데이터 이미징

손상된 드라이브를 위한 안전망으로서의 디스크 이미징

디스크가 클릭을 시작하거나, I/O 오류가 발생하거나, 불량 섹터가 보고되면 추가로 읽을 때마다 장애 위험이 높아집니다.
이때 개별 파일을 복사하는 것은 득보다 실이 많은 경우가 많습니다.

디스크 이미징이 대안이 될 수 있습니다.
드라이브의 전체 블록 수준 사본을 한 번 캡처한 다음 장애가 발생한 하드웨어 대신 해당 이미지에서 분석 또는 복구를 실행합니다.

디스크 이미지가 드라이브를 나타내는 방법

디스크 이미지는 저장 장치의 섹터별 스냅샷으로 작동합니다.
부트 섹터, 파티션 테이블, 파일 시스템 메타데이터, 할당되지 않은 공간 등 주소 지정이 가능한 모든 블록을 기록합니다.

이미지에는 할당되지 않은 섹터가 보존되므로 삭제된 파일의 잔여 부분도 보존됩니다.
그러면 도구는 실제 디스크를 스캔할 때와 똑같이 이미지를 스캔할 수 있지만 원본 장치에 스트레스를 주지 않습니다.
따라서 이미징은 포렌식의 핵심 기술이 되고 있습니다. 데이터 복구.

파일 수준 복사본과 디스크 이미징 비교

단순 파일 복사는 파일 시스템에 여전히 목록에 있는 파일에만 영향을 줍니다.
디렉터리 구조가 실패하거나 파티션이 RAW로 바뀌면 이러한 접근 방식은 빠르게 중단됩니다.

디스크 이미징을 사용하면 이러한 약점을 피할 수 있습니다:

• 파일 시스템 상태를 무시하고 대신 원시 섹터를 읽습니다.

• 일반 도구가 건너뛰는 숨겨진 영역과 시스템 영역을 보존합니다.

• 이전 파티션과 파일 시스템의 증거를 캡처합니다.

따라서 여러 복구 패스와 향후 도구에 대한 옵션을 열어 두어야 합니다..

데이터 이미징의 일반적인 용도

몇 가지 반복되는 시나리오에서 데이터 이미징을 볼 수 있습니다:

• 데이터 복구 고장난 HDD 및 SSD로부터 보호

• 법률 또는 사고 조사를 위한 디지털 포렌식

• 레거시 하드웨어에서 새로운 스토리지로 시스템 마이그레이션

• 이미지 수준 스냅샷에 의존하는 대규모 백업 전략

각각의 경우에 팀은 반복적인 위험한 액세스 없이 원본 디스크의 정확한 표현을 원합니다.

복구 및 분석을 위한 이미징 워크플로우

구조화된 워크플로를 통해 손상된 드라이브를 이미지화하는 동안 실수를 방지할 수 있습니다.

준비 및 하드웨어 설정

먼저 환경을 안정화합니다:

• 안정적인 전원을 갖춘 안정적인 워크스테이션을 사용하세요.

• 의심되는 드라이브를 부팅 디스크가 아닌 보조 장치로 연결합니다.

• 포렌식 작업 중에는 쓰기 차단기 또는 읽기 전용 어댑터를 선호합니다.

• RAW로 표시되더라도 BIOS와 OS가 드라이브를 감지하는지 확인합니다.

읽기만 하려면 이미지를 캡처하기 전에 복구 도구를 실행해서는 안 됩니다.

디스크 이미지 만들기

다음으로 이미지를 캡처합니다:

1. 섹터별 복사를 지원하는 이미징 도구를 선택하세요.

2. 소스 디스크를 신중하게 선택하고 대상 경로를 다시 확인합니다.

3. 여유 공간이 충분한 디스크에 이미지를 저장하세요.

4. 로그 및 사용 가능한 경우 불량 섹터 처리 옵션을 활성화합니다.

드라이브에 취약한 섹터가 표시되면 일부 도구는 읽기 속도 또는 재시도 횟수를 줄여 스트레스를 제한합니다.
결과적으로 모든 바이트를 캡처하지는 못하지만 하드웨어가 허용하는 한 많은 바이트를 보존할 수 있습니다.

원본이 아닌 이미지로 작업하기

이미징 후 초점을 전환합니다:

• 이미지 파일을 가상 디스크로 마운트하거나 분석 도구에서 직접 열 수 있습니다.

• 파일 시스템 검사, 카빙 및 데이터 복구 를 클릭합니다.

• 두 번째 패스가 필요하지 않는 한 원래 드라이브의 전원을 꺼두세요.

Amagicsoft 데이터 복구 는 실제 디스크를 스캔하는 것과 동일한 방식으로 디스크 이미지를 스캔할 수 있습니다.
이 접근 방식을 사용하면 소스 미디어를 다시 건드리지 않고도 다양한 전략을 시도할 수 있습니다.