16、SSD 取证：证据生成与分析

SSD 取证：证据生成与分析

在当今科技驱动的世界里，计算机技术发展日新月异，用于促进证据发现和收集的计算机取证调查工具及技术也必须与时俱进。随着市场从传统的磁性硬盘驱动器（HDD）迅速向固态硬盘（SSD）过渡，SSD 在消费和商业计算及娱乐产品中逐渐取代 HDD，成为主流的二级存储设备。然而，SSD 的取证分析面临着诸多挑战，与 HDD 存在显著差异。

1. HDD 与 SSD 的差异

• HDD 的存储原理 ：HDD 通过旋转的磁性磁盘上的轨道来存储二进制数据，采用簇、磁头、扇区（CHS）和逻辑块寻址（LBA）两种寻址方式来组织数据。操作系统能够利用这些寻址方法直接定位 HDD 上的数据。HDD 的存储空间被划分为 512 字节的块，其磁性磁盘能够承受数百万次的重写操作，数据通常可以在 HDD 上安全存储数年而不会出现明显的退化。
• SSD 的存储特性 ：SSD 使用 NAND 闪存来持久存储数据，配备由专用硬件和软件组成的控制器。控制器中的闪存转换层（FTL）将 CHS 和 LBA 寻址转换为 NAND 闪存阵列中的特定页面和块，这使得操作系统无法知晓数据在 SSD 中的真实位置。SSD 的内存被划分为 4 - 8k 的页面，页面通常组织成包含 128 - 256 个页面的块，块是可删除的最小对象。在重写之前，内存必须被擦除（所有晶体管设置为 1）。由于 NAND 闪存的重写次数有限，频繁使用会导致出现坏块。为了解决闪存寿命有限的问题，SSD 控制器采用了磨损均衡技术，即通过主动管理写入操作，将写入均匀分布在所有内存块上，以减少单个块的负载。此外，SSD 还采用了过度配置技术，即拥有一些未在驱动