logo资料库

encase官方中文使用说明.pdf

第1页 / 共249页
第2页 / 共249页
第3页 / 共249页
第4页 / 共249页
第5页 / 共249页
第6页 / 共249页
第7页 / 共249页
第8页 / 共249页
资料共249页,剩余部分请下载后查看
首页
目录
简介
基于Windows 平台的取证
EnCase 第4 版的特性
EnCase 第4 版的新特性
EnCase 第4 版的增强
EnCase 第4 版提升了性能
EnCase 第4 版高级磁盘支持
标准EnCase 特性
最低推荐配置
安全密钥
并口安全密钥
USB 安全密钥
第一部分介绍EnCase
第1 章EnCase 第4 版新特性
1.1 增强的用户界面
1.2 Outlook PST 文件
1.3 时区支持
1.4 Unicode 支持
1.5 高级搜索算法
1.6 动态磁盘支持
1.7 NT 4.0 磁盘配置支持
1.8 NTFS 文件权限和所有权
1.9 NTFS 压缩
1.10 增强OLE 文件支持
1.11 过滤器和查询
1.12 增强的EnScript 界面
1.13 增强的Linux/Unix 文件系统处理
1.14 增强的Windows 注册表加载
第2 章安装EnCase
2.1 EnCase 的安装光盘及其自动运行
2.2 安装盘的安装菜单和内容
2.3 安装USB 安全密钥驱动程序
2.4 第四版EnCase 安装说明
2.5 软件升级更新
2.6 配置问题
2.7 安全密钥的问题
第二部分获取阶段
第3 章创建EnCase 启动盘
3.1 用EnCase 启动盘启动一台计算机
3.2 EnCase 网络启动盘(ENBD)
3.3 EnCase 启动盘相关问题
第4 章DOS 版EnCase
4.1 DOS 版EnCase 功能
第5 章预检和获取
5.1 关于预检的问题
5.2 获取中的问题
第6 章并口电缆获取
6.1 并口电缆获取
第7 章网络电缆获取方式
7.1 获得EnCase 网络启动盘(ENBD)
7.2 实施交叉网络电缆获取
第8 章“驱动器至驱动器”获取
8.1 驱动器结构问题
8.2 优点与缺点
8.3 一般步骤
8.4 获取Macintosh 计算机
8.5 获取UNIX
8.6 获取结束以后
第9 章FastBloc 获取
9.1 步骤
9.2 Windows 下不用FastBloc 获取
第10 章获取磁盘的配置
10.1 软件RAID
10.1.1 Windows NT:第四版EnCase 软件磁盘配置
10.1.2 动态磁盘
10.2 硬件磁盘配置
10.2.1 作为一个驱动器获取磁盘配置设备
10.2.2 作为单个驱动器获取磁盘配置
10.2.3 重建RAID 5
10.2.4 在RAID 5 上验证奇偶性
10.3 SCSI 设备和DOS
第11 章获取Palm PDA
11.1 说明:
11.2 退出控制台模式
11.3 关于Palm 最后的备注
第12 章获取可移动介质
12.1 Zip 盘
12.2 Jaz 盘
12.3 软盘
12.3.1 将软盘写保护
12.4 Superdisks(超级磁盘LS-120)
12.5 CD-ROM, CD-R, CD-RW
12.6 闪存
12.6.1 预检/获取闪存所需的设备
12.6.2 如何获取闪存卡
12.6.3 调查闪存
第三部分分析阶段
第13 章EnCase 导航
13.1 创建新案件
13.1.1 案件描述
13.1.2 检查员的姓名
13.1.3 默认输出文件夹
13.1.4 临时文件夹
13.2 案件管理
13.2.1 并发案件管理
13.3 选项对话框
13.3.1 全局选项
13.3.2 颜色选项
13.3.3 脚本(EnScripts)安全性
13.3.4 字体选项
13.4 在案件中添加证据文件
13.5 出错消息
13.6 添加“原始映像文件(Raw Imag Files)”
13.7 校验证据
13.8 新界面
13.9 EnCase 视图
13.9.1 “所有文件”按钮
13.10 案件
13.11 书签
13.12 设备
13.13 文件类型
13.14 文件特征
13.15 文件查看器
13.16 关键词
13.17 搜索结果
13.18 安全标识(Security IDs)
13.19 文本样式(Text Styles)
13.20 脚本(Scripts)
13.21 Hash 集(Hash Sets)
13.22 EnScript 类型
13.23 列表视图
13.24 列表视图中各列的说明
13.24.1 文件名(Name)
13.24.2 过滤器(Filter)
13.24.3 文件扩展名(File Ext)
13.24.4 文件类型(File Type)
13.24.5 文件类别(File Category)
13.24.6 文件特征(Signature)
13.24.7 描述(Description)
13.24.8 已删除(Is Deleted)
13.24.9 最后访问时间(Last Access)
13.24.10 文件创建时间(File Created)
13.24.11 最后写入时间(Last Written)
13.24.12 入口修改时间(Entry Modified)
13.24.13 逻辑大小(Logical Size)
13.24.14 物理大小(Physical Size)
13.24.15 开始区域(Start Extend)
13.24.16 证据文件(Evidence File)
13.24.17 文件标识符(File Identifier)
13.24.18 HASH 值(Hash Value)
13.24.19 Hash 集(Hash Set)
13.24.20 HASH 类(Hash Category)
13.24.21 全路径(Full path)
13.24.22 短文件名(Short name)
13.24.23 源路径(Original Path)
13.25 列的组织
13.25.1 重新排列(Rearranging Columns)
13.25.2 列复位(Resetting Columns)
13.25.3 隐藏和显示列
13.26 文件排序
13.27 表格图标说明
13.28 图片集视图
13.29 时间线视图(Timeline View)
13.30 报告视图(Report View)
13.31 子标签
13.31.1 “锁定”选择框
13.31.2 文本
13.31.3 十六进制
13.31.4 图片
13.31.5 磁盘
13.31.6 报告
13.31.7 过滤器
13.31.8 查询(混合过滤查询)
13.31.9 控制台
13.31.10 物理扇区/簇信息
13.32 操作中的最后注意事项
13.33 日期和时间问题
第14 章前期步骤
14.1 时区设置
14.2 恢复文件夹
14.2.1 恢复文件夹的背景
14.2.2 丢失的文件
14.3 初始化案件
14.4 特征分析
14.4.1 文件特征
14.4.2 添加一个新的文件特征
14.4.3 查看结果
14.5 HASH 分析
14.5.1 文件散列(File Hashing)
14.6 创建一个HASH 集
14.7 导入HASH 集
14.7.1 HashKeeper
14.7.2 NSRL HASH 集
14.7.3 从NSRL 参考数据集CD 引入HASH 集
14.8 重建HASH 库
14.9 HASH 分析的益处
14.9.1 开始HASH 分析
14.9.2 分析HASH 结果
14.10 运行脚本(EnScripts)
14.10.1 初始化案件
14.10.2 信息记录探测器
14.10.3 图形文件查找脚本
14.10.4 因特网历史脚本
14.10.5 链接分解器(Link Parser)
14.10.6 查找唯一邮件地址列表
第15 章查看文件
15.1 复制/反删除文件
15.1.1 选择文件
15.1.2 复制/反删除文件
15.2 复制/反删除书签
15.2.1 复制整个文件夹
15.3 在EnCase 外部查看文件
15.3.1 文件查看器
15.3.2 文件类型
15.4 有关文件的疑问
第16 章关键词搜索
16.1 输入关键词
16.1.1 搜索选项释义
16.2 国际化的关键词
16.3 导出/导入关键词
16.3.1 导出关键词
16.3.2 导入关键词
16.4 添加关键词列表
16.5 组织关键词
16.6 开始一次搜索
16.6.1 搜索选项
16.7 查看搜索结果
16.8 标记查询结果
16.9 “刷新”按钮
16.10 取消一次搜索
第17 章查看复合文件
17.1 注册表文件
17.2 OLE 文件
17.3 压缩文件
17.4 Outlook Express 5 邮件
17.5 MS Outlook E-mail
17.6 NTFS 压缩文件
第18 章脚本和过滤器
18.1 脚本路径
18.2 查看、编辑和编译脚本程序
18.3 脚本库
18.4 过滤器
18.4.1 访问过滤器
18.4.2 开始和停止过滤器
18.4.3 编写您自己的过滤器
18.5 查询
18.5.1 视图(View)标签
18.5.2 Include 标签
第19 章高级分析
19.1 恢复分区
19.1.1 添加分区
19.1.2 删除分区
19.1.3 从格式化的驱动器上恢复文件夹
19.2 网络浏览历史
19.3 读取目标计算机丢弃的内容
19.4 恢复E-mail
19.5 分析DriveSpace 卷
19.6 破解加密或口令保护的文件
第20 章外国语言支持(Unicode)
20.1 查看Unicode 文件
20.2 Unicode 字体
20.2.1 改变字体大小
20.2.2 字体推荐
20.3 查看非Unicode 和非英语文件
20.4 从右往左(RTL)阅读的语言
20.5 外语关键词搜索
20.5.1 复制和粘贴
20.5.2 字符映射表
20.5.3 区域设置
20.6 外语书签
20.6.1 更多信息
第四部分获取证据
第21 章证据恢复
21.1 目标(Target)介质的准备
21.2 物理恢复
21.2.1 物理上恢复一个驱动器,按以下步骤:
21.3 逻辑恢复
21.3.1 逻辑上恢复一个驱动器,按以下步骤:
21.4 启动“恢复”硬盘
21.5 恢复中会碰到的问题
第22 章证据归档
22.1 什么应当被存档
22.2 刻录完成之后
22.3 清洗
第五部分记录证据/报告
第23 章书签
23.1 认识书签
23.2 选中的数据书签
23.2.1 文本
23.2.2 图片
23.2.3 整数
23.2.4 日期
23.2.5 Windows
23.2.6 样式
23.3 注释书签
23.4 文件夹信息书签
23.5 值得注意的文件书签
23.6 文件组书签
第24 章报告
24.1 提交多个图像
24.2 报告输出
24.3 对介质中包含的所有文件和文件夹归档
24.4 提交搜索结果
第六部分附录
附录A:取证专业词汇
附录B:GREP
B.1 GREP 语法
B.2 GREP 的例子
附录C:第三方工具
C.1 Quick View Plus
C.2 IrfanView
C.3 AC/DSee
C.4 DBXtract
C.5 MBXtract
C.6 Decode Shell Extension
C.7 Disk Compare
C.8 Mailbag Assistant
C.9 PST Cracker
C.10 OST2PST
C.11 Gpart
C.12 CD-R Diagnostic
C.13 CompuPic Pro
C.14 Dir to Html
附录D:取证实验室
D.1 现场取证
D.2 实验室分析
EnCase 使用指南 金诺网安勘查取证系统 EnCase 4 使用手册 上海金诺网络安全技术发展股份有限公司
目 录 目 录 目 录.......................................................................................................................................I 简介............................................................................................................................................. 1 基于 Windows 平台的取证 ....................................................................................................1 EnCase 第 4 版的特性...........................................................................................................1 EnCase 第 4 版的新特性 ..........................................................................................1 EnCase 第 4 版的增强 ..............................................................................................2 EnCase 第 4 版提升了性能 ......................................................................................2 EnCase 第 4 版高级磁盘支持 ..................................................................................2 标准 EnCase 特性 .....................................................................................................3 最低推荐配置 ..........................................................................................................................4 安全密钥 ..................................................................................................................................4 并口安全密钥..............................................................................................................4 USB 安全密钥 ............................................................................................................5 第 1 章 ENCASE 第 4 版新特性 .......................................................................................... 7 1.1 增强的用户界面...............................................................................................................7 1.2 Outlook PST 文件 ............................................................................................................8 1.3 时区支持...........................................................................................................................8 1.4 Unicode 支持 ....................................................................................................................8 1.5 高级搜索算法...................................................................................................................9 1.6 动态磁盘支持...................................................................................................................9 1.7 NT 4.0 磁盘配置支持.......................................................................................................9 1.8 NTFS 文件权限和所有权 ..............................................................................................10 1.9 NTFS 压缩 ......................................................................................................................11 1.10 增强 OLE 文件支持.....................................................................................................12 1.11 过滤器和查询...............................................................................................................13 1.12 增强的 EnScript 界面 .................................................................................................14 1.13 增强的 Linux/Unix 文件系统处理 ..............................................................................15 1.14 增强的 Windows 注册表加载 ....................................................................................15 第 2 章 安装 ENCASE.........................................................................................................16 2.1 EnCase 的安装光盘及其自动运行 ..............................................................................16 2.2 安装盘的安装菜单和内容.............................................................................................16 EnCase 使用手册 i
目 录 2.3 安装 USB 安全密钥驱动程序.......................................................................................16 2.4 第四版 EnCase 安装说明.............................................................................................17 2.5 软件升级更新.................................................................................................................18 下载第四版 EnCase 的最新升级: .......................................................................18 用户名和密码............................................................................................................18 2.6 配置问题.........................................................................................................................18 2.7 安全密钥的问题.............................................................................................................19 第 3 章 创建 ENCASE 启动盘............................................................................................22 3.1 用 EnCase 启动盘启动一台计算机.............................................................................25 3.2 EnCase 网络启动盘(ENBD) ...................................................................................26 3.3 EnCase 启动盘相关问题 ..............................................................................................26 第 4 章 DOS 版 ENCASE...................................................................................................28 4.1 DOS 版 EnCase 功能....................................................................................................28 第 5 章 预检和获取..............................................................................................................36 5.1 关于预检的问题.............................................................................................................36 5.2 获取中的问题.................................................................................................................37 第 6 章 并口电缆获取 ..........................................................................................................38 6.1 并口电缆获取.................................................................................................................38 第 7 章 网络电缆获取方式 ..................................................................................................43 7.1 获得 EnCase 网络启动盘(ENBD)...............................................................................43 7.2 实施交叉网络电缆获取.................................................................................................44 第 8 章 “驱动器至驱动器”获取 ......................................................................................47 8.1 驱动器结构问题.............................................................................................................47 8.2 优点与缺点.....................................................................................................................47 8.3 一般步骤.........................................................................................................................47 8.4 获取 Macintosh 计算机.................................................................................................53 8.5 获取 UNIX ......................................................................................................................53 8.6 获取结束以后.................................................................................................................53 第 9 章 FASTBLOC 获取...................................................................................................55 9.1 步骤.................................................................................................................................55 9.2 Windows 下不用 FastBloc 获取 ...................................................................................57 EnCase 使用手册 ii
目 录 第 10 章 获取磁盘的配置....................................................................................................59 10.1 软件 RAID ....................................................................................................................59 10.1.1 Windows NT:第四版 EnCase 软件磁盘配置 ...........................................59 10.1.2 动态磁盘 ......................................................................................................60 10.2 硬件磁盘配置...............................................................................................................61 10.2.1 作为一个驱动器获取磁盘配置设备 ..........................................................61 10.2.2 作为单个驱动器获取磁盘配置 ..................................................................61 10.2.3 重建 RAID 5.................................................................................................63 10.2.4 在 RAID 5 上验证奇偶性............................................................................63 10.3 SCSI 设备和 DOS .......................................................................................................63 第 11 章 获取 PALM PDA..................................................................................................64 11.1 说明:...........................................................................................................................64 11.2 退出控制台模式...........................................................................................................67 11.3 关于 Palm 最后的备注 ...............................................................................................67 第 12 章 获取可移动介质....................................................................................................68 12.1 Zip 盘 .............................................................................................................................68 12.2 Jaz 盘 ............................................................................................................................68 12.3 软盘...............................................................................................................................68 12.3.1 将软盘写保护 ..............................................................................................69 12.4 Superdisks(超级磁盘 LS-120)..............................................................................69 12.5 CD-ROM, CD-R, CD-RW...........................................................................................69 12.6 闪存...............................................................................................................................70 12.6.1 预检/获取闪存所需的设备 .........................................................................70 12.6.2 如何获取闪存卡 ..........................................................................................70 12.6.3 调查闪存 ......................................................................................................70 第 13 章 ENCASE 导航 ......................................................................................................72 13.1 创建新案件...................................................................................................................72 13.1.1 案件描述 ......................................................................................................73 13.1.2 检查员的姓名 ..............................................................................................73 13.1.3 默认输出文件夹 ..........................................................................................73 13.1.4 临时文件夹 ..................................................................................................73 13.2 案件管理.......................................................................................................................73 13.2.1 并发案件管理 ..............................................................................................73 13.3 选项对话框...................................................................................................................74 EnCase 使用手册 iii
目 录 13.3.1 全局选项 ......................................................................................................74 13.3.2 颜色选项 ......................................................................................................75 13.3.3 脚本(EnScripts)安全性 .........................................................................75 13.3.4 字体选项 ......................................................................................................76 13.4 在案件中添加证据文件...............................................................................................77 13.5 出错消息.......................................................................................................................81 13.6 添加“原始映像文件(Raw Imag Files)” ...........................................................82 13.7 校验证据.......................................................................................................................84 13.8 新界面...........................................................................................................................84 13.9 EnCase 视图 ................................................................................................................85 13.9.1 “所有文件”按钮 ......................................................................................85 13.10 案件 ............................................................................................................................85 13.11 书签 ............................................................................................................................86 13.12 设备 ............................................................................................................................87 13.13 文件类型 ....................................................................................................................88 13.14 文件特征 ....................................................................................................................89 13.15 文件查看器 ................................................................................................................89 13.16 关键词 ........................................................................................................................90 13.17 搜索结果 ....................................................................................................................90 13.18 安全标识(Security IDs) .......................................................................................91 13.19 文本样式(Text Styles).........................................................................................93 13.20 脚本(Scripts) ........................................................................................................93 13.21 Hash 集(Hash Sets) ............................................................................................94 13.22 EnScript 类型 .............................................................................................................95 13.23 列表视图 ....................................................................................................................95 13.24 列表视图中各列的说明 ............................................................................................96 13.24.1 文件名(Name)......................................................................................96 13.24.2 过滤器(Filter) .......................................................................................97 13.24.3 文件扩展名(File Ext) ...........................................................................97 13.24.4 文件类型(File Type) ............................................................................97 13.24.5 文件类别(File Category) ....................................................................97 13.24.6 文件特征(Signature) ...........................................................................97 13.24.7 描述(Description) ................................................................................97 13.24.8 已删除(Is Deleted) ..............................................................................97 13.24.9 最后访问时间(Last Access)...............................................................98 13.24.10 文件创建时间(File Created) ............................................................98 EnCase 使用手册 iv
目 录 13.24.11 最后写入时间(Last Written).............................................................98 13.24.12 入口修改时间(Entry Modified) ........................................................98 13.24.13 逻辑大小(Logical Size) ....................................................................98 13.24.14 物理大小(Physical Size) ..................................................................98 13.24.15 开始区域(Start Extend) ....................................................................99 13.24.16 证据文件(Evidence File) ..................................................................99 13.24.17 文件标识符(File Identifier) ...............................................................99 13.24.18 HASH 值(Hash Value) ......................................................................99 13.24.19 Hash 集(Hash Set) ............................................................................99 13.24.20 HASH 类(Hash Category) ................................................................99 13.24.21 全路径(Full path)...............................................................................99 13.24.22 短文件名(Short name) .....................................................................99 13.24.23 源路径(Original Path) .......................................................................99 13.25 列的组织 ..................................................................................................................100 13.25.1 重新排列(Rearranging Columns) ...................................................100 13.25.2 列复位(Resetting Columns) ............................................................100 13.25.3 隐藏和显示列 ..........................................................................................100 13.26 文件排序 ..................................................................................................................101 13.27 表格图标说明 ..........................................................................................................102 13.28 图片集视图 ..............................................................................................................103 13.29 时间线视图(Timeline View) .............................................................................104 13.30 报告视图(Report View).....................................................................................105 13.31 子标签 ......................................................................................................................106 13.31.1 “锁定”选择框 ......................................................................................106 13.31.2 文本 ..........................................................................................................106 13.31.3 十六进制 ..................................................................................................107 13.31.4 图片 ..........................................................................................................107 13.31.5 磁盘 ..........................................................................................................107 13.31.6 报告 ..........................................................................................................108 13.31.7 过滤器 ......................................................................................................108 13.31.8 查询(混合过滤查询) ..........................................................................109 13.31.9 控制台 ......................................................................................................109 13.31.10 物理扇区/簇信息 ...................................................................................110 13.32 操作中的最后注意事项 ..........................................................................................111 13.33 日期和时间问题 ......................................................................................................112 第 14 章 前期步骤 ..............................................................................................................113 EnCase 使用手册 v
目 录 14.1 时区设置.....................................................................................................................113 14.2 恢复文件夹.................................................................................................................115 14.2.1 恢复文件夹的背景 ....................................................................................115 14.2.2 丢失的文件 ................................................................................................116 14.3 初始化案件.................................................................................................................116 14.4 特征分析.....................................................................................................................117 14.4.1 文件特征 ....................................................................................................117 14.4.2 添加一个新的文件特征 ............................................................................118 14.4.3 查看结果 ....................................................................................................120 14.5 HASH 分析 .................................................................................................................121 14.5.1 文件散列(File Hashing) ......................................................................121 14.6 创建一个 HASH 集 ...................................................................................................121 14.7 导入 HASH 集 ...........................................................................................................122 14.7.1 HashKeeper ...............................................................................................123 14.7.2 NSRL HASH 集 .........................................................................................124 14.7.3 从 NSRL 参考数据集 CD 引入 HASH 集。 ...........................................124 14.8 重建 HASH 库 ...........................................................................................................125 14.9 HASH 分析的益处 .....................................................................................................125 14.9.1 开始 HASH 分析 .......................................................................................126 14.9.2 分析 HASH 结果 .......................................................................................126 14.10 运行脚本(EnScripts) .........................................................................................127 14.10.1 初始化案件 ..............................................................................................127 14.10.2 信息记录探测器 ......................................................................................127 14.10.3 图形文件查找脚本 ..................................................................................127 14.10.4 因特网历史脚本 ......................................................................................128 14.10.5 链接分解器(Link Parser) ..................................................................128 14.10.6 查找唯一邮件地址列表 ..........................................................................128 第 15 章 查看文件 ..............................................................................................................129 15.1 复制/反删除文件 .......................................................................................................129 15.1.1 选择文件 ....................................................................................................129 15.1.2 复制/反删除文件 .......................................................................................129 15.2 复制/反删除书签 .......................................................................................................131 15.2.1 复制整个文件夹 ........................................................................................132 15.3 在 EnCase 外部查看文件 ........................................................................................132 15.3.1 文件查看器 ................................................................................................132 EnCase 使用手册 vi
目 录 15.3.2 文件类型 ....................................................................................................133 15.4 有关文件的疑问.........................................................................................................134 第 16 章 关键词搜索 ..........................................................................................................136 16.1 输入关键词.................................................................................................................137 16.1.1 搜索选项释义 ............................................................................................137 16.2 国际化的关键词.........................................................................................................138 16.3 导出/导入关键词 .......................................................................................................139 16.3.1 导出关键词 ................................................................................................139 16.3.2 导入关键词 ................................................................................................140 16.4 添加关键词列表.........................................................................................................141 16.5 组织关键词.................................................................................................................142 16.6 开始一次搜索.............................................................................................................143 16.6.1 搜索选项 ....................................................................................................143 16.7 查看搜索结果.............................................................................................................144 16.8 标记查询结果.............................................................................................................145 16.9 “刷新”按钮.............................................................................................................145 16.10 取消一次搜索 ..........................................................................................................146 第 17 章 查看复合文件 ......................................................................................................147 17.1 注册表文件.................................................................................................................147 17.2 OLE 文件 ....................................................................................................................148 17.3 压缩文件.....................................................................................................................148 17.4 Outlook Express 5 邮件 ............................................................................................149 17.5 MS Outlook E-mail ....................................................................................................150 17.6 NTFS 压缩文件 ..........................................................................................................151 第 18 章 脚本和过滤器 ......................................................................................................152 18.1 脚本路径.....................................................................................................................153 18.2 查看、编辑和编译脚本程序.....................................................................................153 18.3 脚本库.........................................................................................................................154 18.4 过滤器.........................................................................................................................155 18.4.1 访问过滤器 ................................................................................................155 18.4.2 开始和停止过滤器 ....................................................................................155 18.4.3 编写您自己的过滤器 ................................................................................156 18.5 查询.............................................................................................................................156 18.5.1 视图(View)标签....................................................................................156 EnCase 使用手册 vii
分享到:
收藏