**File Carving** (ou _data carving_) é uma técnica de recuperação de arquivos baseada na análise dos próprios dados, sem depender da estrutura do sistema de arquivos. ### Como funciona: Quando um arquivo é excluído ou um disco é corrompido, as informações de onde o arquivo estava (tabela de alocação, MFT, etc.) podem ser perdidas. O file carving analisa o conteúdo bruto do disco, procurando por **assinaturas de arquivos (file headers e footers)**. Por exemplo: - JPEG começa com `FFD8` e termina com `FFD9`. - PDF começa com `%PDF-` e termina com `%%EOF`. ### Principais características: - **Independente do sistema de arquivos**: pode ser aplicado mesmo se o sistema de arquivos estiver danificado. - **Baseado em padrões**: depende do conhecimento das estruturas internas dos tipos de arquivo. - **Limitado em alguns casos**: pode não funcionar bem com arquivos fragmentados. ### Aplicações: - Perícia [[Introdução|forense digital]] - Recuperação de dados - Análise de incidentes de segurança ### Ferramentas comuns: - [[Foremost]] - [[Scalpel]] - [[Photo Rec]] - [[FTK Imager]] - [[Bulk Extractor]]