Forense de RAID: lidando com configurações desconhecidas em investigações DFIR
Guia técnico sobre reconstruir arranjos RAID quando os parâmetros originais (ordem dos discos, tamanho de stripe, paridade) são desconhecidos — passo essencial para sequer acessar a evidência antes de a análise começar.
Arranjos RAID chegam ao laboratório na pior condição possível: controladora ausente ou defeituosa, configuração desconhecida, discos fora de ordem. Antes de qualquer análise, o perito precisa reconstruir o quebra-cabeça — ordem dos discos, tamanho de stripe, esquema de paridade — ou a evidência permanece ilegível.
O artigo sistematiza esse trabalho de reconstrução às cegas: identificar o padrão de rotação da paridade observando os dados, testar hipóteses de stripe contra estruturas conhecidas (assinaturas de sistema de arquivos, cabeçalhos) e validar a remontagem antes de prosseguir ao exame propriamente dito.
Vale o lembrete de método: a remontagem incorreta de um RAID produz um sistema de arquivos plausível porém corrompido — e conclusões periciais sobre dados corrompidos são exatamente o tipo de fragilidade que uma contraparte técnica competente explora em juízo. Documentar os parâmetros descobertos e o processo de validação é parte do laudo, não burocracia.