Название «полная копия» ещё ничего не решает

Резервная копия обычно создаётся для восстановления данных или работоспособности системы. Образ диска описывает способ представления содержимого носителя. Эти понятия могут пересекаться: некоторые средства резервирования тоже создают образы. Поэтому выбирать материал только по словам «backup» или «image» ненадёжно.

Для исследования важно понять, какие данные реально включены, на какой момент и каким способом получены. Архив папки с документами, выгрузка базы и побитовый образ всего доступного носителя решают разные задачи. Расширение файла не заменяет описание процедуры.

В чём принципиальное различие охвата

NIST различает логическое копирование файлов и каталогов и побитовое создание образа, охватывающее также свободное пространство и остаточные области. Это объясняет, почему обычного архива существующих файлов может оказаться недостаточно для вопроса об удалённых данных. NIST SP 800-86, раздел 4.2.

Однако слово «образ» не гарантирует, что успешно прочитаны все нужные области. Бывают ограниченный диапазон копирования, ошибки чтения и недоступные зашифрованные данные. В описании результата нужны фактический охват и ограничения, а не только сообщение «операция завершена».

В обычном резервировании состав задаётся настройками. Например, Microsoft описывает отдельное включение файлов, папок, томов и состояния системы. Следовательно, наличие резервной копии Windows не позволяет без проверки утверждать, что она содержит произвольный интересующий каталог. Microsoft: wbadmin start backup.

Выбирайте материал под конкретную задачу

Если требуется узнать, какие значения были в отчёте на определённую дату, полезна существующая резервная копия приложения того периода. Сегодняшний образ диска не становится автоматически снимком прошлого. Для истории изменений иногда важнее несколько датированных копий, чем один большой современный файл.

Если вопрос касается удалённого документа или следов файловой системы, нужно отдельно оценить необходимость образа. При этом никакой способ копирования не возвращает гарантированно всё утраченное. Результат зависит от сохранившихся данных и доступности носителя.

До самостоятельных действий согласуйте способ получения материала. Не запускайте восстановление поверх единственного исследуемого диска и не устанавливайте на него дополнительные программы. Если устройство уже работает, решение о выключении тоже не должно быть автоматическим: оно зависит от задачи и состояния системы.

Чек-лист проверки копии

  • Укажите устройство, приложение или каталог, с которого получен материал.
  • Запишите дату, время, часовой пояс и обстоятельства создания копии.
  • Уточните фактически включённые разделы, файлы и исключения.
  • Сохраните название и версию инструмента, параметры и журнал операции.
  • Отметьте ошибки чтения, пропущенные объекты и необходимость ключей доступа.
  • Проверьте целостность и возможность чтения результата на отдельном рабочем экземпляре.
  • Для цепочки резервирования передайте необходимые базовые и последующие части.
  • Сопоставьте содержание копии с вопросом, а не только с размером архива.

Условный пример: исчезнувший проект программы

Предположим, рабочая папка проекта удалена, но сохранилась недельная копия базы учёта задач. Она может показать карточки заданий, однако не обязана содержать исходники. Архив репозитория, подготовленный месяц назад, даст другое состояние проекта и другую границу доступной истории.

В этой ситуации полезно составить карту материалов: что сохранено, за какой период и какие вопросы каждый объект позволяет проверить. Отсутствие исходников в резервной копии базы не доказывает, что исходников не было на компьютере.

Как оценивать надёжность результата

Значимы проверяемая процедура и свойства инструмента. Программа NIST CFTT занимается методиками тестирования forensic-инструментов, включая средства создания образов; само название продукта не заменяет понимания его возможностей. NIST: Computer Forensics Tool Testing.

Для передачи достаточно ясно описать, что удалось сохранить и что осталось недоступным. Такая граница полезнее обещания «копия содержит абсолютно всё». Резервный архив и образ могут дополнять друг друга, если относятся к разным датам или уровням системы.