פורנזיקה בסייבר (Cyber Forensics): המדריך המלא בעברית ל-ASCII, Sector, Cluster, Slack Space ושחזור קבצים מחוקים

כשמתרחש אירוע סייבר אמיתי בארגון, השאלה הראשונה של המנהל היא תמיד אותה שאלה: "מה בדיוק קרה כאן?". התשובה כמעט אף פעם לא נמצאת בהתראה בקונסולה — היא נמצאת בדיסק. פורנזיקה בסייבר (Cyber Forensics) היא היכולת לקחת תחנה או שרת שנפגעו, להוציא מהם ראיות בלי לשרוף אותן, ולהרכיב ציר זמן שמסביר מאיפה הגיעה הנוזקה, מתי היא רצה, מה היא נגעה בו ומה היא הספיקה להוציא החוצה. במדריך הזה נלמד את התשתית שעליה עומדת כל חקירה: איך המחשב מייצג מידע (ASCII ו-Hex), איך הדיסק באמת מסדר את הקבצים (Sector ו-Cluster), ואיפה מסתתרות הראיות שכולם מפספסים (Slack Space ו-Unallocated Space).

כלל ברזל בחקירת סייבר: מכונה שנתפסה באירוע חי — לא מכבים. חלק גדול מהראיות (תהליכים רצים, חיבורי רשת, מפתחות הצפנה, נוזקה שרצה רק בזיכרון) קיים אך ורק ב-RAM, וכיבוי מוחק אותו לנצח.

מה בעצם עושה חוקר פורנזיקה

בפועל, רוב עבודת הפורנזיקה בארגונים מבוצעת על ידי אנשי SOC ואנשי IR. בסייבר תופסים שני סוגי חקירה: חקירת אירוע (מחשב שנדבק בנוזקה, שרת שהוצפן בכופרה, משתמש שנפל לפישינג), וחקירה ראייתית (מכונה שנתפסה ויש צורך להוכיח מה נעשה בה). בשני המקרים העיקרון זהה — לא חוקרים על המכונה החיה, אלא מייצרים ממנה עותק ביט-אחר-ביט (Image, לרוב פורמט RAW או E01), מוודאים אותו מול Hash, וחוקרים את העותק.

• ▸Acquisition — הפקת Image מלא מהדיסק, כולל האזורים ש"אין בהם כלום" (שם מסתתרות הראיות).
• ▸Verification — חישוב SHA-256 למקור ולעותק. אם ה-Hash זהה, העותק קביל; אם לא, החקירה נפסלת.
• ▸Analysis — ניתוח מערכת הקבצים, קבצים מחוקים, Slack Space, לוגים, Registry וארטיפקטים של הרצה.
• ▸Reporting — ציר זמן, ממצאים, ו-IOCs שמוזנים חזרה ל-EDR ולפיירוול כדי לחסום את המתקפה הבאה.

הבסיס: בינארי, Hex ו-ASCII — למה חוקר סייבר חייב את זה

כל מה שיושב על הדיסק הוא בסוף אפסים ואחדות. כדי שבן אדם יוכל לקרוא את זה, כלי פורנזיקה מציגים את המידע ב-HexaDecimal — בסיס 16 (0-9 ואז A-F), שבו כל תו הוא ארבעה ביטים. טבלת ASCII היא הגשר: היא מתרגמת ערך מספרי לתו קריא. לדוגמה, הערך 0x48 הוא האות H, ו-0x4D 0x5A (שהם MZ) הם החתימה שפותחת כל קובץ הרצה של Windows.

חשוב להבין את הגבול: ASCII מכסה אנגלית בלבד. עברית, ערבית ורוסית מיוצגות ב-Unicode (בפועל UTF-8), ולכן טקסט עברי בעורך Hex ייראה כרצף בייטים "מוזר" עד שתגדירו את הקידוד הנכון. חוקרים מפספסים ראיות בעברית בדיוק בגלל הפרט הזה.

# חתימת המקור
Get-FileHash .\evidence.raw -Algorithm SHA256

# חתימת העותק — חייב לצאת ערך זהה
Get-FileHash .\evidence_copy.raw -Algorithm SHA256

מבנה הדיסק: Sector מול Cluster

מערכת הקבצים (NTFS, FAT32, exFAT, ext4) היא זו שמנהלת איפה יושב כל קובץ פיזית. יחידת הכתיבה הקטנה ביותר של הדיסק היא Sector — קלאסית 512 בתים. אבל מערכת ההפעלה לא עובדת בסקטורים בודדים אלא בקבוצות שלהם: Cluster (או Allocation Unit). אם ה-Cluster מוגדר כ-4096 בתים, הוא מורכב מ-8 סקטורים.

המשמעות המעשית מפתיעה תלמידים בכל מחזור: קובץ טקסט שמכיל תו אחד (בית אחד ממש) יתפוס על הדיסק Cluster שלם. אם ה-Cluster הוא 8KB — הקובץ "שוקל" 8KB. ההפרש הזה הוא בדיוק המקום שבו נשארות ראיות של קבצים ישנים.

fsutil fsinfo ntfsinfo c:

:: שימו לב לשדה
:: Bytes Per Sector        :  512
:: Bytes Per Cluster       :  4096

• ▸FAT32 — בלי הרשאות, בלי הצפנה, מוגבל בגודל קובץ; עדיין נפוץ בדיסקים און-קי ובכרטיסי זיכרון שמגיעים לחקירה.
• ▸NTFS — הרשאות, הצפנה (EFS), Quota, Indexing ו-Journaling ($LogFile / $UsnJrnl) — מכרה זהב לחוקר.
• ▸Journaling הוא לרוב הדרך להוכיח שקובץ נוצר, שונה או נמחק — גם אחרי שהקובץ עצמו כבר לא קיים.

Slack Space: איפה הראיות באמת מתחבאות

Slack Space הוא השטח שנשאר בין סוף הקובץ לסוף השטח שהוקצה לו. מפרידים בין RAM Slack — המרווח מסוף הקובץ ועד סוף הסקטור, לבין File Slack — כל מה שנשאר עד סוף ה-Cluster. השטח הזה לא נוקה, ולכן הוא ממשיך להחזיק שאריות של הקובץ הקודם שישב שם.

דוגמה מהשטח: תמונה במשקל 1400 בתים נמחקה, ובמקומה נכתב קובץ של 1000 בתים. 400 הבתים שנשארו עד סוף השטח שהוקצה עדיין מכילים חלק מהתמונה המקורית — ומשם מחלצים אותה. בקבצים גדולים המרווח הזה יכול להכיל נתחים משמעותיים של מסמך, של לוג או של קוד הנוזקה.

מחיקה, Unallocated Space ו-File Carving

• ▸יצירת קובץ: מערכת הקבצים מקצה לו Clusters פנויים וכותבת אליהם.
• ▸מחיקת קובץ: המערכת רק מסמנת את ה-Clusters כפנויים — התוכן עצמו נשאר על הדיסק.
• ▸כתיבה חדשה: ברגע שקובץ חדש "דורס" את אותם Clusters, המידע הישן אבוד ברובו.
• ▸לכן הזמן הוא האויב: ככל שהמכונה ממשיכה לעבוד אחרי האירוע, כך פוחת הסיכוי לשחזר את הראיה.

File Carving היא הטכניקה שמוציאה קבצים ישירות מ-Unallocated Space, בלי להסתמך על מערכת הקבצים. הכלי סורק את הדיסק ומחפש Magic Numbers — חתימות פתיחה קבועות של פורמטים (FF D8 FF ל-JPEG, 25 50 44 46 ל-PDF, 50 4B 03 04 ל-ZIP ולמסמכי Office) — וגוזר משם את הקובץ. ככה מוצאים תמונות, מסמכים ו-Payloads שהתוקף ניסה למחוק.

מכאן גם ההיגיון של Defrag: כשקובץ נכתב במקטעים מפוזרים על הדיסק, הקריאה איטית יותר כי הראש הפיזי צריך לנוע. איחוי מסדר את המקטעים ברצף — אבל בדרך הוא דורס Unallocated Space. במילים אחרות, Defrag על מכונה שנחקרת הוא השמדת ראיות. אותו כלל תקף ל-TRIM בדיסקי SSD, שמאפס בלוקים שנמחקו ברקע ומקצר דרמטית את חלון השחזור.

מהשטח: איך נראית חקירה נכונה בארגון

• ▸בידוד ולא כיבוי — מנתקים את התחנה מהרשת דרך ה-EDR (Network Quarantine), משאירים אותה דולקת.
• ▸Memory Dump לפני הכול — הזיכרון הוא הראיה הנדיפה ביותר.
• ▸Image לדיסק דרך Write Blocker, ואז אימות SHA-256 והמשך עבודה על העותק בלבד.
• ▸מיפוי ארטיפקטים: Prefetch, Registry (Run/RunOnce), Scheduled Tasks, Event Logs ו-$MFT.
• ▸בניית ציר זמן, זיהוי מטופל-אפס, וחילוץ IOCs — Hashes, דומיינים, כתובות IP.
• ▸החזרת ה-IOCs לשכבות ההגנה: EDR, פיירוול, DNS Filtering ו-Mail Gateway.

חמש טעויות שהורסות חקירת סייבר

• ▸לכבות את המכונה "כדי לעצור את המתקפה" — ומאבדים את כל ראיות הזיכרון.
• ▸לעבוד ישירות על הדיסק המקורי בלי Write Blocker — כל פתיחת קובץ משנה חותמות זמן.
• ▸לדלג על חישוב Hash — הראיה הופכת לבלתי קבילה.
• ▸להתעלם מ-Slack Space ומ-Unallocated Space כי "הקובץ נמחק".
• ▸להפעיל אנטי-וירוס או Defrag על העותק — ולמחוק בדיוק את מה שחיפשתם.

איפה נכנסת חבילת הסייבר של נטמי

פורנזיקה היא לא מיומנות שעומדת לבד — היא הרובד האחרון של איש הגנה שמבין את כל השרשרת. חבילת הסייבר של מכללת נטמי — Cyber Defense — בנויה בדיוק בהיגיון הזה: Linux Server Management כדי להבין את מערכת ההפעלה שעליה רץ עולם הסייבר וכלי החקירה, Cyber Ethical Hacking כדי לדעת איך תוקף באמת נכנס ומה הוא משאיר אחריו, SentinelOne EDR כדי לבודד תחנה, לחקור Incident ולהגיב בזמן אמת, ו-InfoSec כדי לבנות את שכבות ההגנה הארגוניות — Endpoint, DLP, PAM ו-PKI. ארבעה קורסים, מעבדות מעשיות, וליווי של מרצים שעושים את זה ביום-יום בשטח.

בסייבר לא מגייסים אנשים שמכירים מונחים. מגייסים אנשים שיודעים לפתוח Image, להסביר מה קרה בשעה 03:14 בלילה, ולחסום את זה עד הבוקר. זה בדיוק מה שאנחנו מאמנים בחבילת הסייבר של נטמי.

רוצים להתחיל? בחבילת הסייבר של נטמי אתם מקבלים את ארבעת הקורסים במסלול אחד, עם מעבדות מעשיות, תרגול על סביבות אמיתיות וליווי צמוד — בדיוק החומר שבזכותו בוגרים שלנו יושבים היום בעמדות SOC והגנת סייבר בישראל.