Forensic Image 是儲存媒體的鑑識副本，用來保留原始媒體中的資料，讓後續分析可以在副本上進行。

Forensic Image 常見格式

1. RAW

直接把儲存媒體的資料按照原本的內容保存下來。

原始硬碟
↓
disk.img

優點：

• 結構簡單

• 相容性高

• 很多工具都可以直接讀取

缺點：

• 檔案通常很大

• 格式本身提供的鑑識 Metadata 支援較少

2. E01

數位鑑識中很常見的映像格式。

除了保存資料之外，也可以包含：

• Case Information

• Examiner Information

• Acquisition Information

• Hash

• 壓縮資料

• 分割資訊

而且大型映像可以切成多個檔案：

evidence.E01
evidence.E02
evidence.E03
evidence.E04
       ...

這樣比較方便儲存與管理。

3. AFF4

AFF4（Advanced Forensic File Format 4） 是另一種針對數位鑑識設計的映像格式。

除了可以保存儲存媒體資料，也支援：

• Metadata
• 壓縮
• 多種資料來源
• 大型鑑識資料

因此可以用來處理比單純磁碟映像更複雜的鑑識資料。

Disk Image vs Forensic Image

Disk Image 是比較廣義的磁碟映像，Forensic Image 則是為數位鑑識用途製作的映像。

Disk Image
│
├── 一般用途的 Disk Image
│   └── 備份、系統複製、虛擬機等
│
└── Forensic Image
    └── 數位鑑識

RAW 格式可以被拿來做一般用途的 Disk Image，也可以被用來保存鑑識映像；差別在於它的製作目的、流程與相關鑑識紀錄。

鑑識流程

把前面幾篇串起來，會變成：

          原始硬碟
              │
              ▼
        [Write Blocker]
              │
              ▼
       製作 Forensic Image
              │
              ▼
        計算 / 驗證 Hash
              │
              ▼
      ┌─────────────────┐
      │ Forensic Image  │
      └─────────────────┘
              │
       ┌──────┼──────┐
       ▼      ▼      ▼
     Files   MFT    Unallocated
       │      │      │
       ▼      ▼      ▼
     分析     分析    資料恢復

常見工具

通常會使用專業鑑識工具來製作 Image。

• FTK Imager
• EnCase
• X-Ways Forensics
• dd

Forensic Image 不是備份檔

兩者看起來很像，但目的不同。

一般備份

目的是：

「資料不見了可以還原。」

Forensic Image

目的是：

「讓後續鑑識可以在不直接操作原始媒體的情況下進行。」

小結