◆目的
目的は、フォレンジック画像を表示するためにAccessData FTK Imagerを使用する方法

ハードディスクのフォレンジックイメージを取得した後、フォレンジック調査者はイメージファイルの内容をプレビューして、調査に役立つ証拠が含まれているかどうか、または追加の分析が必要かどうかを確認する必要があります。

◆概要
AccessData FTK Imagerツールに慣れ、元の証拠を変更せずにコンピューターデータのフォレンジックイメージを調査する方法を学習します。また、電子証拠を評価して、フォレンジックツールによる証拠のさらなる分析が必要かどうかを判断する方法を理解するのにも役立ちます。

１，
AccessData_FTK_Imager_4.3.1.exeをダブルクリックしてセットアップを起動し、ウィザードによるインストール手順に従ってアプリケーションをインストールします。
※インストールプロセスの最後に、セットアップウィザードで [ Launch AccessData FTK Imager]オプションがオンになっていることを確認し、 [Finish]をクリックします。

２，
次のスクリーンショットに示すように、AccessData FTK Imagerのメインウィンドウが表示されます。

３，
[ファイル] --> [証拠アイテムの追加…]をクリックして証拠を追加します。

※あるいは、ツールバーの「証拠の追加」アイコンをクリックして証拠を追加することもできます。

４，
「ソースの選択」ウィンドウが開きます。[イメージファイル]オプションを選択し、[次へ]をクリックします。

ddイメージを調べます。したがって、[イメージファイル]ラジオボタンを選択します。

５，
[参照]ボタンをクリックしてイメージファイルのパス ( C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd ) を指定し、[完了]をクリックします。

６，
証拠ファイル ( Windows_Evidence_001.dd ) が、メインウィンドウの左ペインの[証拠ツリー]セクションの下に表示されます。次のスクリーンショットに示すように、証拠ファイルとその内容を展開してツリー形式で表示します。

７，
証拠ツリーから任意のファイルまたはフォルダー (ここでは画像フォルダーを選択しました)を選択すると、右ペインの[ファイルリスト]の下にファイルリストが表示されます。

８，
AccessData FTK Imagerでは、ファイルまたはフォルダーの内容を表示するだけでなく、ファイルの 16 進値も表示できます。16 進値は、ファイルが削除されているか上書きされている場合でも、ファイルの生の正確な内容を判断するのに役立ちます。したがって、16 進値は、OS が通常アクセスできない情報を識別して取得するのに役立ちます。

ファイルの16進値を表示するには、ファイルリストからファイルを選択します (ここでは1200px-Peace_sign.svg.pngを選択しました) 。

９，

１０，
左下のペインの[プロパティ]タブをクリックして、選択したファイルのファイルクラス、サイズ、日付、開始クラスターなどのプロパティを表示します。

１１，
左下のペインの「Hex Value Interpreter」タブをクリックして、選択したファイルの符号付き整数、DOS 日付などのプロパティを表示します。

１２，
このようにして、 AccessData FTK Imagerツールを使用してフォレンジックイメージファイルの内容を検査できます。

開いているウィンドウをすべて閉じます。