Metodyka • dane mobilne
Ekstrakcja danych z telefonu: kopia logiczna, system plików i obraz fizyczny
Jak oceniać zakres analizy telefonu: rodzaje ekstrakcji, stan urządzenia, ograniczenia i dokumentacja badania Androida lub iPhone’a.
Co właściwie oznacza pozyskanie danych?
Ekstrakcja jest etapem pozyskania materiału, na podstawie którego dopiero przeprowadza się badanie i formułuje wnioski. Określenie „zrobiono kopię telefonu” jest zbyt ogólne: nie podaje źródeł objętych kopią, sposobu dostępu ani zakresu danych pominiętych. Dla odbiorcy opinii ważniejszy od samej nazwy metody jest opis tego, co faktycznie uzyskano i jak wynik odnosi się do pytania zleceniodawcy.
NIST rozróżnia metody pozyskiwania danych mobilnych oraz oddziela pozyskanie, analizę i raportowanie. Jest to opracowanie z 2014 r.: pozostaje użytecznym punktem odniesienia dla struktury pracy, ale nie stanowi aktualnej listy obsługiwanych telefonów. [1, rozdz. 3.1 i 5]
Trzy poziomy dostępu — i trzy różne pytania
Pozyskanie logiczne korzysta z danych udostępnianych przez system, aplikację lub mechanizm kopii zapasowej. Dostęp do systemu plików może ujawnić dodatkowe struktury, bazy i pliki pomocnicze. Obraz fizyczny opisuje pozyskanie danych na innym poziomie reprezentacji pamięci. Tych nazw nie należy traktować jak prostego rankingu „gorsza–lepsza”: interpretacja zależy od konkretnej implementacji, szyfrowania i stanu urządzenia. [1, rozdz. 3.1 i 5.3]
Proponowana kontrola metodyczna polega na zadaniu trzech pytań: czy wybrany sposób obejmuje poszukiwane źródło; czy materiał jest czytelny; czy jego kompletność można ocenić w odniesieniu do zadanego przedziału czasu? Duży rozmiar kopii nie odpowiada samodzielnie na żadne z nich. Także poprawne zakończenie procesu nie oznacza, że dostępne były wszystkie rozmowy i załączniki.
Dlaczego ten sam model telefonu może dać inny wynik?
Producent MOBILedit opisuje zależność dostępu od stanu urządzenia, zabezpieczeń i obsługiwanych metod. Rozróżnia też analizę urządzenia oraz odrębne możliwości pracy ze źródłami chmurowymi. Opis edycji ULTRA jest deklaracją funkcji produktu, a nie gwarancją pozyskania pełnej zawartości każdego egzemplarza. [2]
W praktycznej kwalifikacji zlecenia należy odnotować model, wersję systemu, dostępność kodu, stan uruchomienia, zauważone uszkodzenia i wcześniejsze działania. Taki zestaw informacji pozwala wyjaśnić, dlaczego wynik jednej analizy nie może być automatycznie obiecany innemu klientowi. Zmiana warunków wejściowych może wymagać ponownej oceny metody.
Przykład metodyczny: rozmowa jest, załącznika brak
Scenariusz hipotetyczny: w raporcie znajdują się tekst rozmowy i nazwa pliku, lecz nie ma samego załącznika. Możliwe wyjaśnienia obejmują ograniczony zakres pozyskania, brak pliku lokalnie albo istnienie jedynie odwołania w bazie. Z takiego wyniku nie należy od razu wyprowadzać tezy o celowym usunięciu pliku przez konkretną osobę.
Proponowany tok badania to identyfikacja rekordu źródłowego, sprawdzenie ścieżki lub identyfikatora załącznika, zestawienie z pozyskanym katalogiem plików oraz określenie, czy zakres zlecenia pozwala badać inne legalnie dostępne źródła. Jeśli sprawdzenie nie rozstrzyga przyczyny, należy ją pozostawić jako nierozstrzygniętą, zamiast zastępować hipotezę kategorycznym stwierdzeniem.
Co powinno znaleźć się w opisie wyniku?
Odbiorca powinien móc odtworzyć związek między pytaniem, materiałem i odpowiedzią. Pomaga w tym tabela: źródło, metoda, data pozyskania, wersja narzędzia, zakres czasowy, wynik oraz ograniczenia. Dodatkowo warto wskazać, czy badano urządzenie, import wcześniej wykonanej kopii, czy jedynie raport przekazany przez inną osobę.
Przed zleceniem analizy telefonu w Krakowie lub z innej miejscowości wystarczy opisać urządzenie i problem. Hasła oraz materiał dowodowy przekazuje się później, w uzgodniony sposób. Techniczny zakres pracy z narzędziem opisuje również strona MOBILedit Forensic ULTRA.
Źródła i literatura
- Ayers, R.; Brothers, S.; Jansen, W. (2014). Guidelines on Mobile Device Forensics. NIST SP 800-101 Rev. 1, rozdz. 3.1, s. 15–22; rozdz. 5, s. 37–47; rozdz. 7, s. 55–57. DOI: 10.6028/NIST.SP.800-101r1.
- Compelson. MOBILedit Forensic Editions – Choosing the Right Version, sekcje PRO Edition, ULTRA Edition i Cloud Forensic. Dokumentacja producenta, bez paginacji; dostęp: 18.10.2026.
Linki i przywołane miejsca sprawdzono 18 października 2026 r. Numer strony oznacza paginację publikacji; dokumentacja internetowa bez paginacji jest wskazana przez nazwę sekcji. Przykłady są scenariuszami edukacyjnymi, nie opisami spraw klientów.