自宅で始めるフォレンジック～証拠保全編～

# はじめに
[Forensic UltraDock v5](https://www.cru-inc.com/products/wiebetech/forensic-ultradock-v5-5/)をとある経路で頂いたので早速自宅に持ち帰り、証拠保全をしてみる。

# HDDの抜き出し
学生時代に使っていたマシンのHDDを抜き出してみる。

静電気に気を付けて
![20180707_132213.jpg](https://qiita-image-store.s3.amazonaws.com/0/30037/b9cd9f30-0d14-069d-5637-d625c5231e6a.jpeg)

ぽいっと。
![20180707_132227.jpg](https://qiita-image-store.s3.amazonaws.com/0/30037/eba42afe-cbdc-7c40-42da-f34922cdba96.jpeg)

WD社製のHDDだったんだね。
![20180707_132233.jpg](https://qiita-image-store.s3.amazonaws.com/0/30037/d6c1efbc-57e4-f605-8ad1-550cdb9ac889.jpeg)

# つなげてみる

数あるケーブルの中から適合するものを探す。
![20180707_132528.jpg](https://qiita-image-store.s3.amazonaws.com/0/30037/90926149-c635-e0d2-65e2-57cbb7a5b284.jpeg)

これや！
![20180707_132631.jpg](https://qiita-image-store.s3.amazonaws.com/0/30037/30574fd5-56e1-0e8a-616b-68e5d56d44b2.jpeg)

なんやかんやあってスイッチON
![20180707_132738.jpg](https://qiita-image-store.s3.amazonaws.com/0/30037/673a0ee2-e583-d02d-f554-7869f44a5ad5.jpeg)

認識した！
モデル番号
![20180707_134840.jpg](https://qiita-image-store.s3.amazonaws.com/0/30037/f4a73d07-462b-2099-0da3-5096cd7a9774.jpeg)
シリアル番号
![20180707_134844.jpg](https://qiita-image-store.s3.amazonaws.com/0/30037/8aeb9c09-adb7-c0a2-ac6e-676d1fbd7a13.jpeg)

とりあえずホストマシン（Windows 10）につなげてみたところ。
Windowsでも特にドライバなしで自動的に認識しているみたい。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/6a9a7f86-0c40-06d6-184d-9a38167a8c70.png)

# ちょっと実験
Write protectが回路的に行われているので、意図しない書き込みが起こることはない。

試しに、パーティションの削除をしてみた。（もし消えても痛くないし、消えたら販売元を訴えよう）
![mov.gif](https://qiita-image-store.s3.amazonaws.com/0/30037/d9726799-4239-4d35-dd2f-88dc9a52dfb6.gif)

消えなかった。

ではここで[FTK Imager](https://cyberforensic.focus-s.com/product/87/)の出番。
イメージの保全をこれからやるので、鉄板のソフトを使っていく。

とりあえず起動して、AddEvidenceItem... をクリック

![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/c446c562-4900-5f75-363b-fdc20d64ccf1.png)

物理ドライブ（Physical）を選択
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/dbf5c853-d14a-21c9-989f-b78284ab6e65.png)

WD社製のやつを選ぶ
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/733c15bc-1ac8-ad92-e29f-822bd4dce2f0.png)

読めた
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/ae004ad8-295e-f5c2-0380-d4f525d2c198.png)

イメージファイル（E01）に落としていく。
Export Disk Image...　をクリック
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/d9f537a0-eb0a-cfff-795d-5427d6c4e87c.png)

Add...　をクリック
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/b5c10df2-baea-001a-8c16-61f81ba28602.png)

E01を選択
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/1ea7f50c-73a1-8d8d-e0c2-62a0ec155cfe.png)

適当に埋めていく
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/03127405-1ab8-fcc2-cc50-ea530f9e9860.png)

シリアル番号をファイル名にする（任意だけど、こっちのほうがなんかよさそう）
とりあえずフラグメントさせない（させるとたぶん複数ファイルになる？）
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/9222335e-d169-acf8-33ea-d64f5cddc9af.png)

おもむろに、Startを押すと始まる
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/136e4c1d-6343-7455-b608-5ed9380c70bd.png)

始まった。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/30037/11962c1d-6c28-d692-303a-5594d984fa26.png)

茶でも飲んで保全されるまで待ちましょう。

～2時間後～
取得ログをエビデンスとして残しておく。
「取得イメージ間違ってない？」
「書き変わってない？大丈夫？」
みたいなことがあった時用に。

```
Created By AccessData® FTK® Imager 4.1.1.1 

Case Information: 
Acquired using: ADI4.1.1.1
Case Number: 0
Evidence Number: 0
Unique description: evidence
Examiner: segfo
Notes:  

--------------------------------------------------------------

Information for D:\forensics\WD-WXG1A2048823:

Physical Evidentiary Item (Source) Information:
[Device Info]
 Source Type: Physical
[Drive Geometry]
 Cylinders: 19,457
 Tracks per Cylinder: 255
 Sectors per Track: 63
 Bytes per Sector: 512
 Sector Count: 312,581,808
[Physical Drive Information]
 Drive Model: WT071 WD 1600BEVT-16A23T0 SCSI Disk Device
 Drive Serial Number: 0700000017DE
 Drive Interface Type: SCSI
 Removable drive: False
 Source data size: 152627 MB
 Sector count:    312581808
[Computed Hashes]
 MD5 checksum:    2b7238522f03148a8a266e47a78e8d72
 SHA1 checksum:   0957d475e1409eac853ddae2129ba8500f181beb

Image Information:
 Acquisition started:   Sat Jul  7 14:27:25 2018
 Acquisition finished:  Sat Jul  7 15:43:13 2018
 Segment list:
  D:\forensics\WD-WXG1A2048823.E01

Image Verification Results:
 Verification started:  Sat Jul  7 15:43:15 2018
 Verification finished: Sat Jul  7 16:00:39 2018
 MD5 checksum:    2b7238522f03148a8a266e47a78e8d72 : verified
 SHA1 checksum:   0957d475e1409eac853ddae2129ba8500f181beb : verified
```

これで友達から、「データ消しちゃったから復旧してよ！」とか
「無人島で殺人事件が起こったから、犯人が使用したと思われるPCのHDDを保全してよ！」
みたいなことが趣味でできるようになります。

フォレンジックの実施自体は[Autopsy](https://www.sleuthkit.org/autopsy/download.php)とか[SIFT Workstation](https://digital-forensics.sans.org/community/downloads)頑張って使えるようになれば行けるんじゃないかなぁ。

AutopsyはWindows上でGUI使ってホイホイできるから面白い。

分析してみようと試みる続編：[自宅で始めるフォレンジック～分析開始編～](https://qiita.com/segfo/items/73bf9e4b2c3d2cc31bb3)

おわり。