Почему образ диска Encase меньше, чем занимаемое место на исходном жестком диске?

388
dongle

Для создания образа диска Encase (E01) жесткого диска емкостью 4 ТБ я использую инструмент судебной визуализации диска. 3.19TB места фактически используется на этом диске. Размер результирующего образа диска составляет 2,82 ТБ. Параметры сжатия не использовались, так почему образ диска меньше используемого пространства на жестком диске?

Одна моя гипотеза состоит в том, что по умолчанию формат сжимает нулевые данные, и что на диске содержится 288 137 файлов, имеется достаточно частично используемых блоков, которые в совокупности составляют разницу в 370 ГБ. С другой стороны, это равняется примерно 1 284 111 байтов на файл, что просто не складывается.

Также стоит отметить, что я «распаковал» образ диска и сделал различие между списком файлов между исходным и исходным диском, и на диске нет значимых файлов, которые были бы опущены в образе (всего несколько скрытые файлы OS X, которые, вероятно, были созданы после процесса создания образа).

Какие-нибудь мысли? Что случилось с этой разницей в 370 ГБ?

0
Какой инструмент создания образа диска вы использовали для создания диска? Возможно, было бы полезно взглянуть на [спецификацию EWF Йоахима Метца, включенную в libewf] (https://github.com/libyal/libewf/blob/master/documentation/Expert%20Witness%20Compression%20Format%20 (EWF) .asciidoc). для потенциальных клиентов о том, почему это может иметь место. anarchivist 8 лет назад 0
Спасибо @anarchivist! Мы используем Mac CLI версию FTK Imager dongle 8 лет назад 0

0 ответов на вопрос

Похожие вопросы