AFF4 Acquisition
| Format | AFF4 Acquisition |
|---|---|
| Kurzname | AFF4 |
| Kategorie | Datenträgerabbild |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (RawImageVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Advanced Forensic Format 4: ein Sicherungsformat, gespeichert als ZIP64-Container. Die gesicherten Daten liegen in komprimierten, in Chunks aufgeteilten Image-Streams, die über Map-Streams auf den Adressraum der Quelle abgebildet werden. RDF-Metadaten (information.turtle) beschreiben Quelle, Sicherung und Streams. Die Volume-URI (aff4://...) steht im ZIP-Kommentar und in container.description. Ein Container kann über mehrere .aff4-Dateien verteilt (Striping) sein. Speichert Hashes von Streams, Chunks, Maps und der gesamten Quelle, sodass die Sicherung verifiziert werden kann. Verwendet für Disk-Images und Arbeitsspeichersicherungen: Sparse Maps bilden physischen Arbeitsspeicher mit Lücken ab, und die Metadaten-Kategorie (z. B. aff4:category memory/physical) gibt an, was ein Image enthält. Varianten: verschlüsseltes AFF4 und AFF4-L für logische Beweismittel.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset unbekannt | 61 66 66 34 3A 2F 2F | aff4:// | Ein ZIP, dessen Kommentar die aff4://-Volume-URI enthält oder dessen erstes Element container.description ist |
Bekannte Dateiendungen
.aff4
Referenzen
- AFF4 Standard (aff4/Standard) https://github.com/aff4/Standard
- pyaff4 — the AFF4 reference implementation https://github.com/aff4/pyaff4
- ForensicsWiki — Advanced Forensic Framework 4 (AFF4) https://forensics.wiki/aff4/
- Cohen, Garfinkel, Schatz — Extending the Advanced Forensic Format to accommodate Multiple Data Sources, Logical Evidence, Arbitrary Information and Forensic Workflow (DFRWS 2009) https://dfrws.org/presentation/extending-the-advanced-forensic-format-to-accommodate-multiple-data-sources-logical-evidence-arbitrary-information-and-forensic-workflow/
- Schatz — AFF4-L: A scalable open logical evidence container (DFRWS 2019) https://dfrws.org/presentation/aff4-l-a-scalable-open-logical-evidence-container/
- The AFF4 Imager — documentation (incl. memory acquisition) https://aff4-imager.readthedocs.io/en/latest/
- abrignoni/ewfprobe — pure-Python reader for EWF (E01, S01, Ex01, L01), AFF/AFF4, AD1 and virtual/Apple disk images https://github.com/abrignoni/ewfprobe
Diesen Eintrag zitieren
Crush-Format-Referenz, „AFF4 Acquisition“. https://kalink0.github.io/crush-forensics/formats/de/aff4/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden