השימוש במערכות הקלטה דיגיטליות (DVR) ומצלמות אבטחה הפך לחלק בלתי נפרד מההגנה על נכסים, מפעלים, מתחמים עסקיים ובתים פרטיים. המערכות הללו פועלות בשקט ברקע, מתעדות כל תנועה ומספקות שקט נפשי. אולם, החשיבות האמיתית של המידע המאוחסן בהן מתגלה דווקא ברגעי משבר – לאחר אירוע אבטחה, פריצה, סכסוך עסקי או כשל מבני. פגיעה פיזית במכשיר ההקלטה, חבלה מכוונת מצד גורמים עוינים, שריפה, או מחיקה עצמית של קבצים עקב הגדרות סבב הקלטה (Overwrite) עלולות להעמיד ארגונים בפני שוקת שבורה. כאשר חומר התיעוד שאמור לספק תשובות חד-משמעיות נעלם או הופך לבלתי נגיש, עולה הצורך בפתרון טכנולוגי עמוק ומקצועי שמסוגל לרדת לשורש המדיה ולחלץ את הפריימים הקריטיים מתוך כונני הזיכרון.
מבנה הקבצים הייחודי של מערכות הקלטה
הסיבה המרכזית לכך שתוכנות שחזור סטנדרטיות או טכנאי מחשבים רגילים נכשלים לחלוטין בניסיון לחלץ סרטונים ממערכות DVR היא הארכיטקטורה הייחודית של מערכות הקבצים הללו. בניגוד למחשב אישי הפועל עם מערכות קבצים מוכרות כמו NTFS או exFAT, יצרניות של מכשירי DVR משתמשות במערכות קבצים קנייניות וסגורות, המבוססות לרוב על לינוקס מותאם או קוד ייחודי של היצרן (כגון DHFS של דאהואה או קודים של היקויז'ן).
מערכות אלו אינן שומרות את סרטוני הווידאו כקבצי MP4 או AVI מסודרים. המידע נכתב בצורה של "זרמי נתונים" (Data Streams) גולמיים המפוזרים על פני הסקטורים של הדיסק הקשיח כדי לאפשר כתיבה רציפה ומהירה ממספר רב של מצלמות במקביל. מעבדת טיק טק, המובילה את ענף שחזור המידע בישראל, פיתחה כלים ייעודיים המסוגלים לפענח את המבנה הלוגי הייחודי של יצרני ה-DVR השונים, לקרוא את זרמי הנתונים הגולמיים ולהרכיב מהם קבצי וידאו תקניים הניתנים לצפייה.
התמודדות עם דריסת מידע ומחיקה מכוונת
אחד התרחישים הנפוצים והמורכבים ביותר בחקירות פורנזיות של מערכות אבטחה הוא מחיקה מכוונת של תיעוד על ידי עובד סורר או פורץ, או לחלופין – מצב שבו המערכת המשיכה להקליט ודרסה (Overwrite) את פרק הזמן המבוקש. מאחר שמכשירי DVR מוגדרים למחוק אוטומטית חומר ישן כאשר הדיסק מתמלא, כל שעה שעוברת מרגע האירוע היא קריטית.
כאשר מתבצעת מחיקה, האינדקס המפנה לסרטון מוסר, אך מקטעי הווידאו הפיזיים נשארים על גבי הפלטות המגנטיות או שבבי הזיכרון עד שייכתב עליהם מידע חדש. באמצעות טכנולוגיית File Carving מתקדמת וציוד Proprietary, המומחים של המעבדה מסוגלים לסרוק את הדיסק ברמת הביטים, לזהות חתימות קובץ ייחודיות של כותרות וידאו (Headers) ולחלץ פריימים בודדים ורצפי וידאו גם אם המערכת הגדירה את השטח הפנוי הזה לכתיבה מחדש.
השוואת תרחישי כשל במערכות DVR ויכולות שחזור
| סוג הנזק במערכת ה-DVR | סימפטום טכני | הסיכון בפעולה לא מקצועית | שיטת השחזור במעבדה (טיק טק) |
| מחיקה זדונית או פירמוט | הדיסק מציג נפח ריק או חומר חדש בלבד | חיבור הדיסק למכשיר DVR אחר עלול לדרוס את הראיות | סריקה פורנזית בינארית של הסקטורים וחילוץ זרמי וידאו |
| נזק פיזי / חבלה במכשיר | הדיסק הקשיח פגוע מכנית, משמיע רעשים | ניסיון הפעלה חוזר ישרוט את הפלטות לצמיתות | תיקון מכני והחלפת רכיבים בתוך חדר נקי Class 100 |
| הקלטה מחזורית (Overwrite) | הסרטון המבוקש נדרס על ידי חומר חדש | המשך פעילות המערכת ישמיד את שאריות המידע | חילוץ פריימים חלקיים ושאריות וידאו שנותרו במגזרים פנויים |
| נזקי אש / שריפה במתחם | מארז ה-DVR מותך או מפויח | ניסיון חיבור לחשמל יגרום לקצר סופי בכרטיס | פירוק עדין, ניקוי אולטרסוני של המדיה והעברה למארז תואם |
שמירה על שרשרת ראיות דיגיטלית
במקרים רבים, החומר המשוחזר ממצלמות האבטחה מיועד לשמש כראיה מרכזית בהליכים משפטיים, תביעות ביטוח או חקירות משטרתיות. במצבים אלו, אין די בעצם חילוץ הקובץ; יש צורך להוכיח כי הראיה לא עברה מניפולציה, שינוי או עריכה מרגע שליפתה ואינה ניתנת לערעור על ידי הצד השני בבית המשפט.
מעבדת טיק טק פועלת תחת פרוטוקולים מחמירים של אבטחת מידע ותקינת ISO 9001:2015, המבטיחים ניהול קפדני של שרשרת הראיות. העבודה לעולם אינה מתבצעת על כונן המקור עצמו. בשלב הראשון, המומחים מייצרים העתק בינארי מושלם (Bit-stream Image) של הכונן באמצעות חוסמי כתיבה חומרתיים המונעים שינוי של המידע המקורי. כל תהליכי הפענוח והשחזור מבוצעים על גבי העותק, כאשר לכל קובץ משוחזר מופקת חתימה דיגיטלית מתמטית (Hash Value) המאשרת את האותנטיות המוחלטת שלו ומאפשרת להציג חוות דעת מומחה קבילה לחלוטין.
הניסיון שנצבר לאורך טיפול במעל 100,000 תיקי שחזור, בשילוב מלאי עצום של חלקי חילוף (Donor parts) לכל סוגי הכוננים, מאפשר למעבדה להתגבר על תקלות מכניות מורכבות בכונני DVR (הסובלים משחיקה גבוהה עקב עבודה רציפה של 24/7) ולהגיע לאחוזי הצלחה של כ-97% בהצלת הנתונים.
ההבנה כי מידע שנמחק או נפגע במערכות הקלטה אינו אבוד לחלוטין מעניקה לארגונים את הכלים לפעול בצורה נכונה ורגועה ברגע המשבר. עצירת פעילות המכשיר ומניעת ניסיונות תיקון חובבניים הם הצעדים הקריטיים ביותר שיקבעו את גורל התיעוד שלכם.
שאלות ותשובות
האם ניתן לשחזר סרטון ממצלמת אבטחה אם עברו כמה שבועות מאז שהוא נדרס על ידי הקלטה חדשה? הדבר תלוי בנפח הכונן ובכמות המצלמות שמקליטות אליו. ככל שעבר זמן רב יותר ונכתב מידע חדש, הסיכוי לשחזר סרטון מלא יורד. עם זאת, במקרים רבים נותרים "איים" של מידע ישן בסקטורים שלא נדרסו במלואם, וניתן לחלץ מהם תמונות סטילס או חלקי סרטונים שיכולים להעיד על שהתרחש.
הפורצים לקחו איתם את מכשיר ה-DVR אך השאירו את מצלמות האבטחה. האם יש דרך לשחזר משהו? אם המצלמות הן מצלמות עצמאיות (IP Cameras) המכילות כרטיס זיכרון פנימי מסוג MicroSD לגיבוי, ניתן להביא את כרטיסי הזיכרון של המצלמות למעבדה לצורך שחזור. אם המצלמות שידרו אנלוגית או ישירות ל-DVR ללא אחסון מקומי, המידע אינו קיים במתחם אלא אם כן הוגדר מראש גיבוי מקבילי בענן.
האם ניתן להשתמש בתוכנת שחזור מהאינטרנט כדי לשחזר דיסק של DVR? תוכנות שחזור ביתיות מתוכנתות לזהות מערכות קבצים של מחשבים (כמו Windows או Mac). ברגע שתחברו את דיסק ה-DVR למחשב, מערכת ההפעלה לא תזהה אותו ותציע לכם לבצע "פירמוט" (Format) כדי לקרוא אותו. פעולה זו, או הרצת תוכנה לא מתאימה, עלולות להרוס את מבנה הנתונים המיוחד של ה-DVR ולמנוע שחזור עתידי.
כיצד משפיע סוג הכונן (דיסק קשיח רגיל לעומת כונן ייעודי ל-Surveillance) על סיכויי השחזור? כוננים ייעודיים למערכות אבטחה (כמו סדרות Purple או SkyHawk) בנויים להתמודד עם עומס כתיבה קבוע וטמפרטורות גבוהות, ולכן הם נוטים לסבול פחות מכשלים מכניים פתאומיות. יחד עם זאת, מבנה הקבצים הלוגי נותר דומה, ובמקרה של מחיקה או חבלה, היכולת לשחזר את המידע תלויה במומחיות המעבדה ולא בסוג הכונן.
חילוץ ראיות דיגיטליות ממערכות הקלטה דורש שילוב מדויק בין מיומנות הנדסית לבין הבנה פורנזית של מבני קבצים קנייניים. פקטור הזמן והימנעות מפעולות שגויות בשטח הם המפתח להצלחת התהליך.
הצוות המקצועי והמיומן של טיק טק זמין להעניק לכם מענה מהיר, דיסקרטי ומקצועי, לבצע אבחון בטוח ומבודד לכונן מערכת האבטחה שלכם ולעשות את המירב כדי להשיב לידיכם את התיעוד החיוני בהקדם.
