Carving de fichiers

Le carving de fichiers (file carving) consiste à récupérer des fichiers dans des données brutes en reconnaissant leur contenu, plutôt qu'en suivant les enregistrements du système de fichiers. Un outil de carving parcourt une image disque, l'espace non alloué, le slack de fichier ou un dump mémoire à la recherche de signatures connues, comme les octets d'en-tête d'un JPEG ou d'un PDF, et extrait les données jusqu'à un pied de fichier correspondant, un champ de taille ou une longueur maximale.

Le carving est utile quand les métadonnées ont disparu : l'enregistrement $MFT d'un fichier supprimé a été réutilisé, le volume a été reformaté, ou les données se trouvent dans un fichier comme pagefile.sys qui n'a pas de structure interne de fichiers. Au-delà des fichiers entiers, il permet aussi d'extraire des enregistrements plus petits, comme des événements de journal, des entrées MFT ou des URL.

Ses limites doivent être bien comprises :

• Les fichiers récupérés n'ont ni nom, ni chemin, ni horodatages du système de fichiers d'origine.
• Les fichiers fragmentés sont souvent récupérés incomplets ou mêlés à des données sans rapport, car le carving de base suppose un contenu contigu.
• Une correspondance de signature peut être un faux positif : chaque résultat doit être validé.

Parmi les outils libres courants figurent PhotoRec, Scalpel, Foremost et bulk_extractor (qui extrait des éléments comme des adresses e-mail et des URL plutôt que des fichiers entiers). Documentez l'outil, sa version et ses paramètres : les résultats varient selon l'outil. Voir aussi NTFS.