◆目的
NTFS (New Technology File System) は、Windows NT オペレーティングシステムがハードドライブ上でファイルを保存および取得するために使用するファイルシステムです。

この目的がNTFS 用の DiskExplorerを使用して NTFS ファイルシステムを分析する方法

◆概要
DiskExplorer for NTFSツールに慣れ、生のフォレンジックイメージをアプリケーションにインポートすることで NTFS ファイルシステムを調査し、そこから 16 進データをコピーする方法を理解するのに役立ちます。

１、
Setup.exe をダブルクリックしてセットアップを起動し、ウィザードによるインストール手順に従ってアプリケーションをインストールします。

２，
アプリケーションを起動するには、デスクトップにあるDiskExplorer for NTFSショートカットアイコンをダブルクリックします。

スクリーンショットに示すように、DiskExplorer for NTFSのメインウィンドウが表示されます。

３，
フォレンジックイメージをこのアプリケーションにインポートします。「ファイル」に移動し、「画像…」を選択します。

４，
「ドライブとして開くファイルを選択してください…」ウィンドウが表示されます。[ファイルの種類]ドロップダウンリストで、 [すべてのファイル ( . )]を選択し、 C:\CHFI-Tools\Evidence Files\Forensic Imagesに移動し、Windows_Evidence_001.ddを選択して、[開く]をクリックします。

５，
イメージファイルの詳細が 2 つのセクター (有効ブートセクターと無効ブートセクター)に表示されます。

６，
ツールバーの[セクター]アイコンをクリックするか、 [ジャンプ] --> [セクター]に移動して特定のセクターを表示します。

７，
[セクターに移動]ウィザードで、[セクター]または[バイト]セクションに選択した16進値 (ここでは、[セクター] セクションに16 進値を00000002としました) を入力して新しい位置にジャンプし、 [ OK]をクリックします。

８，
次のスクリーンショットに示すように、指定されたセクターが表示されます。

９，
[表示] --> [16 進数]をクリックするか、F3 キーを押して、選択したセクターの 16 進数の値を表示します。

１０，
以下のスクリーンショットは、選択したセクターの16 進ビューを示しています

１１，
後で参照できるように、必要な 16 進データ全体をコピーできます。データ全体をコピーするには、[編集] --> [すべて選択]に移動します。

１２，
次のスクリーンショットに示すように、16 進数データ全体が強調表示されます

１３，
「編集」に移動し、「ファイルにコピー…」をクリックして、さらに処理するために証拠ファイルをコピーします。

１４，
[コピー]ポップアップウィンドウで、ファイルの保存先の場所を選択し、イメージファイルの名前を指定します。プロンプトの上部に、作成される画像のサイズが表示されます。「保存」をクリックします。

このラボでは、デスクトップにRuntime Disk Explorer Imageという名前のフォルダーを作成し、ファイルをRDEM.imgという名前でこの場所に保存します。

１５，
[確認]ポップアップで、 [いいえ]をクリックして画像を 1 つのファイルに保存します。

１６，
アプリケーションは画像ファイルのコピーを開始します。このプロセスの進行状況は、以下のスクリーンショットに示されているように反映されます。

１７，
[デスクトップ] --> [ランタイムディスクエクスプローラーイメージ]ディレクトリに移動して、 NTFS ファイルシステムを含むイメージファイル (ここでは、Windows_Evidence_001.dd ) から作成されたカスタマイズされたイメージ (ここでは、 RDEM.img ) を確認します。

１８，
開いているウィンドウをすべて閉じます。