电子物证技术课件encase

1、Encase取证工具产品取证工具产品 -证据获取与固定证据获取与固定议题议题Encase软件介绍软件介绍Encase软件的组成和结构软件的组成和结构Encase软件的安装创建软件的安装创建EnCase 启动盘启动盘DOS版版Encase Encase数据预览数据预览Encase 数据获取数据获取Encase 数据获取总结数据获取总结Encase基本介绍基本介绍Windows版的取证工具版的取证工具安装系统需要的最小需求安全密钥版本安装系统需要的最小需求安全密钥版本4增加的新特性增加的新特性Encase基本介绍基本介绍Encase软件是软件是Guiandce Software co., 生产的计

2、算机勘察取证软件生产的计算机勘察取证软件该公司是世界上最大的计算机和企业勘察该公司是世界上最大的计算机和企业勘察技术解决方案提供商技术解决方案提供商Encase Forensic Edition 基本介基本介绍绍安装系统需要的最小需求安装系统需要的最小需求Pentium III 550 MHz or fasterprocessor 256 MB of RAM Windows 2000 or above (Windows 98/ME/2000/NT/XP 上都可运行上都可运行) 15 MB free hard drive spaceEncase基本介绍基本介绍安全密钥安全密钥安全密钥连接至并口或

3、安全密钥连接至并口或USB口口用于保护软件版权用于保护软件版权注意安全密钥远离静电注意安全密钥远离静电安装并口安全密钥时先关闭计算机电源安装并口安全密钥时先关闭计算机电源没有安全密钥仍可获取证据，但不能分析没有安全密钥仍可获取证据，但不能分析证据证据Encase 基本介绍基本介绍功能介绍功能介绍证据数据复制和证据完整性固定证据数据复制和证据完整性固定搜索和分析多种文件系统存储介质，包括搜索和分析多种文件系统存储介质，包括FAT12，FAT32，NTFS，Linux，Unix，Macintosh，CDROM，支持描述语言，用户可以自定义过滤器和程序对制，支持描述语言，用户可以自定义过滤器和程序对

4、制，可以完成自动分析功能图库可以自动识别所有图形文件，显可以完成自动分析功能图库可以自动识别所有图形文件，显示为缩略图示为缩略图支持支持NT RAID卷卷可以通过并口、网线、特殊硬件等对磁盘内容进可以通过并口、网线、特殊硬件等对磁盘内容进生成和维护用户自定义文件生成和维护用户自定义文件HASH集集支持对磁盘内容的关键词搜索支持支持对磁盘内容的关键词搜索支持文件特征码的校验文件特征码的校验可以构建已知文件库，可以构建已知文件库，Encase可以自动识别可以自动识别显示硬盘物理分配图显示硬盘物理分配图可以使用二进制可以使用二进制/文本格式显示任意文件内容文本格式显示任意文件内容新增特性增强的用户接

5、口增强的用户接口Outlook PST 文件文件支持时区支持支持时区支持支持支持Unicode最新标准最新标准Version3.2 更高级的搜索算法：速度是更高级的搜索算法：速度是V3的七倍的七倍支持动态磁盘：支持支持动态磁盘：支持RAID0、1、5，SPANNED和基本分区和基本分区的任意组合的任意组合支持显示支持显示NTFS文件系统中的权限和所有者等信息文件系统中的权限和所有者等信息支持支持NTFS的文件和目录压缩增强的的文件和目录压缩增强的OLE文件支持文件支持过滤和查询增强的过滤和查询增强的Enscripts 编程和管理环境编程和管理环境增强的增强的linux/unix文件系统处理：能

6、列出文件的所有者和权文件系统处理：能列出文件的所有者和权限信息增强的限信息增强的windows注册表装载性能，能恢复被删除的注册表装载性能，能恢复被删除的win95/98注册表信息注册表信息Encase 4 的两个版本 EncaseForensic Edition 为与法律有关的计算机犯罪证据的勘察和获取Encase Enterprised Edition 为企业提供一个事件响应和审计符合性的强大平Encase软件功能组成案件管理：对Encase获取的数据和取证分析的过程和信息进行管理数据获取（acquisition）/预览 windows下取证Dos下取证数据分析（取证）Encase软件工作

7、模式 WINDOWS模式：证据数据获取证据数据浏览案件管理证据分析和报告DOS模式：证据数据获取搜索关键字软件的安装 建议安装的最小软硬件环境EnCase Forensic Edition security key Pentium III 550 MHz or fasterprocessor 256 MB of RAMWindows 2000 or above (Windows 98/ME/2000/NT/XP 上都可运行) 15 MB free hard drive space软件的安装软件狗（Dongle）如果没有软件狗，软件能用来获取和生成证据数据文件，浏览证据数据，但不能进行分析证据数

8、据等相关工作软件狗驱动程序(从光盘上直接安装）Encase安装过程 Encase软件非在线升级 port/downloads.asp 需要Username和Password Username和Password在Encase软件包的Download Card中配置问题Encase运行在什么系统环境中？可以在DOS或windows下获取证据但只能在windows98/ME/2000/NT/XP 下浏览和分析证据Encase怎样处理不认识的文件系统？Encase将其标识为“unallocated cluster”, 但仍可进行关键字查询及做书签等功能，只不过看不到文件名和目录结构，同样可以运行Ens

9、cript。Encase工作的一般步骤数据获取生成镜像文件DOS和Windows下可工作不同的介质和接口数据预览（限windows模式）使用Encase对镜像文件进行分析只能在windows且有软件狗的环境中数据获取镜像文件的数据组织充分的数据校验分卷存储可选压缩方式CRC校验64扇区的数据案件信息MD5校验Encase 支持的获取方法并口线获取交叉线获取“硬盘到硬盘”的获取FastBloc等只读工具获取获取磁盘配置（RAID等）获取Palm PDAs获取移动介质创建Encase启动盘使用EnCase启动盘的目的：当介质取证获取在Windows系统下面不可行时，用于在DOS下安全地获取数字介质

10、信息为什么不能在windows下进行获取的介质工作? Windows将会写入数据到它所侦测到的任何本地磁盘驱动器Encase网络启动盘（ENBD）EnCase一般启动盘适用于并口电缆获取一般启动盘适用于并口电缆获取和和“硬盘到硬盘硬盘到硬盘”获取获取ENBD适合于适合于“交叉交叉电缆电缆”获取方式获取方式（详见：（详见：EnCase网络获取方式）网络获取方式）K网站上获得的网站上获得的EnCase网网络启动盘实用程序：络启动盘实用程序： port/network_bootdisk.shtmDos版Encase的菜单功能能 Locking / Unlocking (加锁加锁/

11、解锁）解锁）Acquiring(获取获取)Search(搜索搜索Hashing(散列）散列）Server(服务器模式）服务器模式）Mode(硬盘参数存取模式）硬盘参数存取模式）Option(选项）选项）Quit(退出默认将所有本地硬盘设置为退出默认将所有本地硬盘设置为“锁定）锁定）Dos版Encase的菜单功能 Locking / Unlocking (加锁/解锁）默认将所有本地硬盘设置为“锁定”Dos版Encase的菜单功能 Locking / Unlocking (加锁加锁/解锁）解锁）要明确解锁的对象，防止把目要明确解锁的对象，防止把目标硬盘解锁导致意外写入数据标硬盘解锁导致意外写入数据

12、 注意：只能在启动到DOS的时候才能对设备加锁和解锁。仅仅在Windows下打开一个DOS窗口并不能提供给DOS版EnCase所需的对硬件层的访问权。 Dos版Encase的菜单功能 Acquiring(获取)提供同一计算机中“驱动器到驱动器”的获取。Dos版Encase的菜单功能 Search(搜索):搜索关键字 步骤一：关键字事先在文本文件.txt中保存Dos版Encase的菜单功能Search(搜索搜索):搜索关键字搜索关键字 步骤二：选择需搜索关键字的驱动器步骤二：选择需搜索关键字的驱动器 Dos版Encase的菜单功能Search(搜索搜索):搜索关键字搜索关键字 步骤三：输入保存关

13、键字文本文件的路步骤三：输入保存关键字文本文件的路径径 Dos版Encase的菜单功能 Search(搜索):搜索关键字 步骤三：输入保存关键字文本文件的路Dos版Encase的菜单功能Search(搜索搜索):搜索关键字搜索关键字 步骤四：查看搜索结果。如需中止搜索步骤四：查看搜索结果。如需中止搜索过程可按过程可按ESC键键Dos版Encase的菜单功能Hashing(散列散列) 生成原始介质的生成原始介质的Hash值值目的：用于在分析映像文件时，确认映像文件是否为原始介质完全一致。方法是：比较映像文件的Hash值是否与原始介质的Hash值相同 Dos版Encase的菜单功能 Server(

14、服务器模式) 使用交叉网络电缆和并口电缆获取方式安全地获取和预检目标介质EnCase for windows EnCase for Dos获取和预览 Server ModeEncase数据预览EnCase for windows 数据预览数据预览EnCase for windows 必须先预览必须先预览(Previewing)数据然后才能获取数据然后才能获取(Acquiring)数据数据预览的局限性：预览的局限性：在在windows环境中预览本地硬盘会导致环境中预览本地硬盘会导致改变本地硬盘上的数据改变本地硬盘上的数据Encase数据预览预检功能仅仅在你与目标介质物理相连的时候才允许你查看案例

15、结果 预览的优势：调查员就不必要等待几个小时（或更多）的时间完成获取后才能进行初步调查Encase数据预览预览期可执行的操作预览期可执行的操作做关键字搜索和创建书签。做关键字搜索和创建书签。 关键字搜索关键字搜索结果和书签信息可以保存在案例文件中结果和书签信息可以保存在案例文件中（每次当案例需要重新查看的时候，目标（每次当案例需要重新查看的时候，目标介质必须在物理上重新连接到存储机器）介质必须在物理上重新连接到存储机器） 注意：如果使用如FastBloc之类的写保护硬件的话，我们就有可能安全地（不会改变数据）预检本地硬盘。如果没使用写保护硬件的话，预检必须通过并口电缆或交叉网络电缆实施。Enc

16、ase数据预览在预检目标计算机的时候，我是否可以复制在预检目标计算机的时候，我是否可以复制/恢恢复文件复文件答：可以答：可以我可否我可否“预检预检”Linux和和Unix的计算机？的计算机？ 答：可以答：可以为什么我试图预检目标计算机的时候我的膝上型为什么我试图预检目标计算机的时候我的膝上型计算机会关机计算机会关机答：关闭计算机的省电功能答：关闭计算机的省电功能Encase 支持的获取方法并口线获取交叉线获取“硬盘到硬盘”的获取FastBloc工具获取获取磁盘配置（RAID等）获取Palm PDAs 获取移动介质EnCase数据获取-并口电缆何时使用并口电缆获取方式？没有FastBloc设备或

17、没有支持DOS的PCMCIA网卡的膝上型电脑进行获取时当获取主板上没有IDE通道的计算机中的硬件RAID时没有其它获取方法时特点：获取速度慢但很安全EnCase数据获取-并口电缆准备工作：在获取之前，必须确保两台计算机上的EnCase版本相符（DOS版和Windows版）;以并行端口lap-link电缆连接两台电脑;以EnCase启动盘启动目标计算机;将存储计算机启动到Windows下运行EnCaseEnCase数据获取-并口电缆完成以后：关闭两台计算机;断开并行端口电缆;将目标硬盘驱动器放置安全的地方;从软驱中取出启动软盘完成以后：EnCase数据获取-网络电缆何时使用网络电缆获取方式？在有

18、一块具有DOS驱动程序的网卡的计算机需要快速进行数据获取特点：获取速度快！EnCase数据获取-网络电缆准备工作：通过内置的交叉网络电缆连接目标计算机和存储计算机;用EnCase网络启动盘启动目标计算机;选择正确的网卡(选择”auto”将会自动加载驱动程序包);运行DOS版EnCase(选择”auto”会自动运行DOS版EnCase);将DOS版EnCase设为服务器模式;选择”Network”。现在目标计算机将运行于服务器模式，显示“Waiting to connect（等待连接）”;EnCase数据获取数据获取-Fastbloc准备工作：准备工作：将目标将目标IDE硬盘连接到硬盘连接到FastBloc设备上设备上确保确保FastBloc设备与存储计算机的设备与存储计算机的SCSI或或IDE连接紧密良好连接紧密良好打开打开FastBloc的电源的电源; 打开存储计算机的电源打开存储计算机的电源在存储计算机上运行在存储计算机上运行Windows版版EnCase 点击点击ADD DEVICE按