针对英特尔（Intel）和AMD固件RAID系统的数字取证方法

《Forensic Science International: Digital Investigation》：Digital forensic approaches to Intel and AMD firmware RAID systems

数字取证中Firmware RAID的识别与重建方法研究。针对Intel Rapid Storage Technology和AMD RAIDXpert支持的预启动RAID系统，分析其元数据结构和存储行为，开发X-raid工具实现虚拟磁盘的主动与删除状态重建，提出包含RAID检测、参数解析、重建恢复的取证框架，解决传统方法因隐藏配置导致的证据遗漏问题。

　　随着数字技术的迅速发展，个人在日常生活中接触到的数据量呈指数级增长。为了应对这一趋势，CPU制造商（如英特尔和AMD）推出了适用于桌面计算机的RAID系统，这种技术被称为固件RAID。与服务器和网络附加存储（NAS）设备上的RAID系统相比，后者通常需要较为复杂的配置流程，而固件RAID则相对简单，可以通过基本输入输出系统（BIOS）进行设置。英特尔在其大部分主板上支持这项技术，但自2020年以来发布的少数型号除外，其功能被称为“英特尔快速存储技术”（IRST）。同样，AMD自2017年推出300系列主板以来，将其固件RAID功能整合到所有主板芯片组中，称为“RAIDXpert”。

从数字取证的角度来看，配备固件RAID的硬盘在操作系统中被视为一个单一的物理硬盘，通常连接到主板上而无需额外的设备。因此，在数字取证调查过程中，调查人员往往难以识别其应用，导致大量数据被无意中遗漏，或在恶意用户实施简单的反取证行为时被丢失。目前，尚未有公开的技术手段用于识别或重建固件RAID系统中的硬盘，尽管该系统已广泛应用于几乎所有的桌面计算机中。本文旨在分析英特尔和AMD支持的固件RAID的操作模式和结构，提出一种能够识别固件卷并重建正常或删除虚拟硬盘的数字取证工具X-raid，同时提出一个考虑固件RAID的数字取证方法框架。

近年来，固件RAID技术的普及使得普通用户能够轻松使用这一功能。英特尔从2020年开始在400系列主板上集成了该功能，几乎覆盖所有型号。AMD则自2017年推出300系列主板以来，将其固件RAID功能扩展到其整个主板产品线。因此，该技术如今已广泛可用，可以配置在大多数计算机系统上。然而，尽管其普及程度较高，目前尚无成熟的方法来识别和重建通过固件管理的虚拟硬盘。这导致在数字取证调查过程中，大量数据可能被忽略，突显了对这一领域进行深入研究的必要性，以确保全面的数据恢复和分析。

本文的主要贡献包括以下三个方面：首先，我们分析了英特尔和AMD固件RAID的操作和结构，提出了用于卷重建和删除虚拟硬盘恢复的方法；其次，我们展示了由于固件RAID中的数据隐藏可能导致显著的数据损失，并提出了相关的数字取证调查考虑；最后，我们介绍了X-raid（2025）——一种用于验证计算机系统是否使用固件RAID、重建活动虚拟硬盘并支持删除虚拟硬盘恢复的概念验证工具。X-raid作为开源软件（X-raid, 2025）公开发布，其仓库包括源代码、使用文档和测试数据集。

本文的结构如下：第二部分简要介绍RAID类型，概述固件RAID，并解释关键术语及相关的研究综述；第三部分详细分析英特尔和AMD固件RAID系统的内部元数据结构和存储行为；第四部分探讨在虚拟硬盘被删除后，存储设备内部的变化，并提出用于重建活动和删除卷的方法；基于这些方法，还提出了一个针对固件RAID的逐步数字取证流程；第五部分介绍X-raid工具的实现，该工具基于前面的结构分析，用于支持重建和恢复；第六部分评估所提出的重建和恢复方法的有效性，描述了开发环境和用于验证的测试数据集，并报告了在不同RAID级别和场景下的重建结果，包括正常和删除的虚拟硬盘；第七部分总结本研究的关键贡献和局限性；第八部分对全文进行总结，并提出未来研究的方向。

在数字取证领域，RAID技术的应用一直是一个重要课题。随着数据量的不断增长，RAID技术因其高效的数据管理和可靠性而被广泛采用。RAID技术主要分为硬件RAID、软件RAID和固件RAID三种类型。硬件RAID使用专用的控制器卡，安装在主板的PCI Express插槽中。由于配置在操作系统启动之前，操作系统仅能识别通过该方式配置的虚拟硬盘。软件RAID则是在操作系统启动后通过系统软件进行配置，其性能通常不如硬件RAID，尤其是在需要额外校验计算的RAID级别（如RAID 5和RAID 6）中。常见的例子包括Windows存储空间和Linux的mdadm工具。

相比之下，固件RAID是一种介于前两者之间的技术。它不依赖于专用的控制器卡，而是利用主板的芯片组，并通过BIOS固件进行配置。这种技术由CPU制造商如英特尔和AMD提供，作为内置功能。使用该技术的系统没有独立的RAID卡，这使得取证调查人员难以通过外部检查确定其存在。此外，即使在活动状态下，虚拟硬盘的配置也发生在系统启动之前，使得通过操作系统进行检测变得困难。特别是在桌面计算机中，这种配置方式可能与标准设置无异。如果取证调查人员将连接的存储设备视为独立的硬盘，可能会忽略大量关键数据。此前的研究（如Urias等，2009）已经指出，这种配置方式给数字取证带来了挑战，因为数据分布在多个硬盘上，而缺乏对特定配置的认知可能导致重要证据被遗漏或错误重建。因此，隐藏RAID设置可以被恶意用户利用为一种反取证技术（如Hausknecht和Grui?i?，2017）。

到目前为止，大多数关于RAID的数字取证研究，如Kim等（2022）、Choi和Lee（2022）以及Choi等（2020）的研究，主要集中在卷重建和损坏数组的数据恢复上。此外，这些研究大多关注于硬件或软件实现的RAID系统，而对固件RAID的探讨相对较少。自2000年代初以来，CPU制造商已经将固件RAID技术引入普通用户的桌面计算机中。英特尔从2020年开始在其400系列主板上集成了该功能，几乎覆盖所有型号。同样，AMD自2017年推出300系列主板以来，也将其固件RAID功能扩展到所有主板芯片组。因此，该技术如今已广泛可用，可以配置在大多数计算机系统上。

尽管固件RAID技术的普及程度较高，但目前尚无成熟的方法来识别和重建通过固件管理的虚拟硬盘。这导致在数字取证调查过程中，大量数据可能被忽略，突显了对这一领域进行深入研究的必要性，以确保全面的数据恢复和分析。本文的研究填补了这一空白，通过分析英特尔和AMD固件RAID系统的元数据结构，提出了用于重建活动和删除虚拟硬盘的方法。

在数字取证调查中，识别和重建虚拟硬盘是至关重要的步骤。传统的取证方法通常假设所有存储设备都是独立的，而忽略了RAID配置的存在。这种假设在面对固件RAID时可能导致严重的问题，因为数据分布在多个硬盘上，而操作系统可能仅将其视为一个单一的设备。因此，识别RAID配置的存在并准确重建虚拟硬盘是数字取证过程中不可或缺的一部分。本文通过详细分析固件RAID的元数据结构和操作行为，提出了适用于英特尔和AMD固件RAID系统的重建方法，并开发了X-raid工具来验证和重建虚拟硬盘。

在实际应用中，固件RAID的配置方式可能与标准设置相似，使得取证调查人员难以察觉其存在。这不仅增加了调查的复杂性，还可能导致关键数据的遗漏。因此，本文的研究不仅关注于技术层面的分析，还提出了具体的取证方法框架，以帮助调查人员在面对固件RAID时能够更有效地进行数据恢复和分析。此外，X-raid工具的开发为数字取证领域提供了一种新的解决方案，使得调查人员能够更全面地识别和重建虚拟硬盘。

数字取证技术的发展需要不断适应新的存储和数据管理方式。随着RAID技术的普及，特别是固件RAID的广泛应用，传统的取证方法已经难以满足实际需求。本文的研究正是为了应对这一挑战，通过分析固件RAID的内部结构和操作行为，提出了适用于该技术的重建和恢复方法。这些方法不仅有助于识别隐藏的数据，还能够帮助调查人员在面对恶意用户实施的反取证行为时，恢复关键证据。

在本文的研究过程中，我们通过构建测试环境，对英特尔和AMD固件RAID系统进行了详细的分析。测试环境包括使用三块物理硬盘配置的RAID 5，这使得我们能够观察到固件RAID的结构模式和数据分布情况。通过这些测试，我们验证了重建方法的有效性，并展示了X-raid工具在识别和重建虚拟硬盘方面的应用。此外，我们还分析了在虚拟硬盘被删除后，存储设备内部的变化，并提出了相应的恢复方法。

本文的研究不仅关注于技术层面的分析，还强调了数字取证方法的必要性。在面对固件RAID时，传统的取证方法可能无法识别其存在，导致关键数据的遗漏。因此，本文提出了一种新的取证方法框架，该框架专门针对固件RAID的特性，帮助调查人员更有效地进行数据恢复和分析。此外，X-raid工具的开发为数字取证领域提供了一种新的解决方案，使得调查人员能够更全面地识别和重建虚拟硬盘。

本文的研究结果表明，固件RAID系统在数字取证过程中确实存在诸多挑战，但这些挑战并非不可克服。通过分析固件RAID的内部结构和操作行为，我们可以识别其存在，并利用特定的方法重建虚拟硬盘。X-raid工具的开发为这一过程提供了技术支持，使得调查人员能够更有效地进行数据恢复和分析。此外，本文的研究还为未来的研究提供了方向，特别是在提高取证工具的自动化水平和适应更多RAID配置方面。

数字取证技术的发展需要不断适应新的存储和数据管理方式。随着RAID技术的普及，特别是固件RAID的广泛应用，传统的取证方法已经难以满足实际需求。本文的研究正是为了应对这一挑战，通过分析固件RAID的内部结构和操作行为，提出了适用于该技术的重建和恢复方法。这些方法不仅有助于识别隐藏的数据，还能够帮助调查人员在面对恶意用户实施的反取证行为时，恢复关键证据。

在本文的研究过程中，我们通过构建测试环境，对英特尔和AMD固件RAID系统进行了详细的分析。测试环境包括使用三块物理硬盘配置的RAID 5，这使得我们能够观察到固件RAID的结构模式和数据分布情况。通过这些测试，我们验证了重建方法的有效性，并展示了X-raid工具在识别和重建虚拟硬盘方面的应用。此外，我们还分析了在虚拟硬盘被删除后，存储设备内部的变化，并提出了相应的恢复方法。

本文的研究结果表明，固件RAID系统在数字取证过程中确实存在诸多挑战，但这些挑战并非不可克服。通过分析固件RAID的内部结构和操作行为，我们可以识别其存在，并利用特定的方法重建虚拟硬盘。X-raid工具的开发为这一过程提供了技术支持，使得调查人员能够更有效地进行数据恢复和分析。此外，本文的研究还为未来的研究提供了方向，特别是在提高取证工具的自动化水平和适应更多RAID配置方面。

本文的研究不仅具有理论价值，还具有重要的实践意义。通过分析固件RAID的内部结构和操作行为，我们能够更好地理解其在数字取证中的作用，并提出相应的解决方案。X-raid工具的开发为数字取证领域提供了一种新的解决方案，使得调查人员能够更全面地识别和重建虚拟硬盘。此外，本文的研究还为未来的研究提供了方向，特别是在提高取证工具的自动化水平和适应更多RAID配置方面。

随着数字取证技术的不断发展，我们相信，针对固件RAID的研究将变得更加重要。本文的研究为这一领域提供了新的视角和技术手段，使得调查人员能够在面对固件RAID时更有效地进行数据恢复和分析。此外，X-raid工具的开发为数字取证领域提供了一种新的解决方案，使得调查人员能够更全面地识别和重建虚拟硬盘。本文的研究不仅填补了固件RAID在数字取证领域的研究空白，还为未来的数字取证技术发展提供了基础。