записите, първата стъпка е да изолираме всяка камера в нейната собствена „времева линия“. Това е същността на де-мултиплексирането.
Тъй като всяка марка (Dahua, Hikvision, Sony и стотици други китайски производители) използва свой собствен, патентован и често непубликуван алгоритъм за мултиплексиране, няма универсален бутон „Поправи“. В нашата лаборатория процесът протича така:
Хексадесетичен (HEX) анализ: Инженерите ни изследват суровия код на диска, за да открият специфичните маркери (тагове), които контролерът е оставял преди всеки видео блок.
Реверсивен инженеринг: Разгадаваме алгоритъма – какъв е размерът на всеки блок, къде се съхранява времевият печат (Timestamp) и как са номерирани каналите (камерите).
Софтуерно разделяне: Използвайки специализирани хардуерно-софтуерни комплекси за криминалистичен анализ, ние инструктираме системата да премине през целия терабайтов диск, да разплете „въжето“ и да създаде отделни, чисти потоци за всяка от 8-те камери.
Стъпка 2: Data Carving (Извличане на ниво сигнатури)
След като видео потоците са разделени, идва ред на процеса Carving (от англ. carve – дълбая, изрязвам). Това е техника за възстановяване на файлове без помощта на файлова таблица, базирана единствено на тяхната уникална структура (сигнатура).
Всякакъв тип файл (независимо дали е MP4 видео, JPEG снимка или PDF документ) има специфично начало (Header) и специфичен край (Footer). Например, повечето JPEG файлове в суровия си шестнадесетичен вид винаги започват с байтовете FF D8 FF и завършват с FF D9.
Как работи Carving-ът при видеозаписите?
Сканиране на сляпо: Системата „чете“ милиардите байтове от вече де-мултиплексирания поток, търсейки специфичните видео хедъри (напр. H.264 или H.265 кодеци).
Изрязване (Carving): Когато софтуерът открие началото на видео файл (Header), той започва да „копира“ данните, докато не срещне маркера за край (Footer) или докато не достигне предварително зададен максимален размер на файла.
Сглобяване: Резултатът е напълно чист, възпроизвеждащ се видео файл, извлечен директно от физическите плочи на диска, въпреки че логически той е бил „унищожен“.
Експертиза, оборудване и локално предимство
Извършването на успешно де-мултиплексиране и RAW carving не е задача за стандартен ИТ сервиз. Тези процедури изискват огромна изчислителна мощ, специализирани форензик инструменти (често използвани от правоохранителните органи) и най-вече – дълбоки инженерни познания по файлови структури.
Когато имате нужда от критично видео доказателство за съда, полицията или застрахователите, времето и сигурността на доказателствата са безценни. Нашата лаборатория в България разполага с нужното оборудване от най-висок клас, за да анализира суровите данни на всякакъв тип носители. Работим при строга конфиденциалност и спазваме протоколите за дигитална криминалистика (напр. използване на хардуерни Write-blockers), за да гарантираме, че извлечените записи запазват своята юридическа тежест.
