Hard Disk Drive Basics

Les disques durs sont généralement l'endroit où de nombreuses preuves numériques sont stockées et collectées. Il est donc important de comprendre comment les disques durs fonctionnent et où les données peuvent être cachées, afin de collecter des artefacts lors de vos prochaines leçons. Cette leçon abordera les notions de base suivantes relatives aux disques durs.

• Assiettes
• Secteurs
• Clusters
• Espace Slack

Que sont les disques durs ?

Un disque dur (HDD) est un dispositif matériel de mémoire non volatile qui contrôle le positionnement, la lecture et l'écriture du disque dur, qui fournit le stockage des données. Les disques durs sont couramment utilisés comme périphérique de stockage principal sur un ordinateur de bureau ou un ordinateur portable. Les disques durs stockent généralement un système d'exploitation, des logiciels et des fichiers créés par l'utilisateur tels que des documents. Les disques durs se trouvent généralement dans des baies de disques et sont connectés à la carte mère via un câble ATA, SATA ou SCSI. Ils sont également connectés directement à un bloc d'alimentation (PSU).

Assiettes

Un plateau (ou disque) de disque dur est le disque circulaire sur lequel les données magnétiques sont stockées sur un disque dur. C'est la nature rigide des plateaux d'un disque dur qui lui donne son nom (par opposition aux matériaux souples utilisés pour fabriquer des disquettes). Les disques durs comportent généralement plusieurs plateaux montés sur la même broche. Un plateau peut stocker des informations des deux côtés, ce qui nécessite deux têtes par plateau.

Secteurs

Dans le stockage sur disque informatique, un secteur est la subdivision d'une piste sur un disque magnétique ou un disque optique. Chaque secteur stocke une quantité fixe de données accessibles à l'utilisateur, généralement 512 octets pour les disques durs, tandis que les nouveaux disques durs utilisent des secteurs de 4 096 octets (4 Ko).

Le secteur est l'unité de stockage minimale d'un disque dur. La plupart des systèmes de partitionnement de disque sont conçus pour que les fichiers occupent un nombre entier de secteurs, quelle que soit la taille réelle du fichier. Les fichiers qui ne remplissent pas un secteur entier verront le reste de leur dernier secteur rempli de zéros. Dans la pratique, les systèmes d'exploitation fonctionnent généralement sur des blocs de données, qui peuvent couvrir plusieurs secteurs.

Dans les unités de disque modernes, chaque secteur physique est composé de deux parties de base : la zone d'en-tête du secteur (généralement appelée « ID ») et la zone de données. L'en-tête peut également inclure une adresse alternative à utiliser si la zone de données n'est pas fiable. L'identification de l'adresse est utilisée pour s'assurer que les mécaniciens du lecteur ont positionné la tête de lecture/écriture au bon endroit. La zone de données contient les octets de synchronisation, les données utilisateur et un code correcteur d'erreurs (ECC) utilisé pour vérifier et éventuellement corriger les erreurs qui peuvent avoir été introduites dans les données.

Clusters

Dans le contexte d'un disque dur, un cluster est un groupe de secteurs (décrits ci-dessus) au sein d'un disque. Il s'agit du regroupement selon lequel les fichiers du disque sont organisés. Un cluster est plus grand qu'un secteur et la plupart des fichiers occupent de nombreux clusters d'espace disque. Le

disque dur est capable de trouver tous les clusters d'un disque car chaque cluster possède sa propre valeur d'identification unique.

Espace Slack

L'espace Slack est l'espace de stockage restant sur le disque dur d'un ordinateur lorsqu'un fichier informatique n'a pas besoin de tout l'espace qui lui a été alloué par le système d'exploitation. L'examen de l'espace disponible est un aspect important de la criminalistique informatique, car nous pouvons retrouver les données restantes provenant de fichiers précédents alloués dans le même cluster. Par exemple, si un utilisateur supprime des fichiers qui remplissaient l'intégralité d'un cluster de disques durs, puis enregistre de nouveaux fichiers qui ne remplissent que la moitié du cluster, cette dernière moitié ne sera pas nécessairement vide. Cela peut inclure des informations restantes provenant des fichiers supprimés que nous pouvons récupérer, et peut potentiellement inclure des preuves.