Коммерческие наборы инструментов для судебного дублирования
Как только вы закончите просмотр файла регистрации, вы получите напоминание, что его надо стереть. Конечно, вы всегда должны сохранять файл регистрации, поэтому выберите No (Нет) и нажмите ENTER. Файл SNAPBACK.LOG будет сохранен там, откуда вы запустили файл snapback.exe (в данном случае - на загрузочной дискете).
Выберите Quit (Выход) из главного окна, чтобы выйти из программы SnapBack. Файл регистрации инструмента SnapBack выглядит следующим образом:
A:\>type snapback.log 03/16/2002 18:56 03/16/2002 18:56 EXABYTE EXB-89008E00012FV41b 03/16/2002 18:56 03/16/2002 18:56 Method......:ASPI 03/16/2002 18:56 Drive........:.0 03/16/2002 18:56 Block Size.:32,768 03/16/2002 18:56 HW Compression . Enabled 03/16/2002 18:56 03/16/2002 18:57 Backing Up Fdisk Drive Int13x 1382 MB 03/16/2002 19:05 Successful Backing Up Fdisk Drive Int13x 1382 MB 03/16/2002 19:05 Average Transfer speed : 2973 KB/S 03/16/2002 19:08 The backup operation has 03/16/2002 19:08 successfully completed. 03/16/2002 19:08 03/16/2002 19:08 Total drives/partitions : 1 Total Megabytes : 1382 03/16/2002 19:08 03/16/2002 19:08 SnapBack completed successfully with 0 error(s). -------------------------------------------- A:\>
Обратите внимание, что у нас не было возможности добавить комментарии к конкретному случаю. Не забудьте промаркировать ленту и сохранить файл регистрации. Теперь у вас на ленте судебное изображение Tag3, выполненное с помощью инструмента SnapBack, предназначенное для будущей обработки. Помните, что комплект судебных инструментов Forensic Toolkit от компании AccessData (см. лекцию "Наборы инструментов, помогающие при судебном анализе" ) загрузит файлы изображения SnapBack.
Ghost
Для нашего заключительного судебного дублирования мы будем использовать инструмент Norton Ghost 2001, Personal Edition от компании Symantec. Ghost - популярный инструмент, позволяющий быстро и просто клонировать или копировать жесткие диски компьютерной системы. В дополнение к прямым изображениям в локальные файлы, Ghost может клонировать диски непосредственно между двумя компьютерами, использующими сеть, USB или параллельное подключение. Ghost представляет собой относительно недорогое решение для клонирования дисков. Ghost доступен на сайте http://www.symantec.com.
Реализация
При клонировании компьютерных систем, Ghost делает предположения о файловых системах, которые он обнаруживает и распознает. Например, в системе Windows для ускорения клонирования он распознает логическую файловую систему, копирует индивидуальные файлы и пропускает определенные файлы, типа файлов подкачки (swap files) Windows. Поскольку для судебных целей мы хотим иметь истинную копию жесткого диска сектор за сектором, то эта утилита могла бы быть не адекватна. Однако у Ghost есть выбираемая пользователем опция "для использования юридическими агентствами, которым требуется судебное изображение".
Хотя Ghost и является приложением DOS, у него есть мастер загрузки с графическим интерфейсом пользователя (GUI), который поможет вам создать загрузочный диск для ваших специфических потребностей. Для этого конкретного примера мы создадим загрузочный диск, который поддерживает пишущее устройство на компакт-диски, позволяющее записывать судебное изображение непосредственно на компакт-диски. Хотя это может занять больше времени, чем запись на ленту, вы должны знать, что такая опция существует.
После установки инструмента Norton Ghost нужно создать загрузочный диск, выбрав мастер Norton Ghost Boot Wizard из группы программ Norton Ghost 2001. Для этого конкретного случая мы создадим загрузочный компакт-диск, который поддерживает наше устройство записи на компакт-диски.
Мастер начальной загрузки запрашивает местоположение файла GhostPE.exe. У него уже должна быть достоверная информацию, поэтому просто нажмите Next (Далее).
Мастер спросит вас относительно дисковода гибких дисков и порекомендует сначала отформатировать диск. Если вы уже отформатировали диск, это не всегда обязательно, но если на этот счет есть какие-либо сомнения, то вы должны полностью отформатировать его повторно.
