Reconstrução de RAID Synology e imagem lógica com o Atola TaskForce 2
Um conteúdo da Forensic Focus mostra como o Atola TaskForce 2 reconstrói automaticamente arranjos RAID do tipo SHR e SHR-2 usados em NAS Synology, permitindo ao perito navegar pela evidência antes de decidir o que imagear. A proposta central é reduzir o volume de aquisição ao permitir extração seletiva de arquivos relevantes em vez de imagear discos inteiros.
Não foi possível acessar a página original — o site da Forensic Focus retornou HTTP 403 à requisição automatizada. A análise a seguir é contextual, baseada na descrição do próprio feed e no conhecimento geral sobre reconstrução de RAID em perícia de armazenamento em rede, sem inventar detalhes específicos do vídeo/artigo original.
O SHR (Synology Hybrid RAID) e sua variante SHR-2 são esquemas proprietários que a Synology usa para permitir discos de tamanhos diferentes num mesmo volume redundante, combinando internamente conceitos de RAID 1/5/6 com particionamento dinâmico por disco. Isso torna a reconstrução manual do arranjo — necessária quando os discos chegam ao laboratório soltos, fora do NAS original, ou quando o controlador está com defeito — bem mais complexa do que em RAID convencional, já que a ordem dos discos, o tamanho de stripe e o layout de paridade variam por volume e não seguem um padrão fixo documentado publicamente. Ferramentas como o Atola TaskForce 2 automatizam essa etapa: em vez do perito testar manualmente combinações de ordem e offset dos discos, o software tenta reconhecer o layout SHR/SHR-2 e remontar o volume virtual a partir dos discos físicos apresentados.
A segunda parte relevante é a distinção entre imagem física completa e imagem lógica seletiva. Depois de reconstruído o RAID, a ferramenta permite navegar pelo sistema de arquivos resultante e extrair apenas os arquivos/pastas de interesse para o caso, em vez de gerar uma imagem forense bit-a-bit de todo o volume — que em NAS domésticos ou de pequenas empresas pode chegar a dezenas de terabytes. Isso tem implicações práticas diretas: tempo de aquisição, espaço de armazenamento necessário no laboratório e até viabilidade do caso quando o prazo é curto. O contraponto forense de praxe é que a acuidade probatória de uma imagem lógica seletiva é menor que a de uma imagem física completa (não captura espaço não alocado, arquivos deletados recuperáveis via file carving, ou metadados de sistema de arquivos fora do escopo selecionado), então a escolha entre os dois métodos deve ser documentada e justificada no laudo, preservando a cadeia de custódia sobre os discos físicos originais mesmo quando só uma extração lógica é usada como evidência.