Forensic analysis of the Btrfs file system

Abstract

В работе рассмотрены существующие инструменты для криминалистического анализа файловой системы Btrfs, изучены способы восстановления удаленных и поврежденных данных как с помощью встроенных механизмов системы, так и с помощью оставшихся валидными метаданных. Описан реализованный модуль, позволяющий работать с Btrfs в режиме чтения с изученными раннее механизмами с дальнейшей интеграцией его в коммерческий продукте компании «Белкасофт».

The paper examines the existing tools for forensic analysis of the Btrfs file system, examines ways to recover deleted and corrupted data both using the built-in mechanisms of the system and using the remaining valid metadata. An implemented module is described that allows working with Btrfs in read-only mode with the mechanisms studied earlier with its further integration into a commercial product of Belkasoft.