SSD 取证：基于 Trim 分析的固态硬盘证据生成与取证研究
密码学与安全
2023-07-21 v1 信息论
math.IT
摘要
由旋转磁介质盘片组成的传统硬盘正成为过去，随着最新数字技术和电子设备的出现，对更快、更轻且更可靠的替代存储解决方案的需求势在必行。为满足这些要求，诸如固态硬盘（SSD）之类的闪存存储技术已取代传统硬盘驱动器。在闪存存储设备的取证分析中，取证调查人员面临严峻挑战，因为固态存储媒体的固有行为相较于传统存储媒体设备看起来并不有利。磨损均衡（Wear Leveling）作为固态硬盘（SSD）中的基本机制，构成了严重挑战，在许多情况下往往会破坏取证证据。这使得取证调查人员难以恢复必要证据。闪存媒体中已删除数据的持久性取决于各种因素，如垃圾回收（Garbage Collection）过程、TRIM 命令、闪存媒体类型、制造商、容量、文件系统、所保存文件的类型以及操作系统等。鉴于此，进行了大量实验以识别数据恢复和 carving 的概率。分析了具有相同的存储容量并使用不同类型文件的来自不同制造商的固态硬盘（SSD）中磨损均衡和垃圾回收过程的影响。总之，实验结果确立了这样一个事实：固态媒体中的磨损均衡会混淆数字证据，并且关于存储媒体行为的传统假设不再有效。此外，数据持久性还取决于制造商、数据删除后取证分析的时间间隔、文件类型以及存储在固态硬盘（SSD）中的文件大小。
引用
@article{arxiv.2307.10192,
title = {SSD Forensic: Evidence Generation And Forensic Research On Solid State Drives Using Trim Analysis},
author = {Hassan Jalil Hadi and Irshad ullah and Sheetal Harris},
journal= {arXiv preprint arXiv:2307.10192},
year = {2023}
}