Le service Windows Volume Shadow Copy (VSS) permet d'effectuer des sauvegardes de fichiers, même des fichiers système protégés, pendant que le système d'exploitation est en cours d'exécution. Windows utilise VSS pour effectuer des sauvegardes différentielles périodiques des blocs de données sur les volumes NTFS. Ces sauvegardes sont appelées clichés instantanés de volume et sont stockées dans le dossier System Volume Information à la racine du volume. L'analyse de ces sauvegardes permet aux outils médico-légaux de fournir des instantanés de ce à quoi ressemblait le système (y compris les données utilisateur) à différents moments, permettant la récupération de fichiers supprimés ou écrasés, des instantanés du registre et des fichiers journaux à des moments antérieurs, et des comparaisons. de la façon dont les fichiers peuvent avoir changé au fil du temps. Sur un système en direct, la commande vssadmin peut être utilisée pour répertorier les clichés instantanés de volumes disponibles.
Des outils open source peuvent également être utilisés pour accéder aux données de cliché instantané de volume à partir d'un lecteur imagé. Un projet populaire à cet effet est libvshadow, situé sur https://github.com/libyal/libvshadow. libvshadow est également inclus dans le poste de travail d'investigation SIFT. Une fois installé, libvshadow fournit deux outils de ligne de commande pour accéder aux données du cliché instantané de volume. Le vshadowinfo affiche les clichés instantanés de volume présents et vshadowmount vous permet de monter un cliché instantané de volume spécifique pour une analyse plus approfondie.
Si vous rencontrez l'erreur ci-dessous :
vshadowmount: command not found
vous pouvez essayer d'installer le package ci-dessous selon votre choix de distribution.
| Répartition | Commande |
|---|---|
| Debian | apt-get install libvshadow-utils |
| Ubuntu | apt-get install libvshadow-utils |
| Kali Linux | apt-get install libvshadow-utils |
| Raspbian | apt-get install libvshadow-utils |