Como evito que o Ubuntu escreva QUALQUER COISA em um disco rígido externo?

Question

Existem dois motivos pelos quais você deseja impedir que o Linux grave algo em um disco rígido externo ou unidade USB ao conectá-lo:

• Para recuperar arquivos excluídos acidentalmente a partir de agora parte "vazia" das unidades
• Para análise forense digital, você precisa ter certeza de que nada na unidade mudou quando você fez um clone dela

Existem conectores de unidades e gabinetes externos apenas para essa finalidade, e possuem um botão ou interruptor que bloqueia fisicamente qualquer comando de gravação que chegue à unidade.

No entanto, meu conector USB para IDE não tem esse luxo. Ouvi dizer que isso é possível através de software (o que inclui a necessidade de desativar a montagem automática do Ubuntu), mas não estou encontrando nenhuma instrução on-line sobre como fazer isso.

Como eu evito que o Ubuntu escreva qualquer coisa em um disco rígido externo para preservar todos os dados?

No meu caso particular, usarei o Ubuntu, no entanto, perguntei em Unix & Linux em vez de AskUbuntu na esperança de encontrar uma resposta que funcionasse em distribuições e não apenas no meu caso particular. Ambos os tipos de respostas são bem-vindos.

    

Answer 1

Para cenários forenses reais, você precisa de um bloqueador de hardware. Um bloqueador de software não é bom o suficiente porque você corre o risco de cometer um erro, e para casos legais, é muito importante ser capaz de afirmar sem sombra de dúvida que você não modificou a imagem do disco, e ser capaz de explicar termos muito simples para pessoas não-técnicas que você não poderia ter modificado o original. Além disso, a única coisa que você faria com o disco original é fazer uma cópia para a nova mídia e, em seguida, analisar a cópia (novamente, com um bloqueador de gravação - você pode fazer cópias adicionais nas quais escreve para localizar as coisas interessantes, então você reproduziria a extração do material interessante com a cópia exata garantida).

Dito isso, você pode tornar um dispositivo de bloco somente leitura com o comando blockdev .

# blockdev --setro /dev/sde
# mount /dev/sde /mnt/
mount: block device /dev/sde is write-protected, mounting read-only

Tenha em atenção que mount -o ro não é suficiente para garantir que o dispositivo não será modificado. Com os sistemas de arquivos de registro no diário, se o sistema de arquivos não foi desmontado corretamente, até mesmo uma montagem somente leitura reproduzirá o diário e atualizará o sistema de arquivos no disco para corresponder. Para evitar isso, com ext3 ou ext4, você pode passar a opção noload - mas tornar o dispositivo de bloco somente leitura é uma forma mais segura de garantir que nada seja gravado, e pode ser a única maneira com outros sistemas de arquivos. / p>     

Answer 2

Esta configuração geralmente é suficiente. Eu usei isso durante a recuperação do HD externo:

Desativar a montagem automática primeiro. (Você pode fazer isso usando o gconf-editor em uma configuração do GNOME. Eu não sei para outros sistemas). Então, você se refere à sua unidade como / dev / sda ou / dev / sda1 ou o que quer que seja em seus programas. (sda é normalmente reservado para o dispositivo de inicialização. consulte este post saber qual sd * é o seu dispositivo. Tente ir para sdb quando tiver apenas dois drives conectados.

Um exemplo simples:

root@yo-machine# dd_rescue /dev/sdc1 /home/user/the-disk-image.img

Onde sdc1 é a primeira partição do seu dispositivo não montado.

Nota: /dev/sda se referirá ao dispositivo inteiro, incluindo setores de boot, MBR e outras coisas. /dev/sda1 se referirá à primeira partição do dito dispositivo.