ФТК Имагер, то је софтвер који се користи за креирање датотека са сликама диска или монтирање слика диска или уређаја за складиштење и тада можемо извести анализа структуре диска, опоравак податакаитд. Овај софтвер омогућава лоцирајте изгубљене датотеке или тражите податке скенирањем слике диска користећи кључне речи.
Помоћу софтвера добија се или ствара слика а чврсти диск у датотеци формата:
- дд
- имг
- ед01
- сирово
Можемо створити слику са деловима диска или са целом партицијом која се касније може поново изградити.
Једна од предности је та што на крају снимања слике софтвер израчунава и генерише МД5 кључ за распршивање који ће се користити за потврду интегритета података и што слика коју смо креирали није промењена, будући да су минималне промене у датотеци слике ће променити сигурносни код и неће се подударати са оригиналом.
ФТК Имагер нашироко користе форензички рачунарски стручњаци јер вам омогућава снимање података са уређаја, креирање слике података, а затим процену дигиталних доказа како би се утврдило да ли је детаљнија анализа оправдана.
ФТК Имагер вам омогућава да радите различите задатке, неки од њих су следећи:
- Креирајте форензичке слике чврстих дискова локални, логички дискови, удаљени уређаји за складиштење, мобилни уређаји, флеш дискови, Зип дискови, ЦД -ови и ДВД -и, целе фасцикле или појединачне датотеке са различитих локација.
- Можемо и ми прегледајте и извуците садржај из форензичких слика ускладиштене на локалном рачунару или на мрежном диску.
- ФТК Имагер нам такође дозвољава да извозимо датотеке и фасцикле како бисмо их третирали појединачно, прегледајте и опоравите датотеке које су избрисане са диска или корпе за отпатке, али још нису преписане на погону.
- Направите МД5 и СХА-1 хешеве како бисте осигурали и очували интегритет датотека и слике коју генеришемо. Креирамо слику какву смо видели у водичу Форензика чврстих дискова и партиција са обдукцијом. Такође можемо користити исти ФТК Имагер за креирање слике уређаја за складиштење.
Слика је копија целог или дела меморијског уређаја ради спречавања случајне или намерне измене података који постоје на меморијском уређају, ФТК Имагер прави слику копирањем по мало, резултујућа слика у датотеци идентична је оригиналној структури уређаја, укључујући простор, конфигурацију јединице и било коју датотеку која садржи јединицу, чак и ако је привремена. Ово омогућава чување ових података на сигурном месту за каснију истрагу помоћу слике уређаја.
Након преузимања инсталационог програма са службене веб локације АццессДата и наставка инсталације програма који ради само на Виндовс -у.
Направите слику уређаја
Слику можемо створити истим софтвером из опције Креирајте слику диска.
Из Линука можемо користити дд цомманд да бисте креирали слику одређеног погона или фасцикле, на следећи начин:
судо дд иф = / дев / партиција = / хоме / миусер / филе цопи.ддКада имамо слику направљену из ФТК Имагера, морамо додати датотеку доказа из менија Датотека, додај доказе.
За овај водич ћемо имати слику која припада флеш меморији.
Затим морамо назначити којој врсти јединице слика припада, ако се ради о физичкој јединици, логичкој јединици или датотеци слике, у овом случају одабиремо датотеку слике и кликнемо на Следећи.
Тада ћемо видети слику и моћи ћемо да се крећемо по њеним директоријумима и датотекама, да знамо њене карактеристике, који оперативни систем је инсталирао.
Тада можемо да анализирамо виртуелни диск као физички диск, на овај начин се све што садржи, укључујући избрисане датотеке, може видети или опоравити.
У примеру можемо видети како можемо опоравити неке датотеке табела. Јединицу можемо чак и монтирати из опције Датотека> Монтирај слику, једном монтирана слика ће бити као још један диск.
Овде можемо видети да се приликом монтирања јединице појављује у погону Ф:, сада имамо на располагању као виртуелни диск и можемо да користимо софтвер као што је ПхотоРец (Имате га на позицији 7 овог чланка), који можемо преузети са званичног веб сајта за опоравак избрисаних датотека.
ПхотоРЕц Веома је једноставан за употребу, не захтева инсталацију, само морамо назначити који диск или партицију желимо да опоравимо.
Овде можемо видети да се наш виртуелни диск Ф: појављује са садржајем слике диска. Одабиремо јединицу, а затим доље означавамо у који ће се директориј по заданом копирати опорављене датотеке рецуп_дир.
Можемо видети проширења датотека опорављених са виртуелног диска који смо креирали, овај опорављени директоријум је физички, није виртуелан или логичан, па ћемо датотеке имати на располагању стално. Овај софтвер је такође опоравио еке датотеке, па бисмо их могли анализирати да видимо да ли има вируса или опасног софтвера за систем, па је боље покренути ову врсту анализе у виртуелна машина попут ВиртуалБок -а.
