我知道计算机可以设置日志记录或审核,并跟踪插入 IT 的设备。但是外部硬盘驱动器是否会跟踪它们曾经插入的计算机?是有意的,还是无意的?(假设它们刚刚从百思买开箱即用——specops IT 没有加载任何东西。)
我现在正在尝试分析三星 T5,但我想知道一般情况。
如果答案是“是”或“可能”,是否应该擦除硬盘驱动器以消除此信息,或者它是否以某种方式存储在驱动器中?即使使用多遍算法,我也总是怀疑“擦除”有多少。
我知道计算机可以设置日志记录或审核,并跟踪插入 IT 的设备。但是外部硬盘驱动器是否会跟踪它们曾经插入的计算机?是有意的,还是无意的?(假设它们刚刚从百思买开箱即用——specops IT 没有加载任何东西。)
我现在正在尝试分析三星 T5,但我想知道一般情况。
如果答案是“是”或“可能”,是否应该擦除硬盘驱动器以消除此信息,或者它是否以某种方式存储在驱动器中?即使使用多遍算法,我也总是怀疑“擦除”有多少。
以我的经验,我从未见过任何可以自行完成此操作的存储设备。
正如评论中的其他人所提到的:一些信息,如通电时间、定时通电次数和其他一些信息存储在硬盘驱动器中,可以使用 SMART 访问。
但是,包括 Windows、macOS 和 Android 在内的许多操作系统都会在连接的存储设备上创建文件。
Windows 将创建一个名为System Volume Information. MacOS 将创建一个名为 的隐藏文件夹__MACOSX,也许.DS_Store. Android 将创建一个名为Android.
其他操作系统可能会创建其他文件夹。
根据您的需要,如果一次或多次完全擦除硬盘驱动器(使用物理旋转磁盘)应该足够安全,甚至物理销毁它应该会有所帮助,但即使是严重损坏的硬盘驱动器也可能仍然可以从中检索一些信息,因此钻孔、打磨板并对它们施加强磁场并处置这些碎片可能是最好的做法。
我还没有遇到可以做到这一点的设备(以一种易于识别的方式*),但理论上它们可以。在实践中,他们有时会这样做。
最后,硬盘驱动器是 cpu(通常是 ARM 处理器)+ ram(缓存)+ bios/bootloader(在 CPU 本身或 NAND 或其他芯片上)+ 大量附加存储(并非所有这些对平均最终用户)
类似于精简的 Raspberry Pi,只是带有一个愚蠢的操作系统。对于外部设备,您通常有一个额外的 cpu+eeprom 用于设备的 USB 端。
愚蠢的操作系统通常只做与存储相关的事情。但即使在那个级别,它至少需要知道哪些数据正在通过哑操作系统,所以原则上它会看到可能只属于这台计算机的数据。如果它保存这是一个不同的问题。
一些技术人员可以安装一个不那么愚蠢的操作系统来保存更多关于设备正在做什么的数据。这实际上已经发生了很长一段时间(查找 HDD/USB 固件恶意软件)
在这些特殊情况下,仅从操作系统方面进行覆盖对您没有帮助。
* 我确实有一个 USB SATA 适配器,它在固件内部跟踪“另一端”(即连接到它的 HDD 的名称)。其他一些适配器在连接到某物时似乎也会翻转一些。我还有一个硬盘驱动器,它会在一段时间后更改固件中的几十行,可能是正常的日志记录,也可能是保存坏扇区之类的东西,或者可能保存我的核发射代码。