一、Encase v7 Physical Disk Emulator (PDE) module介紹(1/5)

1. PDE，翻譯為實體磁碟模擬，顧名思義，就是將已經製作完成的證物檔，經由軟體模擬成連接本機的唯讀硬碟來進行分析。
2. 在Encase中，有另一個模組和PDE的功能很像，叫做VFS(Virtual File System)，翻譯為虛擬檔案系統，其功能為將證物檔模擬成本機的唯讀離線網路磁碟，然後經由Windows內建的Windows Explorer來檢視它。
3. 補充：虛擬檔案系統是作業系統的檔案系統虛擬層，在其下是實體的檔案系統。主要功用在於讓上層的軟體，能夠用單一的方式，來跟底層不同的檔案系統溝通。在作業系統與之下的各種檔案系統之間，虛擬檔案系統提供了標準的操作介面，讓作業系統能夠很快的支援新的檔案系統 from wikipedia[1]。

一、Encase v7 Physical Disk Emulator (PDE) module介紹(1/5)

PDE，翻譯為實體磁碟模擬，顧名思義，就是將已經製作完成的證物檔，經ㄍ由軟體模擬成連接本機的唯讀硬碟來進行分析。

1. 在Encase中，有另一個模組和PDE的功能很像，叫做VFS(Virtual File System)，翻譯為虛擬檔案系統，其功能為將證物檔模擬成本機的唯讀離線網路磁碟，然後經由Windows內建的Windows Explorer來檢視它。
2. 補充：虛擬檔案系統是作業系統的檔案系統虛擬層，在其下是實體的檔案系統。主要功用在於讓上層的軟體，能夠用單一的方式，來跟底層不同的檔案系統溝通。在作業系統與之下的各種檔案系統之間，虛擬檔案系統提供了標準的操作介面，讓作業系統能夠很快的支援新的檔案系統 from wikipedia[1]。

一、Encase v7 Physical Disk Emulator (PDE) module介紹(2/5)

在有以下分析的需求時，會使用到這兩個模組：

1. 有時候某些分析不容易在Encase的環境下執行，或者Encase不支援，或者我們僅僅想要針對特定檔案或數據做分析，使用Encase以外的分析工具會更迅速或方便時。
2. 經由作業系統的支援呈現原始證物內含的檔案系統、目錄結構、系統環境及設定、程式及執行過程、檔案內容等，毋須將證物檔回存至額外的儲存空間來做這件事。
3. 比較特定程式執行前後在記憶體、檔案、系統設定上的差異。

一、Encase v7 Physical Disk Emulator (PDE) module介紹(4/5)

需要使用PDE模組來進行分析的情況：

1. 需掃描存在證物檔內的惡意軟體或病毒時
2. 需追蹤系統開機或程式載入記憶體及指令執行流程時
3. 需要進行系統還原點的鑑識時

一、Encase v7 Physical Disk Emulator (PDE) module介紹(5/5)

VFC的功能與特色[2]：

1. 能直接將dd或e01格式的映像檔直接轉成VM並開機，讓調查人員在不破壞原始證物，利用映像檔於虛擬環境中重新創建原電腦作業系統環境，進行數位鑑識。
2. 能直接將已開啟物理防寫之硬碟當成VM開機（boot a physical with write block）
3. 能Bypass Windows用戶帳戶的密碼。
4. 使用VFC開機後可進行動態分析、記憶體dump等程序。
5. 能支援32位元及64位元Windows 2000、Windows 2003、XP到Windows 7的每一個版本的Windows作業系統執行。
6. 可以支援系統還原點倒回的鑑識。
7. 支援解析GPT格式的磁碟分割

二、VFC介紹(1/6)

證物檔

模擬成本機實體磁碟

轉換成VM開機(使用Live View)

分析(需使用第三方工具)

證物檔、開啟物理防寫的實體硬碟

分析(內建或VMware工具)

PDE

VFC

二、VFC介紹(2/6)

直接轉換成VM開機

不需要模擬成本機磁碟

VFC操作截圖[3]

二、VFC介紹(3/6)

二、VFC介紹(4/6)

二、VFC介紹(5/6)

二、VFC介紹(6/6)

三、其他PDE工具或相類分析方法(1/2)

1.利用工具製作VMDK檔案

SIFT:在Linux環境下利用SANS提供的鑑識工具包SIFT內建指令

1.open a terminal window
2.sudo su
3.mkdir /mnt/ewf1
4.mount_ewf.py (Encase Image file path) /mnt/ewf1
5.qemu-img convert /mnt/ewf1/(encase image file name) -O vmdk (give_a_name).vmd

 

三、其他PDE工具或相類分析方法(2/2)

Paladin 6

https://www.sumuri.com/product/paladin-for-linux-2/

 

VMware Standalone Converter

http://www.suma.tw/thread-4743-1-1.html