Odzyskiwanie danych • granice wnioskowania
Odzyskiwanie usuniętych danych: dlaczego brak wyniku nie dowodzi braku zdarzenia
Granice odzyskiwania plików i wiadomości: wynik negatywny, kontekst fragmentów, zakres materiału oraz ostrożność przy interpretacji.
Dwa pytania, których nie należy utożsamiać
„Czy znaleziono plik?” jest pytaniem o wynik określonej czynności na określonym materiale. „Czy plik kiedykolwiek istniał?” dotyczy historii, która może wykraczać poza zachowane źródła. Przejście od pierwszego do drugiego pytania wymaga dodatkowego uzasadnienia. Brak odnalezienia danych w jednej kopii nie jest samodzielną podstawą do twierdzenia, że nigdy ich nie było.
Przegląd naukowych podstaw informatyki śledczej NIST wskazuje m.in., że nie każdy ślad musi zostać wykryty, a odzyskiwanie usuniętych plików może przynieść także materiał nadmiarowy. Autorzy podkreślają znaczenie zmian oprogramowania dla interpretacji artefaktów. [1, Executive Summary]
Znalezienie fragmentu nie kończy badania
Fragment tekstu, miniatura czy nazwa załącznika mogą stanowić punkt wyjścia, ale trzeba ustalić ich relację do badanego zdarzenia. Czy fragment pochodzi z aktywnego rekordu, pozostałości struktury, pliku tymczasowego czy innego źródła? Czy można powiązać go z kontem, datą i rozmową? Jakie części kontekstu są niedostępne?
Proponowana prezentacja wyniku powinna oddzielać treść możliwą do odczytania od informacji odtworzonych pośrednio. Jeśli nie da się wiarygodnie ustalić nadawcy, nie należy dopisywać go na podstawie oczekiwań zleceniodawcy. Jeśli data nie zachowała się w analizowanym źródle, raport powinien to wyraźnie wskazać.
Przykład metodyczny: ślad załącznika bez pełnej treści
Scenariusz hipotetyczny: odzyskano nazwę dokumentu i fragment jego zawartości, lecz nie uzyskano kompletnego pliku. Pierwszą hipotezą jest pozostałość usuniętego dokumentu. Drugą może być fragment kopii lub pamięci podręcznej. Trzecią — dane pochodzące z innego obiektu o podobnej nazwie. Każdą należy skonfrontować ze strukturą i lokalizacją znalezionego materiału.
Wynikiem badania może być ostrożne stwierdzenie obecności określonego fragmentu w określonym źródle. Nie musi nim być pełna rekonstrukcja dokumentu. Dla odbiorcy ważne jest, aby otrzymał również informację o tym, czego wynik nie pozwala rozstrzygnąć: np. kompletnego brzmienia umowy, daty usunięcia czy działania konkretnego użytkownika.
Jak opisać wynik negatywny?
Wynik negatywny nabiera znaczenia dopiero po podaniu zakresu poszukiwania. Obejmuje to materiał, typ danych, przyjęte kryteria, zastosowaną metodę oraz ograniczenia. Sformułowanie „nie ujawniono w przekazanej kopii” ma inny zakres niż „na urządzeniu nigdy nie było”. To rozróżnienie jest szczególnie ważne, gdy badano sam eksport raportu, a nie urządzenie.
NIST SP 800-86 rozdziela wyszukiwanie i wyodrębnianie plików od ich analizy. Własny wniosek metodyczny: w dokumentacji warto osobno przedstawić listę czynności, ich wyniki oraz interpretację. Pozwala to uniknąć sytuacji, w której ograniczenia narzędzia zostają przedstawione jako właściwości badanego zdarzenia. [2, rozdz. 4.3–4.4]
Jak przygotować zlecenie bez obietnicy odzyskania wszystkiego?
Przydatne są informacje o rodzaju urządzenia lub nośnika, przybliżonym czasie utraty danych, dalszym użytkowaniu oraz wcześniej podejmowanych działaniach. Warto sprecyzować, czego poszukujemy: pliku, rozmowy, zdjęcia czy śladu określonej czynności. Im bardziej konkretne pytanie, tym łatwiej ocenić znaczenie częściowego wyniku.
Strona odzyskiwanie danych opisuje sposób wstępnej kwalifikacji. W sprawach dotyczących komunikatorów warto przeczytać również o bazach SQLite i plikach WAL. Warunki przekazania materiału do kancelarii w Krakowie są uzgadniane przed jego wysłaniem.
Źródła i literatura
- Lyle, J. R.; Guttman, B.; Butler, J. M.; Sauerwein, K.; Reed, C.; Lloyd, C. E. (2022). Digital Investigation Techniques: A NIST Scientific Foundation Review. NIST IR 8354, Executive Summary. DOI: 10.6028/NIST.IR.8354.
- Kent, K.; Chevalier, S.; Grance, T.; Dang, H. (2006). Guide to Integrating Forensic Techniques into Incident Response. NIST SP 800-86, rozdz. 4.3–4.4, s. 4-11–4-15. DOI: 10.6028/NIST.SP.800-86.
Linki i przywołane miejsca sprawdzono 18 października 2026 r. Numer strony oznacza paginację publikacji; dokumentacja internetowa bez paginacji jest wskazana przez nazwę sekcji. Przykłady są scenariuszami edukacyjnymi, nie opisami spraw klientów.