概述

關(guān)于FEX Triage™

FEX Triage是一種便攜式計(jì)算機(jī)取證現(xiàn)場(chǎng)分析工具。它使調(diào)查人員能夠就扣押、取證和處理嫌疑人做出實(shí)時(shí)決定。

 

 

 

FEX Triage被設(shè)計(jì)用于接受有限計(jì)算機(jī)取證培訓(xùn)的調(diào)查人員（基本模式），以及現(xiàn)場(chǎng)或?qū)嶒?yàn)室使用的有經(jīng)驗(yàn)的法醫(yī)檢查人員（高級(jí)模式）。

FEX Triage可以在實(shí)時(shí)機(jī)器上運(yùn)行，也可以利用法醫(yī)引導(dǎo)USB。

FEX Triage使用可定制的搜索配置文件，可以將任何復(fù)雜任務(wù)簡化為一次單擊。

 

報(bào)告概要包括：

• 搜索并報(bào)告虐待兒童材料的存在
• 將所選文件導(dǎo)出到L01或磁盤
• 注冊(cè)表分析（例如用戶信息和使用信息）
• 互聯(lián)網(wǎng)瀏覽器和聊天記錄
• Windows縮略圖
• 定位并提取電子郵件和附件

 

主要特點(diǎn)

 

易用性

FEX Triage易于使用，只需少量培訓(xùn)即可有效。高級(jí)模式選項(xiàng)也使其成為經(jīng)驗(yàn)豐富的法醫(yī)從業(yè)人員的寶貴工具。

 

現(xiàn)場(chǎng)套件

隨時(shí)可用的FEX Triage現(xiàn)場(chǎng)套件。

 

 

與Forcensic Explorer集成

FEX Triage掃描會(huì)創(chuàng)建一個(gè)法醫(yī)探索者案例文件。它以法醫(yī)聲音的方式保存用戶操作，并使法醫(yī)工作人員能夠直接在法醫(yī)瀏覽器GUI中立即進(jìn)一步檢查分類結(jié)果。

 

便攜式的

FEX Triage是便攜式的，專為從USB運(yùn)行而設(shè)計(jì)。它通?？梢栽谝韵虑闆r下運(yùn)行：

 

法醫(yī)引導(dǎo)掃描

啟動(dòng)掃描是指使用啟動(dòng)介質(zhì)（即FEX Triage 加密狗）啟動(dòng)目標(biāo)計(jì)算機(jī)。引導(dǎo)掃描是一個(gè)取證合理的過程，因?yàn)樗强刂颇繕?biāo)系統(tǒng)的調(diào)查者介質(zhì)。

 

實(shí)時(shí)掃描

實(shí)時(shí)掃描指的是在目標(biāo)實(shí)時(shí)Microsoft Windows計(jì)算機(jī)上運(yùn)行FEX Triage。在許多情況下，這將是最合適的操作，因?yàn)閾?dān)心關(guān)閉對(duì)業(yè)務(wù)至關(guān)重要的運(yùn)行系統(tǒng)，或者可能調(diào)用加密。

可有效用于通過網(wǎng)絡(luò)文件共享進(jìn)行文件收集（例如，按名稱或內(nèi)容收集.docx文件，并導(dǎo)出為L01法醫(yī)圖像格式）。

 

Forensic桌面掃描

可以從調(diào)查人員計(jì)算機(jī)的桌面上運(yùn)行，以掃描硬盤或法醫(yī)圖像文件。

 

其他關(guān)鍵功能

• FEX Triage配有堅(jiān)固的Wibu編碼器USB3 CMU BMC-1011，存儲(chǔ)容量為16 GB。它包含軟件許可證，但也充當(dāng)USB引導(dǎo)和數(shù)據(jù)采集設(shè)備。
• 支持從Windows和MacOS（通過USB引導(dǎo)）收集數(shù)據(jù)，包括iOS備份。
• 檢測(cè)受BitLocker和FileVault 2保護(hù)的驅(qū)動(dòng)器。
• 在搜索過程中查看搜索結(jié)果。
• 將數(shù)據(jù)直接導(dǎo)出到磁盤或法庭.L01文件。
• 創(chuàng)建CSV、PDF和RTF報(bào)告。查看圖片和視頻關(guān)鍵幀。
• 搜索配置文件是高度可配置的，可以為組織定制。默認(rèn)配置文件包括：

 

基本的

相機(jī)按模型制作

兒童保護(hù)——圖片和視頻

加密文件

文件名搜索

文件名搜索–個(gè)人

互聯(lián)網(wǎng)瀏覽器

網(wǎng)絡(luò)聊天

互聯(lián)網(wǎng)-移動(dòng)

ITunes備份

隨機(jī)樣本-圖形

隨機(jī)樣本-視頻

注冊(cè)表-當(dāng)前

 

中間的

Windows–縮略圖

電子郵件–附件（EDB、Mbox、OST、PST）

電子郵件–查找郵件

電子郵件-關(guān)鍵字搜索（EDB、Mbox、OST、PST）

導(dǎo)出-擴(kuò)展（復(fù)選框）

導(dǎo)出–Windows系統(tǒng)（復(fù)選框）

文件名搜索（精確）

Hash Match（自動(dòng)）-圖形和視頻

關(guān)鍵詞搜索–MS Office

操作系統(tǒng)工件

隨機(jī)樣本-圖形

Windows–快捷方式（.lnk）

 

高級(jí)的

電子郵件–查找郵件（Regex）

導(dǎo)出–自定義全局搜索

文件名搜索（Regex）

Hash Match（復(fù)選框）-圖形和視頻

Hash Match（硬編碼）-圖形和視頻

將文件列表到CSV–自定義全局搜索

 

技術(shù)特點(diǎn)

 

支持的文件系統(tǒng)

Forensic Explorer支持以下分析：

• Windows FAT12/16/32、exFAT、NTFS、，
• Macintosh HFS、HFS+、APFS
• EXT 2/3/4

 

加密支持

解鎖以下內(nèi)容（需要密碼或恢復(fù)密鑰）：

• Bitlocker（Microsoft Windows）
• FileVault 2（MAC）

 

支持的位圖像格式

FEX Triage支持常見圖像和法醫(yī)圖像格式，包括：

AD1、AFF、DD、DMG、BIN、RAW、E01、Ex01、L01、Lx01、VMD、VHD、VHDX。

 

支持的電子郵件格式

支持分析PST、OST、EDB和MBOX郵件格式。

 

腳本語言

FEX Triage腳本是用Delphi Pascal編寫的。

 

Wibu碼表USB

Wibu編碼器16 GB USB3數(shù)據(jù)表

 

搜索配置文件

搜索配置文件是在中創(chuàng)建的。TXML（XML）格式。配置文件使用TCommandTasks來啟動(dòng)處理，包括調(diào)用和運(yùn)行腳本和過濾器的功能。

 

屏幕截圖

 

添加案例信息的開始窗口：

 

 

選擇要搜索的設(shè)備、文件夾或法醫(yī)圖像：

 

 

選擇將保存搜索結(jié)果的目標(biāo)：

 

 

如果需要，請(qǐng)使用可用的篩選選項(xiàng)選擇搜索配置文件：

 

 

開始搜索。完成的報(bào)告可以在完成時(shí)查看：

 

 

購買和授權(quán)常見問題解答

 

許可證類型

FEX Triage許可證是一種定期許可證，將在有效期（通常為1年）到期。

 

Wibu碼表激活加密狗（Wibu加密狗）

該軟件由Wibu加密狗上的許可證激活。FEX Triage加密狗具有存儲(chǔ)容量（16或32 GB），可以用作引導(dǎo)USB。

 

許可證管理

Wibu加密狗許可證使用GetData License Manager軟件進(jìn)行管理。許可證管理器用于：

• 查看許可證信息。
• 向Wibu加密狗添加許可證。
• 重命名加密狗。
• 應(yīng)用固件更新。