Dijital Adli Bilişim - Dosya Kurtarma Gerçekten Mümkün mü? SSD, TRIM ve Geriye Kalan Veriler

Bir dosyayı sildiniz. Geri Dönüşüm Kutusuna da boşalttınız. Bir kurtarma programının onu geri getirebileceğini duydunuz. Ancak başka bir bilgisayarda aynı yöntem hiçbir sonuç vermedi. Neden?

Çünkü; dosya silme işlemi bütün depolama aygıtlarında aynı fiziksel sonucu oluşturmaz. Silmek ile veriyi fiziksel olarak yok etmek farklıdır

Bazı dosya sistemlerinde silme işlemi, veri bloklarını yeniden kullanılabilir olarak işaretler. Eski baytların ne kadar süre erişilebilir kaldığı, sonraki disk faaliyetlerine ve depolama sistemine bağlıdır.

Geleneksel manyetik disklerde bazı veri kalıntıları geri getirilebilir olabilir. Ancak, yeni veri yazıldıkça kurtarma ihtimali azalabilir.

SSD neden farklı davranır?

SSD'ler, flash bellek ve özel denetleyiciler kullanır. TRIM gibi mekanizmalar, artık kullanılmayan veri alanlarının cihaza bildirilmesini sağlar.

Depolama denetleyicisi bu bilgiyi kendi veri yönetimi işlemlerinde kullanabilir. Bu nedenle silinmiş verilerin kurtarılabilirliği, manyetik disklere kıyasla farklı olabilir. Ancak; "SSD'den hiçbir silinmiş veri kurtarılamaz" ifadesi de genellemedir. Şifreleme, depolama aygıtı, işletim sistemi ve edinim koşulları sonucu etkiler.

Dosya içeriği yoksa başka ne araştırılabilir?

Dosyanın gerçek içeriği kurtarılamasa bile belirli metadata kayıtları, dosya adları veya değişiklik göstergeleri bulunabilir. Bu tür bilgiler geçmiş faaliyetleri anlamaya yardımcı olabilir.

Dosyanın adını bulmak, dosyanın içeriğini kurtarmakla aynı şey değildir. Bir dosya kurtarma yazılımının gösterdiği ad ve boyut bilgilerinin de ayrıca doğrulanması gerekir.

Deneyin ama doğru ortamda

Kendinize ait ve önem taşımayan bir test diski kullanın. Örnek dosyalar oluşturun, bir bölümünü silin ve edinim yapmadan önce yeni veri yazımının sonuçları değiştirebileceğini dikkate alın.

Kurtarma aracıyla elde ettiğiniz dosyaların gerçekten açılıp açılmadığını, boyutlarının ve içeriklerinin beklenen değerlerle uyumlu olup olmadığını karşılaştırın.

Gerçek delil üzerinde deneme yanılma yapmak yerine, mümkün olduğunda korunmuş kopyalar üzerinden çalışın.

Sonuç

Silinen veri hakkında güvenilir değerlendirme yapabilmek için depolama teknolojisini anlamak gerekir. Silinen bir dosyanın adı, içeriği ve işlem geçmişi aynı şey değildir. Birinin bulunması diğerlerinin de kurtarıldığını göstermez.

Kaynaklar