Halt! Wo bin ich überhaupt?... C:\

Transkript

1

2

3

4

5 Halt! Wo bin ich überhaupt?... C:\

6 FAT32 und Co

7 Dateisysteme Datenträger FAT Forensik

8

9 Bootreihenfolge Einschalten BIOS -> Power-On Self Test (POST) BIOS -> Master Boot Record (MBR) Bootsektor Betriebssystem

10 Schlüsselwörter Datei (file): Sammlung von Daten; besteht aus Dateiname und Attributen (= Meta-Daten) Verzeichnis (directory, folder): Sammlung von Dateien; selbst in Verzeichnisstrukturen organisiert Partition: Aufteilung der Verzeichnisstrukturen in kleinere Teilmengen

11 Es ist Bestandteil des Betriebssystems und beschreibt die Art und Weise, wie Daten auf einem Speichermedium verwaltet werden das Speichern, Lesen oder Löschen von Dateien Dateiname und computerinterne Dateiadressen für den Nutzer in Einklang bringen das leichte Wiederfinden und der Schutz sensibler Daten (Zugriffsberechtigungen)

12 Effiziente Verwaltung des Datenträgers Schneller Aufruf von Dateien über eindeutige Adresse Dauerhafte Speicherung großer Datenmengen Gleichzeitigen Zugriff auf Daten durch mehrere Prozesse Schutzmechanismus für den Datenzugriff

13 Microsoft Dez 1978

14

15 ext, ext2, ext3, ext4, Swap Apple DOS, HFS, HFS+ FAT16, FAT32 MS DOS, exfat, NTFS

16 Dateisysteme Datenträger FAT Forensik

17 Schlüsselwörter Scheibe (Disk): Medium, auf welches durch Magnetisierung Daten gespeichert werden können Spur (Track): konzentrische Kreise auf Festplatte; übereinander liegende Spuren bilden Zylinder Sektor (Sector): kleinste Speichereinheit auf Datenträger/ Festplatte; Normalfall 512 Byte Cluster: Gruppe von Sektoren; kleinste Einheit, die eine Datei belegen kann

18 Große Cluster Pro: wenig Verwaltungsaufwand für große Dateien = geringe externe Fragmentierung Contra: da im Mittel bei jeder Datei ein halber Cluster ver(sch)wendet wird, können kleine Cluster den vorhandenen Speicherplatz rationeller ausnutzen = geringere interne Fragmentierung

19

20 Mit einem Register mit 16 Bit kann man Ohne Sektoren und ohne Cluster 2 16 Adressen adressieren Festplattengröße < 64KiByte Mit Sektoren aber ohne Cluster 2 16 Sektoren 2 16 x 512 Byte Festplattengröße < 32MiByte Mit Clustern und 64 Sektoren pro Cluster 2 16 Cluster 2 16 x 64 x 512 Byte Festplattengröße < 2GiByte

21 Mit einem Register mit 32-4 Bit kann man Ohne Sektoren und ohne Cluster 2 28 Adressen adressieren Festplattengröße < 256MiByte Mit Sektoren aber ohne Cluster 2 28 Sektoren 2 28 x 512 Byte Festplattengröße < 128GiByte Mit Clustern und 64 Sektoren pro Cluster 2 28 Cluster 2 28 x 64 x 512 Byte Festplattengröße < 8TiByte

22

23 CHS (Cylinder Head Sector) BIOS kann nur 1024 Zylinder 16 Köpfe 63 Sektoren ansteuern Sektorgröße von 512 Byte max. 504 MiB

24 LBA (Logical Block Addressing) : Adresse des Blocks nach LBA-Verfahren : Zylindernummer : Zahl der Leseköpfe : Lesekopfnummer : Zahl der Sektoren : Sektornummer

25 Speicherhierarchie Cache -> RAM -> HDD (schnell -> langsam) Plattengeschwindigkeit 7200 U/min ~ 8ms

26 Plattenscheduling (= Warteschlange von Aufträgen zur Bearbeitung) First Comes First Served (FCFS) + kurze Wartezeiten - unnötig viel Armbewegung Shortest Seek Time First (SSTF) + wenig Armbewegung - lange Wartezeit Fahrstuhl-Algorithmus (SCAN) ± begrenzte Wartezeit ± mittlere Armbewegung

27

28 Dateisysteme Datenträger FAT Forensik

29 Schlüsselwörter Master Boot Record (MBR): erster Sektor (512 Byte) auf Datenträger (1x); absolut Boot Record (BR): erster Sektor (512 Byte) auf Partition (4x); relativ File Allocation Table: enthält Informationen zum Dateisystem; verkettete Liste; Inhaltsverzeichnis Datenbereich: enthält die eigentlichen Daten; Seiten eines Buches

30 Nach dem Formatieren einer Festplatte wird sie in der Regel wie folgt aufgeteilt: MBR heißt Master Boot Record Bis zu 4 primäre Partitionen Jede Partition hat einen eigenen Boot Record

31 Master Boot Record (MBR) Physikalischer Sektor 0 (512 Byte) 1. Startcode (bootstrap) 446 Byte 2. Partitionstabelle 4 primäre Partitionen á 16 Byte (eine als aktiv markiert) 3. MBR-Signatur (AA55) 2 Byte

32 Aufbau des Master Boot Records

33 Aufbau eines Eintrages in der Partitionstabelle (im Beispiel ist es der erste Eintrag) Gesamt: 16 Byte

34 AA55 identifiziert den Sektor als MBR

35

36 Ein FAT-Dateisystem gliedert sich in vier Bereiche Reservierte Bereich FAT Bereich Stammverzeichnis Bereich Datenbereich

37 File Allocation Table (FAT) Eine Tabelle mit fester Größe Enthält Informationen über freie und belegte Cluster Der Datenbereich ist in Cluster eingeteilt Zu jedem Cluster gibt es einen Eintrag in der FAT frei (0x ) beschädigt (0x0FFFFFF7) belegt (0x0FFFFFFF) FAT Einträge bilden eine einfach verkette Liste

38 Stammverzeichnis (root directory) Bei FAT32 gibt es kein Stammverzeichnis sondern eine Cluster-Kette für das Verzeichnis variable Größe beliebige Position in Datenbereich Tabelle von Verzeichniseinträgen Jede Datei/Unterverzeichnis bekommt einen (32 Byte langen) Eintrag

39 Eintrag im Stammverzeichnis Dateiname Dateityp Attribute Zusätzliche Informationen Uhrzeit letzte Modifikation Datum letzte Modifikation Nummer des ersten Clusters Größe der Datei in Byte 8 Byte 3 Byte 1 Byte 10 Byte 2 Byte 2 Byte 2 Byte 4 Byte Gesamt: 32 Byte

40 Datenbereich Unterverzeichnis wird als Datei angelegt Eintrag ist mit entsprechendem Bit markiert Ansonsten mit Eintrag im Hauptverzeichnis identisch Können beliebig wachsen ( Cluster-Kette) Keine Begrenzung in der Zahl der verwaltbaren Dateien Jedes Unterverzeichnis enthält bereits 2 Einträge. zeigt auf den ersten Cluster des Ordners.. verweist auf das übergeordneten Verzeichnis

41

42

43 vgl. FAT und NTFS Anders als FAT arbeitet NTFS nicht mit einer Cluster-Tabelle, sondern mit der Master File Table (MFT). Sie nimmt kleine Dateien direkt auf, bei größeren notiert sie die Adresse der zugehörigen Sektoren als Datei-Attribut. Die MFT speichert zu jeder Datei weitere Attribute, beispielsweise die Zugriffsberechtigungen. NTFS ist ein Journaling-Dateisystem, das Veränderungen der Daten protokolliert und nach Abstürzen die zuletzt bearbeiteten Sektoren restauriert.

44 vgl. FAT und NTFS Zukünftige Dateisysteme, sollen Elemente von relationalen Datenbanksystemen enthalten -> WoW!! FAT16 mobile Datenträger < 512MB (< 2GB Datenträger), 8.3 Dateinamen (SFN = Short File Name) <-> LFN File < 2GB, Partition < 2GB -> 512MB bis 2GB Wahl zwischen FAT16 u. FAT32 FAT32 mobile Datenträger > 2GB File < 4GiB 1 Byte, FS < 8 TiB (2^43), bzw. über 260 Mio Dateien, da 2^32 4 mögliche Einträge in FAT siehe später NTFS vgl. FAT32 -> Zugriffsschutz auf Dateiebene (ACL), Datensicherheit durch Journaling siehe später File < 16TiB, FS < 256 TiB, bzw. über 4 Mrd Dateien, da 2^32 1 mögliche Einträge in MFT (Master File Table)

45 FAT32 vs. NTFS Vorteile Der Aufbau ist veröffentlicht und jedermann zugänglich. Einfach zu verstehen Wird von so ziemlich jedem Betriebssystem verarbeitet. Nachteile Relativ langsam. Große FAT-Tabelle bei großen Datenträgern. Selbst FAT32 stößt an seine Grenzen (4GByte maximale Dateigröße) Der Nachfolger exfat ist von Microsoft NICHT offengelegt und noch nicht sehr verbreitet.

46 Dateisysteme Datenträger FAT

47 Dateisysteme Datenträger FAT Forensik

48

49 WinHex Daten in hex lesen Computerforensik Festplatten-Betrachter (MBR, FAT, Dateibereich) RAM-Betrachter (Prozesse, Speicherabbilder) Rettung gelöschter Dateien

50 Puran File Recovery (v1.2) Kostenlose Datenrettungssoftware Scan FAT12/16/32 und NTFS Praktische Baumansicht Integrierter Hex-Editor

51 DBAN Linux-basiertes Live-System Löschen von Daten DoD M RCMP TSSIT OPS-II Gutmann-Methode Geringe Größe 4,5 MB

52