Advanced file carving: ontology, models and methods

Abstract

File carving techniques are important in the field of digital forensics. At the same time, the rapid growth in the amount and types of data requires the development of file carving methods in terms of capabilities, accuracy, and computational efficiency. However, most of the methods are developed to solve specific tasks and are based on a certain set of assumptions and a priori knowledge about the files to be recovered. There is a lack of research that systematizes methods and structures approaches to identify gaps and determine perspective directions for development, considering the latest advances in information technology and artificial intelligence. The subject matter of this article is the structure, factors, efficiency criteria, methods, and tools of file carving, as well as the current state and tendencies of development of file carving methods. The goal of this study is to systematize knowledge about advanced file carving methods and identify perspective directions for their development. The tasks to be solved are as follows: to identify the main stages of file carving and analyze approaches to their implementation; to build an ontological scheme of file carving; and to identify perspective directions for the development of carving methods. The methods used were literature review, systematization, and summarization. The obtained results are as follows. An ontological scheme for the file carving concept is constructed. The scheme includes the principles, properties, phases, techniques, evaluation criteria, tools used, and factors influ-encing file carving. The features, limitations, and fields of application of the data recovery methods are provided. It was established that the most widespread approach to file reconstruction is still a manually detailed analysis of the internal structure of files and/or their contents, identifying specific patterns that allow reassembling the sequence of data fragments in the correct order. However, most of the methods do not provide one hundred percent guaranteed results. This article analyzes the current state and prospects of using artificial intelligence methods in the field of digital forensics, particularly for identifying data blocks, clustering, and reconstructing files, as well as restoring the contents of media files with damaged or lost headers. The necessity of having priori information about the file structure or content for successfully carving fragmented data is determined. Conclu-sions. The scientific novelty of the obtained results is as follows: for the first time, advanced file carving methods are systematized and analyzed by directions of development and the perspectives of using artificial intelligence for identifying data blocks, clustering, and file content restoration; for the first time, an ontological scheme of file carving is constructed, which can be used as a roadmap for developing new advanced systems in the digital forensics field.

Техніки карвінгу файлів мають важливе значення у сфері цифрової криміналітики. При цьому бурхливе зростання кількості і типів даних, обумовлює необхідність розвитку методів карвінгу файлів із точки зору можливостей, точнісних характеристик та обчислювальної ефективності. Проте переважна більшість методів розробляється для вирішення конкретних вузьких задач і опирається на певний набір припущень і апріорних знань про файли, які потрібно відновити. Існує брак досліджень, що систематизують методи і структурують підходи задля виявлення прогалин і визначення перспективних напрямків розвитку з урахуванням останніх досягнень в галузі інформаційних технологій та штучного інтелекту. Предметом вивчення в статті є структура, фактори, критерії ефективності, методи та інструменти карвінгу файлів, а також поточний стан і тенденції розвитку методів карвінгу. Метою є систематизація знань про сучасні методи карвінгу файлів та виявлення перспективних напрямків розвитку. Завдання: виділити основні етапи карвінгу файлів і проаналізувати підходи до їх реалізації; побудувати онтологічну схему карвінгу файлів; визначити перспективні напрямки розвитку методів карвінгу файлів. Використовуваними методами є: літературний огляд, систематизація і узагальнення. Отримано такі результати. Побудовано онтологічну схему концепції карвінгу файлів. Схема включає в себе принципи, властивості, етапи, техніки, критерії оцінки, інструменти карвінгу файлів, а також фактори, що впливають на процес. Наведено особливості, обмеження та області застосування методів відновлення даних. Встановлено, що досі широкорозповсюдженим підходом до реконструкції файлів є ручне детальне вивчення внутрішньої структури файлів та/або їх вмісту, виявлення певних закономірностей, що дозво-ляють відтворити у правильному порядку послідовність фрагментів даних. При цьому переважна більшість методів не гарантує стовідсоткового результату. Проаналізовано поточний стан та перспективи використання методів штучного інтелекту в сфері комп’ютерно-технічної експертизи, зокрема для ідентифікації блоків даних, кластеризації та реконструкції файлів, а також відтворення вмісту медіафайлів з пошкодженими або втраченими заголовками. Визначено необхідність наявності апроіорної інформації про структуру або вміст файлів для успішності карвінгу фрагментованих даних. Висновки. Наукова новизна отриманих результатів полягає в наступному: вперше систематизовано і проаналізовано сучасні методи карвінгу файлів за напрямками розвитку і виявлено перспективність використання штучного інтелекту для ідентифікації блоків даних, кластеризації та відновлення вмісту файлів; вперше побудовано онтологічну схему карвінгу файлів, яка може бути використана як дорожня карта під час розроблення нових перспективних систем у сфері комп’ютерно-технічної експертизи.