exFAT 制品的法证分析
密码学与安全
2018-04-25 v1
摘要
尽管保留了从 FAT32 继承的一些基本概念，exFAT 文件系统引入了许多差异，例如目录项的新映射方案。exFAT 映射方案与位图文件分配及 FAT 的使用相结合，带来了新的取证可能。与以往的取证过程相比，删除文件（包括碎片化的）的恢复和 carving 变得更加准确。如今，由于错误解读的高风险，准确且可靠的法证分析比以往任何时候都更需要。事实上，文献中大多数关于 exFAT 结构和取证的相关工作主要基于逆向工程研究，仅少数涵盖法证解读。在本文中，我们提出了一种利用 exFAT 文件系统特性的新方法，通过位图文件分析改进对非活动项的解读，并为 carving 出的文件恢复文件系统元数据信息。实验结果显示了我们的方法如何提高法证解读的准确性。
引用
@article{arxiv.1804.08653,
title = {Forensic Analysis of the exFAT artefacts},
author = {Yves Vandermeer and Nhien-An Le-Khac and Joe Carthy and Tahar Kechadi},
journal= {arXiv preprint arXiv:1804.08653},
year = {2018}
}