Коммерческие наборы инструментов для судебного дублирования

Как только вы закончите просмотр файла регистрации, вы получите напоминание, что его надо стереть. Конечно, вы всегда должны сохранять файл регистрации, поэтому выберите No (Нет) и нажмите ENTER. Файл SNAPBACK.LOG будет сохранен там, откуда вы запустили файл snapback.exe (в данном случае - на загрузочной дискете).

увеличить изображение

Выберите Quit (Выход) из главного окна, чтобы выйти из программы SnapBack. Файл регистрации инструмента SnapBack выглядит следующим образом:

A:\>type snapback.log
03/16/2002  18:56
03/16/2002  18:56   EXABYTE EXB-89008E00012FV41b
03/16/2002  18:56
03/16/2002  18:56   Method......:ASPI
03/16/2002  18:56   Drive........:.0
03/16/2002  18:56   Block Size.:32,768
03/16/2002  18:56   HW Compression . Enabled
03/16/2002  18:56
03/16/2002  18:57   Backing Up Fdisk Drive  Int13x  1382 MB
03/16/2002  19:05   Successful Backing Up Fdisk Drive   Int13x  1382 MB
03/16/2002  19:05   Average Transfer speed : 2973 KB/S
03/16/2002  19:08   The backup operation has
03/16/2002  19:08   successfully completed.
03/16/2002  19:08
03/16/2002  19:08   Total drives/partitions : 1 Total Megabytes : 1382
03/16/2002  19:08
03/16/2002  19:08 SnapBack completed successfully with 0 error(s).
--------------------------------------------
A:\>

Обратите внимание, что у нас не было возможности добавить комментарии к конкретному случаю. Не забудьте промаркировать ленту и сохранить файл регистрации. Теперь у вас на ленте судебное изображение Tag3, выполненное с помощью инструмента SnapBack, предназначенное для будущей обработки. Помните, что комплект судебных инструментов Forensic Toolkit от компании AccessData (см. лекцию "Наборы инструментов, помогающие при судебном анализе" ) загрузит файлы изображения SnapBack.

Ghost

Для нашего заключительного судебного дублирования мы будем использовать инструмент Norton Ghost 2001, Personal Edition от компании Symantec. Ghost - популярный инструмент, позволяющий быстро и просто клонировать или копировать жесткие диски компьютерной системы. В дополнение к прямым изображениям в локальные файлы, Ghost может клонировать диски непосредственно между двумя компьютерами, использующими сеть, USB или параллельное подключение. Ghost представляет собой относительно недорогое решение для клонирования дисков. Ghost доступен на сайте http://www.symantec.com.

Реализация

При клонировании компьютерных систем, Ghost делает предположения о файловых системах, которые он обнаруживает и распознает. Например, в системе Windows для ускорения клонирования он распознает логическую файловую систему, копирует индивидуальные файлы и пропускает определенные файлы, типа файлов подкачки (swap files) Windows. Поскольку для судебных целей мы хотим иметь истинную копию жесткого диска сектор за сектором, то эта утилита могла бы быть не адекватна. Однако у Ghost есть выбираемая пользователем опция "для использования юридическими агентствами, которым требуется судебное изображение".

Хотя Ghost и является приложением DOS, у него есть мастер загрузки с графическим интерфейсом пользователя (GUI), который поможет вам создать загрузочный диск для ваших специфических потребностей. Для этого конкретного примера мы создадим загрузочный диск, который поддерживает пишущее устройство на компакт-диски, позволяющее записывать судебное изображение непосредственно на компакт-диски. Хотя это может занять больше времени, чем запись на ленту, вы должны знать, что такая опция существует.

После установки инструмента Norton Ghost нужно создать загрузочный диск, выбрав мастер Norton Ghost Boot Wizard из группы программ Norton Ghost 2001. Для этого конкретного случая мы создадим загрузочный компакт-диск, который поддерживает наше устройство записи на компакт-диски.

Мастер начальной загрузки запрашивает местоположение файла GhostPE.exe. У него уже должна быть достоверная информацию, поэтому просто нажмите Next (Далее).

Мастер спросит вас относительно дисковода гибких дисков и порекомендует сначала отформатировать диск. Если вы уже отформатировали диск, это не всегда обязательно, но если на этот счет есть какие-либо сомнения, то вы должны полностью отформатировать его повторно.