computer-forensics - SANS SIFT Workstation Appliance による法医学的取得

Question

SANS SIFT ワークステーションを使用して、USB ドライブまたは SD カードを法医学的に適切に取得する方法はありますか? つまり、書き込みブロッカーが組み込まれていますか?

Answer 1

デバイスをコンピュータに接続するときのホスト オペレーティング システムの動作に注意する必要があります。「アプライアンス」は仮想マシンであり、ホスト オペレーティング システムは、アプライアンスより先にデバイスにアクセスする場合があります。

最善の策は、ハードウェア書き込みブロッカーを使用することです。

「SIFT アプライアンス」という用語は、Linux ベースのものを意味していると思います。一部の法医学クラスで提供される Windows ベースの SIFT ワークステーションがあります。

Linux ベースのアプライアンスはデバイスを自動的にマウントしないため、dc3dd を使用し、デバイス自体 (/dev/sdb など) を dc3dd への入力として使用して、ドライブのイメージを作成できます。それは何も変えません。