Der Windows Volume Shadow Copy Service (VSS) ermöglicht die Sicherung von Dateien, sogar von geschützten Systemdateien, während das Betriebssystem läuft. Windows verwendet VSS, um regelmäßige differenzielle Sicherungen der Datenblöcke auf NTFS-Volumes zu erstellen. Diese Sicherungen werden Volume-Schattenkopien genannt und im Ordner „System Volume Information“ im Stammverzeichnis des Volumes gespeichert. Durch die Analyse dieser Sicherungen können forensische Tools Momentaufnahmen des Systems (einschließlich Benutzerdaten) zu verschiedenen Zeitpunkten bereitstellen, wodurch gelöschte oder überschriebene Dateien, Momentaufnahmen der Registrierung und Protokolldateien von früheren Zeitpunkten sowie Vergleiche wiederhergestellt werden können wie sich Dateien im Laufe der Zeit verändert haben. Auf einem Live-System kann der Befehl vssadmin verwendet werden, um die verfügbaren Volume-Schattenkopien aufzulisten.
Open-Source-Tools können auch verwendet werden, um auf Datenträgerschattenkopiedaten von einem gesicherten Laufwerk zuzugreifen. Ein beliebtes Projekt für diesen Zweck ist libvshadow, zu finden unter https://github.com/libyal/libvshadow. libvshadow ist auch in der SIFT-Forensik-Workstation enthalten. Nach der Installation bietet libvshadow zwei Befehlszeilentools für den Zugriff auf Volumeschattenkopiedaten. Die vshadowinfo zeigt die vorhandenen Volume-Schattenkopien an, und vshadowmount ermöglicht Ihnen, eine bestimmte Volume-Schattenkopie zur weiteren Analyse einzuhängen.
Wenn Sie auf den folgenden Fehler stoßen:
vshadowmount: command not found
Sie können versuchen, das folgende Paket gemäß Ihrer Distributionswahl zu installieren.
| Verteilung | Befehl |
|---|---|
| Debian | apt-get install libvshadow-utils |
| Ubuntu | apt-get install libvshadow-utils |
| Kali-Linux | apt-get install libvshadow-utils |
| Raspbian | apt-get install libvshadow-utils |