FTK Imager の包括的なガイド

FTK Imager は AccessData によるオープンソースソフトウェアであり、オリジナルの証拠に実際には変更を加えずに正確なコピーを作成するために使用されます。オリジナルの証拠品の画像はそのままで、より速い速度でデータをコピーすることができます。

FTK イメージャは、オリジナルの証拠品の画像を作成する前と後の証拠品のハッシュを照合するのに役立つハッシュレポートを作成する内蔵完全性チェック関数も提供します。

目次
フォレンジックイメージの作成
Capturing Memory
イメージダンプの解析
イメージをドライブにマウントする
AD暗号化によるカスタムコンテンツ画像
Decrypt AD1 Image
Obtain Protected Files
Detect EFS Encryption
Export Files

フォレンジックイメージの作成

フォレンジックイメージングは、デジタルフォレンジック調査における最も重要なステップの 1 つです。これは、ハードドライブ全体のアーカイブまたはバックアップコピーを作成するプロセスです。これは、オペレーティングシステムにブートするために必要なすべての情報を含むストレージファイルです。ただし、このイメージ化されたディスクは、ハードディスクに適用しないと機能しません。イメージ化プログラムを使用してドライブに開いてインストールする必要があるため、ディスクイメージファイルをハードドライブに配置しても、ハードドライブを復元することはできません。 1台のハードディスクに多くのディスクイメージを保存することができます。

FTK Imager by AccessData をインストール後に開くと、このツールが開く最初のページであるウィンドウがポップアップします。

さて、ディスクイメージを作成するために。 File > Create Disk Image.

ここで、あなたが持っているドライブに基づいたソースを選択できます。物理ドライブは、データの保存、検索、および整理に使用される主要なストレージハードウェアまたはデバイス内のコンポーネントです。

論理ドライブは、一般的に物理ハードディスク上に作成されるドライブ領域です。

ここで、イメージコピーを作成するドライブのソースを選択します。

作成するイメージのデスティネーションパスを追加してください。フォレンジックの観点からは、別のハードディスクにコピーし、証拠品の紛失を防ぐために元の証拠品の複数のコピーを作成する必要があります。

作成するイメージの形式を選択します。イメージを作成するためのさまざまな形式は次のとおりです：

Raw(dd): これは、追加や削除なしで作成される元の証拠のビット単位のコピーです。

SMART: Linux で使用されていたイメージ形式で、現在は一般的に使用されていません。

E01: EnCase Evidence File の略で、イメージングによく使用される形式で、

AFF と類似しています。これは、オープンソースのフォーマットタイプである Advanced Forensic Format の略です。

ここで、画像の詳細を追加して進みます。

ここで最後に画像ファイルの保存先を追加して画像ファイルに名前を付けて、「完了」をクリックします。

保存先パスを追加したら、今度はイメージングを開始し、検証オプションをクリックしてハッシュを生成することも可能です。

ここで、イメージが作成されるまで数分待ちましょう。

イメージが作成されると、MD5 ハッシュ、SHA1 ハッシュ、および不良セクターがあるかどうかを検証するハッシュ結果が生成されます。

Capturing Memory

これは、さらなる調査のために揮発性コンテンツの内容を保存するために、不揮発性ストレージデバイスにキャプチャおよびダンプする方法です。ラム解析は、揮発性メモリのイメージを壊さずに正確に取得が行われた場合にのみ、成功する。この段階では、システムが再起動されると揮発性データは存在しなくなるので、調査者は揮発性データを収集する判断に注意しなければならない。

さて、メモリのキャプチャから始めましょう。

メモリをキャプチャするには、ファイル > Capture Memoryをクリックします。